Ledger portafogli hardware criptovaluta sono stati trovati ad essere vulnerabile, un ricercatore di sicurezza adolescente rivelato in un post sul blog. Il 15-year-old Saleem Rashid ha scoperto il bug che ha permesso agli aggressori di fabbricare generazione del seme del dispositivo, e in questo modo raccogliere i fondi conservati negli indirizzi prodotto da tali sementi. “La vulnerabilità è sorto a causa di uso di Ledger di un'architettura personalizzata per risolvere molte delle limitazioni del loro elemento sicuro”, Rashid ha spiegato.
Come può questa vulnerabilità essere sfruttata?
Un aggressore può sfruttare il difetto di compromettere il dispositivo prima che l'utente riceve, il giovane ricercatore ha detto. Un utente malintenzionato può anche rubare le chiavi private dal dispositivo fisicamente o anche da remoto.
L'accesso fisico prima della messa a punto del seme è possibile. Questo è noto come attacco filiera. Questo tipo di attacco in genere non ha bisogno di malware inizialmente installato sul sistema mirato. Inoltre non è necessario all'utente di confermare tutte le transazioni. Il ricercatore è stato in grado di dimostrare questo attacco su un vero Ledger Nano S. Ha anche andato oltre - ha inviato il codice sorgente per Ledger in modo che la società potrebbe riprodurla.
Più specificamente, un attacco della supply chain è quando un cattivo attore viene installato il firmware maligno su un dispositivo Ledger e poi lo vende su un mercato di terze parti come Amazon o eBay. E questo non è uno scenario improbabile, come gli utenti spesso, ma i dispositivi da rivenditori di terze parti. Per quanto riguarda il motivo per cui gli utenti sono disposti a correre questo rischio - produttori portafoglio hardware sono spesso in grado di produrre dispositivi abbastanza per tenere il passo con la crescente domanda e correre esaurito.
La vulnerabilità garantisce anche l'accesso fisico dopo l'installazione. Questo tipo di compromesso consente al malintenzionato di estrarre il codice PIN, seme di recupero e tutte le macchine BIP-39 passphrase. L'unica condizione è che il dispositivo è stato utilizzato locazione una volta prima dell'attacco vero e proprio.
Questo tipo di attacco, inoltre, non ha bisogno di malware pre-installato sulla macchina, e non richiede all'utente di confermare tutte le transazioni. L'unica cosa che è necessario è l'attaccante di installare un firmware personalizzato MCU per far trapelare le chiavi private, senza la conoscenza dell'utente.
E infine, la vulnerabilità può essere sfruttato in un attacco di malware che può essere effettuato con l'ausilio di tecniche di social engineering. In questo scenario, l'utente dovrà aggiornare il firmware MCU su una macchina infetta. Come può accadere? Con la visualizzazione di un messaggio di errore che chiede all'utente di ricollegare il dispositivo con il tasto sinistro premuto (per entrare nel bootloader MCU). Poi il malware può aggiornare la MCU con malware, permettendo il malware di prendere il controllo dei pulsanti di visualizzazione e conferma attendibili sul dispositivo, il ricercatore spiegato.
Questo tipo di attacco può essere molto “fruttuoso” se viene distribuito quando un aggiornamento del firmware legittima viene rilasciato.
Come ha risposto Ledger?
dirigenti Ledger sembrano avere avuto una discussione con Rashid sui social media, dopo l'aggiornamento del firmware è stato rilasciato. Il CEO di Ledger, Eric Larcheveque, anche detto che il giovane ricercatore esagerato la gravità del difetto, sostenendo che:
La vulnerabilità segnalata da Saleem richiede l'accesso fisico al dispositivo prima configurazione del seme, l'installazione di una versione personalizzata del firmware MCU, l'installazione di un malware sul computer del bersaglio e hanno lo confermare una transazione molto preciso.
Ecco la risposta di Rashid a questa:
Sono perplesso su dove questa affermazione potrebbe avere origine da. Dal contatto più tardi con Ledger, Sono stato informato che il CEO non era affatto stato informato sulla vulnerabilità di sicurezza quando hanno fatto questi commenti su Reddit. [...] ci sono tre metodi per sfruttare questa vulnerabilità, nessuno dei quali richiedono condizioni improbabile quanto quelli.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: