如何在不遺失加密的情況下更新 Ledger 韌體？

韌體更新協定機制

1. 帳本設備在韌體和私鑰儲存之間保持嚴格分離。韌體駐留在快閃記憶體中，而加密金鑰則受到經過認證的安全元件晶片的保護。

2. 在韌體安裝過程中，裝置使用嵌入在硬體中的 Ledger 公共根憑證來執行簽章驗證。未簽署或被篡改的二進位檔案將立即被拒絕。

3. 更新過程不會存取、讀取或傳輸任何私鑰材料。安全元件在整個閃爍序列中保持隔離。

4. 韌體更新以簽署增量修補程式的形式提供，最大限度地減少資料傳輸量並減少下載和安裝過程中的暴露面。

5. 安裝後強制重新啟動以啟動新韌體邏輯；此重新啟動不會重置或清除安全元件的持久記憶體。

更新前驗證步驟

1. 使用者在透過 Ledger Live 桌面應用程式啟動韌體升級之前，必須確認裝置已透過 USB 連接並開啟。

2. Ledger Live 根據 ledger.com/download 提供的最新正式發布版本驗證目前韌體版本。

3. 應用程式將下載的韌體二進位檔案的 SHA-256 雜湊值與 Ledger 的 GitHub 儲存庫上已驗證提交下發布的雜湊值進行交叉檢查。

4. 裝置螢幕顯示與 Ledger Live 中顯示的確認碼相符的 4 位元確認碼 — 這可確保通訊握手期間的中間人保護。

5. 在繼續操作之前，系統會提示使用者透過檢查螢幕上的「Bootloader」標籤來物理驗證裝置的引導程式完整性。

閃爍期間的安全元件行為

1. Ledger Nano X 和 S Plus 型號中使用的 ST33K1M5 安全元件在韌體更新期間獨立於主微控制器單元運作。

2. 所有加密操作（包括 BIP-39 種子衍生、ECDSA 簽章和 AES-256 加密）繼續在安全元件內部專門執行，不受外部幹擾。

3. 韌體變更不會改變安全元件的內部韌體或其證明金鑰；這些在所有裝置代中都保持不變。

4. 即使主 MCU 韌體在更新過程中損壞，安全元件仍保留完整功能，並可透過引導程式模式恢復裝置。

5. 韌體更新期間不會觸發私鑰匯出或備份操作 - 復原短語完全由使用者控制並且永遠不會離開裝置。

恢復短語獨立性

1. 24 字 BIP-39 恢復短語在初始設備設定期間產生一次，並且僅儲存在安全元件內。

2. 韌體更新既不請求也不要求在過程的任何階段重新輸入恢復短語。

3. 如果用戶在更新後失去對其設備的存取權限，他們可以透過將相同的恢復短語恢復到任何相容的硬體錢包上來保留完全的資產控制。

4. Ledger 不會儲存、傳輸復原短語或將復原短語與裝置序號、韌體版本或 Ledger Live 帳戶關聯。

5.恢復短語是資產所有權的唯一真實來源－無論韌體版本或硬體版本如何，它的功能都是相同的。

常見問題解答

Q：當我的 Ledger 連接到受感染的電腦時，我可以更新韌體嗎？答：可以，但前提是 Ledger Live 在沙盒模式下運作且裝置強制執行嚴格的 USB HID 協定限制。即使惡意軟體攔截 USB 流量，安全元件也能防止私鑰被提取。

Q：如果更新過程中斷電會怎樣？ A：裝置進入引導程式恢復模式。自動嘗試韌體回滾到先前的穩定版本，保留安全元件狀態和所有儲存的金鑰。

Q：更新韌體會改變我的錢包位址嗎？答：不會。位址派生遵循恢復短語定義的 BIP-44、BIP-49 和 BIP-84 標準 — 韌體對位址產生邏輯沒有影響。

Q：韌體更新過程中是否有設備變磚的風險？答：由於雙組快閃記憶體架構和經過通用標準 EAL5+ 認證的硬體級開機載入程式回退機制，變磚幾乎是不可能的。