レジャーとトレゾールの90日間のバグ報告は、実際には信頼関係をめぐる争いなのだ。

最大級のハードウェアウォレットメーカーであるLedgerとTrezorは、安全研究者に対して、発表する前にその結果を90日間隠しておくよう求めています。これは一見すると形式的な要求のように思えますが、実際にはそうではありません。これら2社にとって、「あなたの鍵は私たちのデバイス上で安全です」という主張はマーケティング用の言葉ではなく、実際の製品そのものです。そして、このメッセージを誰が管理するかという問題が、今や自己保管の際の中心的な経済的課題となっています。

90日間の静けさ

9月7日、レジャーのテクノロジー部門の責任者であるチャールズ・ギルメは、『協調的な脆弱性の公開』を業界の標準的な慣行とすることを提案するオープンランドを発表しました。このモデルでは、研究者が個人的に脆弱性を報告し、企業がそれを確認し、修正のスケジュールについて合意します。そして、パッチがリリースされるまで、双方は沈黙を保ちます。90日間を基準期間とするそうして初めて、完全な開示が実現するのです。Trezorのセキュリティ責任者であるヤン・コマレクがこの取り組みを支持し、公平な条件を加えました。つまり、ベンダーが合意された期限を守れない場合でも、研究者は依然として報告する権利があるということです。FoundationとAnchorWatchという、ビットコインに特化した2つの企業もこの取り組みに参加しました。この仕組みは馴染み深いものです。セキュリティ研究者たちは、この仕組みについて指摘しています。GoogleのProject Zeroの開示期限を反映したもの.

この手続きは、レジャーの行動の変化というよりは、業界全体にその手続きを導入させようとする試みに過ぎない。レジャーのバウンティプログラムでは、長年にわたり、90日間の公式な情報開示ポリシーが適用されており、研究者にはビットコインで報酬が支払われている。意味のある人間の分析がないAI生成の報告を拒否するギルメが本当に求めているのは、市場のリーダーたちが定める業界全体の基準です。

バグ対策の影響

この推進力には、即時的な原因があり、それは有益な情報です。8月末に、AI関連のセキュリティ会社であるTestMachineが、「Ethereumアプリを実行しているすべてのLedger」について発表しました。取引置換攻撃に脆弱ギヨメは、その記事が掲載される前に、レジャー自身がその問題を発見し、解決したと答えました。対立する企業であるOneKeyのアンゼンチームは、そうではないと述べました。実験室で、古いソフトウェアバージョンに対する攻撃が再現されましたが、Ledgerはそれを拒否しました。時代遅れのビルドに対するテストとして。ギヨメは、そのような早急な出版を「他人の危険を冒して注目を集めようとする."

これは、些細な争いではありません。これは、自己管理の安全対策が問題になっている地域で起きた出来事です。BlockstreamのLiquid側チェーンから、約4,000ビットコイン（約3億2千万ドル）が流出したとされる。Trezorの配送業者に関連する違反行為で、その規模が大きくなった。約81,000人の顧客の連絡先情報を公開する、そして報告によると、Coldcardの盗難件数は1億ドルを超えている。信頼というのが全ての価値観であるカテゴリーにおいては、どんな見出しも、安心感を与えるものか、あるいは投資家が慌てて資金を引き上げる理由になるものかのどちらかです。そして、詐欺師たちはそのパニックを利用するのが得意です。

セキュリティ業界における経済状況

手続き的な言語を取り除けば、構造的な変化が生まれます。ギヨメの言うように、AIによってセキュリティが「多くの敵を持つ駆け引き」になったのです。だからこそ、期限が重要になるのです。バグを見つけることが遅く、手動で行わざるを得なかった時代には、研究者は貴重で注意深い資源でした。しかし、AIによって、バグを見つけることやそれを利用することが容易になり、脆弱性が発見されるまでの時間が短縮されます。これが、早期公開が危険な理由です。安全を提供する者は、他人が数日で作れる武器に対して自分の主張を守らなければならないのです。90日間の規定は、その武器が存在する前に修正できる時間を与えるためのものです。

しかし、このルールは中立的ではない。速く対応できる者に有利なものだ。LedgerやTrezorは常時セキュリティチームを抱えており、一般的には迅速に納品される。報酬として給料ではなく評判を得るだけの研究者は、まず供給業者に価値を渡し、そのプロセスを信頼するしかない。このモデルは、研究者のキャリアが「最初に声を上げる」ことに基づいているアテンション経済を、大規模で人員が整っている企業が勝つための構造化されたプロセスに変えている。Komarekのリリース条項は、取引が公正に行われるための制約となるが、誰がより強い立場にあるかは変わらない。

それは、セキュリティに関する保証がハードウェアに比べてどれほど価値があるかという点で重要です。ハードウェアウォレット業界全体がそうしています。年間5億ドルから7.5億ドル程度の規模です。つまり、人々がこれらの装置に預ける通貨の価値に近い、計算上の誤差です。ウォレット製造業者は、販売時に一度だけ報酬を受け取ります。彼らは、自分が保証する資産から何の利益も得ることはありません。したがって、彼らの利益は、人々が信頼する意志にかかっているのです。そして、現在のコストには、AIを利用した永続的なセキュリティ競争も含まれています。重要なのは、商品として入手できるセキュリティチップではなく、安全なシステムの信頼性、内部のセキュリティチームの能力、そして数百万台のデバイスにそのシステムを搭載する方法です。

どちらの会社も上場していないので、取引コードはありません。この要求が投資家に提供するのは、自己管理の仕組みについてより詳細な情報です。LedgerとTrezorは、自社の運営能力を活かして、信頼性の基準を定めています。おそらく彼らは真剣な意図を持っているのでしょう。協調的な情報開示によって、早期の過剰な宣伝によるフィッシングやパニックを防げ、ユーザーを守ることができます。同様の措置により、両ブランドの最も価値の高い資産も、急速に増加する脅威から守られるのです。この仕組みを評価する際の重要な問題は、今週どの企業がどのバグを発見したかではなく、AIがすべての欠点を見つけるのが容易になるような価格で、どのハードウェアメーカーが「安全」という主張を維持できるかということです。そして、その質問に答えやすい2つの企業こそが、そのルールを定める側なのです。