«Зламають кожного»: попередження Ledger ставить безпеку гаманців під сумнів

Попередження генерального директора Ledger Паскаля Готьє про те, що кожен зрештою буде зламаний, прозвучало після того, як зловмисники встановили приховані компоненти всередині справжніх апаратних гаманців для перехоплення фраз відновлення. Цей інцидент виводить питання безпеки за межі приватного ключа, що зберігається в чіпі. Власник також залежить від того, чи пристрій дійде до нього неушкодженим, чи залишиться резервна копія конфіденційною, і чи точно екран пояснює, що саме він збирається схвалити.

«Кожен у якийсь момент буде зламаний. Ідеальної безпеки не існує», — сказав генеральний директор Ledger Паскаль Готьє під час інтерв'ю Bloomberg 10 листопада. Він сказав, що це правило стосується як Ledger, так і інших компаній.

Питання, поставлене йому, стосувалося крадіжок, пов'язаних із модифікованими апаратними гаманцями. Ledger вже описав атаку на ланцюг постачання, у якій злочинці купували справжні пристрої, додавали приховані компоненти та повертали їх у канал продажу. Компанія заявила, що компоненти були розроблені для збору фрази відновлення, показаної під час налаштування.

Цей шлях важливий, оскільки він досягає інформації, призначеної для порятунку власника після втрати пристрою. Щойно хтось інший отримує необхідний матеріал для відновлення, він може відтворити доступ в іншому місці. Оригінальний гаманець може продовжувати працювати, поки власник більше не має виключного контролю.

Попередження супроводжувалося захистом бізнесу Ledger

Генеральний директор Ledger Паскаль Готьє використав інтерв'ю, щоб стверджувати, що розподіл зберігання між окремими власниками зменшує концентрацію ризику, властиву великій біржі. Він порівняв втрати, про які говорив інтерв'юер, із значно більшою крадіжкою на Binance і сказав, що індустрія апаратних гаманців втратила меншу частку активів, які вона захищає.

Ці цифри були його порівняльним твердженням. Оцінка рівнів втрат вимагала б узгоджених періодів, чіткого показника захищених активів і узгодженого методу віднесення крадіжок. Заявлені активи великої біржі та оцінка виробником апаратних гаманців активів, контрольованих клієнтами, описують різні сукупності.

Клієнт може використовувати той самий матеріал для підпису з кількома пристроями. Гаманець може зберігати активи на кількох мережах. Виробник може не бачити всіх цих балансів, тоді як біржа зазвичай веде власний облік клієнтів. Це робить знаменник важливим при порівнянні відсотків.

Інтерв'ю також містило аргумент про те, що зловмисники стають більш спроможними завдяки ШІ. Це може бути актуальним для фішингу та імітації, де злочинці намагаються переконати людину розкрити секрет або схвалити дію. Це не пояснює фізичний шлях, використаний у конкретному модифікованому пристрої.

Практична цінність попередження полягає в збої, що йде за ним. Загальне твердження про неминучу компрометацію не може сказати власнику, яка дія ставить під загрозу його кошти. Задокументовані випадки дають більш конкретний опис того, що було розкрито і чому деякі звичні запобіжні заходи не запобігли цьому.

Справжній пристрій може отримати додаткове обладнання

Жовтнева відповідь Ledger відносить модифікацію до етапу після виробництва. У ній зазначено, що зловмисники зберегли справжні пристрої та встановили окреме обладнання, призначене для перехоплення резервної копії під час налаштування. Компанія описує атаку як таку, що відбувається в каналі розповсюдження.

Crypto.news повідомляв про підтвердження Ledger несанкціонованого імпланта в пристрої постраждалого клієнта. Це фізичне виявлення є доказом щодо дослідженого пристрою. Оцінки дослідників блокчейну описують більшу сукупність підозрюваних втрат і мають розглядатися як результати їхнього відстеження.

Причина, чому справжні компоненти мають значення, полягає в тому, що тест на автентичність може бути успішним для компонента, який він перевіряє. Якщо зловмисник залишає цей компонент недоторканим і додає іншу схему, перевірка може встановити походження цієї частини, не встановлюючи відсутності доданої електроніки.

Таким чином, власник може отримати пристрій, який поводиться нормально під час звичайного використання. Мета зловмисника може полягати в спостереженні за одним чутливим моментом під час налаштування, а не в зміні кожної транзакції. Опубліковані технічні висновки Ledger щодо з'єднання екрана описують цей шлях. Екран, що відображає правильні слова відновлення, може їх розкрити, якщо доданий спостерігач може скопіювати те, що отримує екран.

