Ledger portefeuilles de matériel ont été trouvés crypto-monnaie être vulnérables, un chercheur en sécurité chez les adolescentes révélé dans un billet de blog. Le jeune de 15 ans Saleem Rashid a découvert le bug qui permettait aux attaquants de fabriquer la génération de semences de l'appareil, et ainsi récolter des fonds stockés dans les adresses produites à partir de cette graine. « La vulnérabilité a surgi en raison de l'utilisation du grand livre d'une architecture personnalisée pour travailler autour de plusieurs des limites de leur Secure Element », Rashid a expliqué.
Comment cette vulnérabilité soit exploitée?
Un attaquant peut exploiter la faille de compromettre l'appareil avant que l'utilisateur reçoit, le jeune chercheur a déclaré. Un attaquant peut également voler des clés privées de l'appareil physiquement ou même à distance.
L'accès physique avant mise en place de la semence est possible. Ceci est connu comme la chaîne d'approvisionnement attaque. Ce type d'attaque ne nécessite généralement pas de logiciels malveillants initialement installé sur le système cible. Il ne doit pas l'utilisateur de confirmer toutes les transactions. Le chercheur a pu démontrer cette attaque sur un vrai grand livre Nano S. Il a également allé plus loin - il a envoyé le code source de grand livre afin que l'entreprise puisse reproduire.
Plus précisement, une attaque de la chaîne d'approvisionnement est quand un mauvais acteur installe le firmware malveillant sur un dispositif de Ledger et vend ensuite sur un marché tiers comme Amazon ou eBay. Et ce n'est pas un scénario improbable, que les utilisateurs sont souvent, mais les périphériques de détaillants tiers. Quant à savoir pourquoi les utilisateurs sont prêts à prendre ce risque - les fabricants de portefeuille de matériel sont souvent incapables de produire suffisamment de dispositifs pour faire face à la demande croissante et à court de stock.
La vulnérabilité accorde également un accès physique après l'installation. Ce type de compromis permet à l'attaquant d'extraire le code PIN, semences de récupération et de tout BIP-39 utilisés passphrases. La seule condition est que l'appareil a été utilisé une fois bail avant l'attaque réelle.
Ce type d'attaque ne pas non plus besoin des logiciels malveillants pré-installé sur la machine, et il ne nécessite pas l'utilisateur de confirmer toutes les transactions. La seule chose qui est nécessaire est l'attaquant d'installer un firmware MCU personnalisé pour exfiltrer les clés privées à l'insu de l'utilisateur.
et enfin, la vulnérabilité peut être exploitée dans une attaque de malware qui peut être effectuée à l'aide des techniques d'ingénierie sociale. Dans ce scénario, l'utilisateur doit mettre à jour le firmware de MCU sur une machine infectée. Comment cela peut-il arriver? En affichant un message d'erreur qui invite l'utilisateur à se reconnecter l'appareil avec le bouton gauche enfoncé (pour entrer dans le bootloader MCU). Ensuite, le logiciel malveillant peut mettre à jour le MCU par un code malveillant, permettant le logiciel malveillant de prendre le contrôle de l'affichage des boutons de confiance et de confirmation sur l'appareil, le chercheur a expliqué.
Ce type d'attaque peut être tout à fait « fructueuse » si elle est déployée lorsqu'une mise à jour du firmware légitime est libéré.
Comment at-Ledger répondu?
les cadres du grand livre semblent avoir eu une dispute avec Rachid sur les médias sociaux après la mise à jour du firmware a été libéré. Le PDG de Ledger, Éric Larchevêque, même dit que le jeune chercheur a exagéré la gravité de la faille, affirmant que:
La vulnérabilité signalée par Saleem nécessite un accès physique au périphérique avant l'installation de la graine, l'installation d'une version personnalisée du firmware MCU, l'installation d'un logiciel malveillant sur l'ordinateur de la cible et lui confirmer une opération très spécifique.
Voici la réponse de Rashid à cette:
Je suis perplexe quant à l'endroit où cette réclamation pourrait provenir de. Du contact plus tard avec Ledger, J'ai été informé que le PDG n'a pas du tout été informé sur la vulnérabilité de sécurité quand ils ont fait ces commentaires sur Reddit. [...] il existe trois méthodes pour exploiter cette vulnérabilité, dont aucun besoin des conditions aussi improbable que les.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: