Hardware Bitcoin Dompet yang diserang: Kepentingan Pendedahan Yang Bertanggungjawab
Berikutan artikel semalam tentang kelemahan yang ditemui dalam dompet perkakasan, kedua-dua Trezor dan Ledger telah memanggil 'bermain busuk' atas pendedahan yang tidak bertanggungjawab. […]
Pendedahan Bertanggungjawab
Di dunia keselamatan, penggodam umumnya hanya terbuka kepada orang ramai dengan penemuan mereka selepas memberi syarikat masa untuk menampung kelemahan. Mengisytiharkan kaedah serangan yang berpotensi sebelum vendor telah menangani mereka meninggalkan pengguna yang terdedah kepada risiko yang tidak perlu.
Penjual yang bertanggungjawab sebenarnya menggalakkan penggodam untuk menyerang produk mereka, seperti dengan mengenal pasti kelemahan, keselamatan keseluruhan bertambah baik. Kedua-dua Trezor dan Ledger menawarkan program bounty bug, memberi ganjaran kepada para penyelidik yang mencari kelemahan dan melaporkannya secara langsung.
Epic Fail
Persembahan Wallet.fail pada persidangan # 35C3 kelihatan seperti telah digerudi seperti bolt dari biru. Trezor jelas tidak menyedari kelemahan itu, seperti CTO Pavel Rusnak, melompat terus ke Twitter untuk mengatakan demikian. Beliau mengetahui tentang isu-isu dengan penonton yang lain, jadi menjelaskan bahawa masalah itu akan mengambil sedikit masa untuk menetapkan.
Berkaitan dengan penemuan # 35c3 tentang @Trezor kami tidak dimaklumkan melalui program Pendedahan yang Boleh Diputuskan sebelum ini, jadi kami mengetahui tentang mereka dari panggung. Kami perlu mengambil sedikit masa untuk membetulkannya dan kami akan menangani mereka melalui kemas kini firmware pada akhir bulan Januari.
– stick⚡Pavol Rusnak @ 35c3 (@pavolrusnnn) 28 Disember 2018
Bagaimanapun, dia kemudian mencadangkan bahawa dia telah mengadakan perbincangan dua jam yang membina dengan wallet.fail mengenai kelemahan. Dia pastinya kelihatan lebih gembira berikutan hasil mesyuarat ini.
Vulnerabilities Praktikal Bitcoin Hardware Dompet
Ledger juga cepat untuk bertindak balas, menunjukkan dalam postingan blog bahawa wallet.fail telah tidak mengikuti prinsip keselamatan standard. Walau bagaimanapun, Ledger juga mempersoalkan kepraktisan kerentanan yang digariskan dalam persembahan.
Ia secara khusus menegaskan bahawa kumpulan itu tidak mengeluarkan benih atau PIN dari mana-mana peranti. Rujukan tidak terlalu halus kepada pesaingnya, Trezor, mungkin
Selain serangan sisi RF pada PIN Ledger Blue, wallet.fail terperinci serangan menggunakan implan perkakasan peranti, dan perisian PC kompromi untuk memberi kuasa kepada penyangak transaksi pada Ledger Nano S. Jawatan blog menunjukkan bahawa kedua-dua serangan memerlukan lebih banyak usaha daripada memasang kamera pengintip untuk mencari PIN pengguna.
0xf00dbabe MCU bypass
Kerentanan lanjut yang terlibat memintas cek MCU untuk flash dan melaksanakan firmware yang tidak ditandatangani. Ledger mendakwa bahawa ini adalah ciri, walaupun bug membenarkan pemasangan firmware yang tidak dipaparkan. Dalam hal apapun, MCU tidak membenarkan akses ke PIN atau benih.
Claim Wallet.fail telah menasihatkan Lejar mengenai isu ini bulan lalu, dan sesungguhnya Ledger mengatakan ini telah ditambal dalam kemas kini firmware seterusnya. [19659007] Hanya untuk memperjelaskan, kami mendedahkan "kerentanan" ini kepada @LedgerHQ 161 hari lalu. https://t.co/5TqTPeGVfU
– WALLET.FAIL (@walletfail) 28 Disember 2018
Sekiranya wallet.fail telah mendedahkan bug kepada Lejar dan Trezor terlebih dahulu? Kongsi di bawah!
Imej ihsan Shutterstock