Un tânăr de 15 ani a descoperit un defect de securitate al portofeului hardware Ledger pentru criptomonede
Un cercetător în domeniul securității de doar 15 ani a descoperit un defect de securitate serios al portofelelor hardware pentru criptomonete produse de Ledger.
Ledeger este o comapanie franceză care produce portofele menite să protejeze în mod fizic chei publice și chei private folosite pentru a primi sau cheltui criptomonede, scrie krebsonsecurity.com.
Portofelele hardware sunt create pentru a proteja cheile private folosite de utilizator de software malițios care ar putea încerca să culeagă aceste informații de pe computerul utilizatorului. aceste dispozitive permit efectuarea de tranzacții prin conectarea la un port USB al computerului utilizatorului, dar nu dezvăluie cheile private către computer.
Dar Saleem Rashid, un cercetător în domeniul securității de doar 15 ani din Marea Britanie a descoperit un mod de a obține cheile private de pe dispozitivele produse de Ledger. Metoda găsită de tânăr necesită accesul fizic asupra dispozitivului, ceea ce nu poate fi luat în considere ca fiind o gravă problemă deoarece dacă un dispozitiv ajunge în mâna hackerului, nu mai este dispozitivul tău.
Însă este o problemă în ceea ce privește popularitatea dispozitivelor produse de Ledger. Acestea sunt foarte populare, cererea fiind deja mai mare decât oferta. În plus, Rashid a descoperit că un furnizor ar putea instala pe portofelul hardware un malware care să golească apoi contul clientului care îl folosește.
Protofelul de la Ledger conține un microprocesor securizat dar microcontrolerul nu este unul sigur. Acesta este folosit pentru conexiunea USB, afișarea textului pe ecranul USB și altele, dar cele două procesoare încă comunică între ele. Rashid a descoperit că poate compromite un microprocesor fără ca să se poate ști asta. Deși portofelul are un mecanism pentru a se asigura că sofware-ul nu a fost modificat, Rashid a putut trece de acest mecanism de control.
Producătorii portofelului hardware pentru criptomonede a publicat o actualizare firmware pentru a remedia defectele de securitate. Saleem Rashid nu a făcut singur descoperirea, ci împreună cu alți doi cercetători, conform bitcoin.com.
Pe 20 martie, Ledger a emis actualizarea firmware 1.4.1 pentru a rezolva problemele de securitate care au fost raportate în mod responsabil de cercetători. Ledger a postat pe blog detaliile legate de actualizare, încurajând utilizatorii să își actualizeze versiunea firmware.
Atacul asupra Ledger Nano S a fost testat și de companie care a vrut să ofere o recompensă cercetătorilor. Rashid însă nu a acceptat recompensa pentru că ar fi însemnat că nu ar fi avut voie să își publice propriul raport legat de această vulnerabilitate. Tânărul este de părere că Ledger ar fi vrut să minimalizeze importanța atacului.
Confrom postării de pe blogul lui Saleem Rashid, portofelele hardware au nevoie de o protecție împotriva unei game largi de atacuri, inclusiv atacuri de la distanță ce țintesc portofelele hardware pentru criptomonede prin intermediul unui malware descărcat pe computer, atacuri în care atacatorul poate modifica dispozitivul înainte ca acesta să ajungă la client și acces fizic neautorizat în cazul în care atacatorul poate compromite dispozitivul în momentul în care au acces fizic la el.
