Ledger ujawnia 5 luk w konstrukcji portfeli Trezora

0
170

11 marca bieżącego roku na oficjalnej stronie Ledgera pojawił się komunikat prasowy, w którym ukazano 5 luk w konstrukcji portfeli kryptowalutowych Trezora. Firma podkreśla, że głównym motywem ujawnienia owych informacji jest troska o bezpieczeństwo konsumentów.

Według wydanego komunikatu Ledger nieustannie sprawdza zabezpieczenia nie tylko we własnych urządzeniach, ale także u konkurencji. Firma podaje, iż priorytetem dla grupy badawczj jest zapewnienie bezpieczeństwa całej społeczności blockchaina.

Szansa na poprawę...

Zastanawiacie się penie, czy Ledger może publicznie dzielić się takimi informacjami? Czy nie działa na szkodę konkurencji? Otóż firma skontaktowała się z Trezorem już cztery miesiące temu. Do wczoraj obowiązywał więc tzw. okres ujawnienia. Attack Lab wyznaczył Trezorowi czas na usunięcie luk w portfelach kryptowalutowych. Ledger podkreśla, iż celowo nie ujawnił wcześniej owych informacji, ponieważ zaszkodziłyby one nie tylko Trezorowi, ale również konsumentom, którzy mogliby łatwo paść ofiarom hakerów.

Cytując Ledgera:

Zwracając uwagę na bezpieczeństwo konkurencyjnych produktów, zawsze przestrzegamy zasad odpowiedzialnego ujawniani danych. Informujemy firmy o danych lukach w zabezpieczeniach ich urządzeń oraz wyznaczamy im czas na naniesienie poprawek.

Analiza portfeli kryptowalutowych

Laboratorium badawcze wzięło pod lupę dwa portfele kryptowalutowe Trezora: Trezor One i Trezor T. Głównie skoncentrowano się jednak na Trezor One.

  • Pierwszą wytypowaną lukę w bezpieczeństwie stanowiła autentyczność urządzenia. Analiza Ledgera wykazała, że portfel kryptowalutowy Trezora bardzo łatwo można było podrobić. Firma podaje, że udało jej się wyprodukować fałszywe urządzenie, które nie różniło się niczym od prawdziwego. Attack Lab dosłownie sklonował portfel Trezora. Nawet oryginalne pudełko nie stanowiło problemu. W tym wypadku również naklejka zabezpieczona przed manipulacją nie zdała testu. Ledger podaje, iż w tej sytuacji osoba atakująca nasz sprzęt mogłaby uzyskać pełną kontrolę nad kodem uruchomionym na podrobionym sprzęcie. Zdaniem Attack Lab, nawet jeśli użytkownik zakupiłby portfel kryptowalutowy bezpośrednio ze strony internetowej Trezora, nie oznacza to, że miałby 100% gwarancję autentyczności. Ledger podaje, że osoba dokonująca przestępstwa mogłaby kupić kilka urządzeń, złożyć reklamację i odesłać z powrotem prosząc o zwrot kosztów, zgodnie z okresem gwarancji. Jednak zdaniem Trezora luka ta nie stanowi zagrożenia. Firma stwierdziła, iż konsumenci nie są narażeni, jeżeli kupują sprzęt tylko z ich oficjalnej strony.
  • Kolejnym minusem, który posiadał portfel kryptowalutowy Trezora było zabezpieczenie poprzez kod PIN. Umożliwiał on bowiem dostęp zarówno do urządzenia, jak i środków znajdujących się na nim. Według analizy grupy badawczej tzw. atak z kanału bocznego umożliwiał odgadnięcie tego kodu. Polegał on na przedstawieniu losowego PIN-u oraz późniejszym pomiarze zużycia energii. Ów sposób pozwalał na  zdemaskowanie kodu PIN w ciągu zaledwie 5 prób. Warto dodać, że użytkownik posiadał aż 15 podejść. Trezor zgodził z Ledgerem, iż PIN nie chroni użytkownika przed fizycznym atakiem, dlatego też luka ta została naprawiona przez firmę wraz z aktualizacją oprogramowania układowego 1.8.0
  • Według opublikowanej informacji kolejne zagrożenia jakie dostrzegł Ledger związane jest z poufnością danych. Według przeprowadzonej analizy osoba atakująca, która ma fizyczny dostęp do urządzenia, mogłaby wyodrębnić wszystkie dane znajdujące się w pamięci Flash, a co za tym idzie okraść użytkownika z zasobów znajdujących się na wszystkich jego kontach. Zdaniem Ledgera owa luka nie jest możliwa do naprawienia. Z tego też powodu firma postanowiła nie ujawniać jej szczegółów technicznych. Laboratorium badawcze podkreśliło, że zagrożenie to można zminimalizować, stosując silne hasło do urządzenia.
  • Ledger przeanalizował także implementacje biblioteki kryptograficznej w modelu Trezor One. Okazało się, że nie zawiera ona odpowiednich środków zaradczych chroniących przed atakiem sprzętowym. Wyjątek stanowi tutaj funkcja mnożenia. Należy dodać, iż zdaniem Ledgera może ona stanowić powód do niepokoju. Funkcja mnożenia skali jest bowiem główną operacją kryptograficzną dla kryptowalut. Jest ona używana do najbardziej krytycznych operacji z tajnymi kluczami. Ledger dodaje, iż w swoim kodzie funkcja ta chroni przed atakami z kanału bocznego. Zdaniem firmy osoba dokonująca fizycznego ataku na urządzenie, może wyodrębnić tajny klucz, wykorzystując ataki z kanału bocznego, podczas gdy jest on używany przez mnożenie skali. Grupa badawcza udowodniła, iż za pomocą oscyloskopu cyfrowego możliwe jest wyodrębnienie klucza transakcji za pomocą analizy kanałów bocznych. Luka ta wpływa nie wpływa jednak bezpośrednio na model zabezpieczeń firmy Trezor, ponieważ nie może ona zostać uruchomiona bez uprzedniego poznania kodu PIN.

Zobacz również: IKEA: świetlana przyszłość oparta na blockchainie!

ZOSTAW ODPOWIEDŹ

Proszę wprowadzić swój komentarz!
Proszę wprowadzić swoje imię