Це змінює питання, яке клієнт ставить щодо каналу продажу. Відносини з авторизованим реселером ідентифікують комерційний канал. Інцидент показує, чому поводження з запасами, повернення та шлях від виробника до покупця також належать до моделі безпеки.

У відповіді Ledger зазначено, що повернені пристрої ніколи не повинні перепродаватися, і описано суворіше поводження із запасами. Crypto.news висвітлював нові правила роздрібної торгівлі, включаючи зміни, покликані зменшити можливість заміни або зміни виставлених продуктів. Ці заходи стосуються шляху до рук власника.

Попередження Trezor стосувалося окремого заявленого пристрою

Повідомлення Trezor від 30 жовтня описувало Safe 5, придбаний через CryptoBilis. Компанія отримала фотографії та провела інтерв'ю з репортером, але заявила, що ще не дослідила пристрій у власній лабораторії.

У звіті описано додаткову плату між основною платою та екраном, із стільниковим компонентом та антеною. Trezor вважав це достатньо достовірним, щоб попередити постраждалих покупців. У звіті компанії шлях придбання був центральним для її запобіжної реакції.

Цей статус має залишатися прикріпленим до звіту. Досліджений імплант Ledger та заявлений пристрій Trezor перебували на різних етапах розслідування в опублікованих повідомленнях. Спільний реселер сам по собі не встановлює, що кожен пристрій, проданий через нього, було змінено.

Висвітлення Crypto.news попередження Trezor пояснює пропозицію компанії щодо заміни обладнання для відповідних покупців. Ця пропозиція та поради щодо міграції стосувалися ризику від пристроїв, поставлених через цей канал. Вони відрізнялися від загального відкликання кожного продукту, який виробляє компанія.

Компанія попросила клієнтів створити новий гаманець із новою резервною копією, до якої застосовувалися її рекомендації. Ця вимога випливає з того, що міг спостерігати підозрюваний компонент. Якщо сама резервна копія була викрадена, інша копія старої конфігурації підпису не усуває доступу зловмисника.

Резервна копія може обійти PIN-код старого пристрою

PIN-код захищає доступ до конкретного пристрою. Фраза відновлення дозволяє власнику відновити гаманець після втрати або пошкодження. Та сама функція дає зловмиснику шлях в обхід старого пристрою, якщо необхідний матеріал для відновлення викрадено.

Відновлення гаманця на заміні підписувача створює ще один спосіб використання тих самих ключів. Воно не відкликає ключі в оригінальному пристрої або в копії зловмисника. Кошти залишаються доступними для витрачання за тих самих умов, доки їх не буде переміщено до нової конфігурації.

Ця різниця видна під час звичайного відновлення. Людина, яка втратила пристрій, може відновити доступ, не вимагаючи від мережі авторизації нового обладнання. Ланцюжок перевіряє, чи задовольняє транзакція умови витрачання, а не те, який фізичний пристрій створив підпис.

Зміна PIN-коду так само впливає на локальний підписувач. Вона не змінює того, що людина, яка має резервну копію, може відновити в іншому місці. Новий чохол, скидання до заводських налаштувань або інший бренд пристрою можуть залишити ключі оригінального гаманця, що контролюють ті самі активи.

Документація Trezor щодо парольної фрази описує додатковий секрет, який може відновити окремий гаманець із резервної копії. Користувачеві потрібна точна комбінація, щоб дістатися до цього гаманця. Втрата парольної фрази також може завадити законному власнику відновити його.

Ця функція додає залежність; її захист залежить від того, як вводяться секрети та що може спостерігати скомпрометована конфігурація. Вона не може замінити розуміння того, який матеріал було викрито внаслідок інциденту. Якщо зловмисник має все необхідне для гаманця, зміна місця зберігання однієї копії власником залишає копію зловмисника придатною для використання.

Інший формат резервної копії може зберегти ті самі ключі

Деякі гаманці дозволяють власнику розділити матеріал для відновлення на частки. Поріг визначає, скільки з них потрібно. Це може зменшити ризик від втрати або викриття однієї збереженої частки, залежно від схеми.

Рекомендації Trezor щодо резервного копіювання з кількома частками пояснюють, що створення нової конфігурації резервного копіювання для того самого сумісного гаманця не анулює попередню резервну копію. Обидві можуть залишатися шляхами до того самого гаманця.

Це важливе обмеження для інакше корисної зміни зберігання. Кращий розподіл нових часток може покращити те, як власник справлятиметься з майбутньою втратою або крадіжкою. Це не скасовує повну резервну копію, яку інша особа вже скопіювала.

Мультипідписний гаманець вирішує іншу частину проблеми. Його правило витрачання може вимагати кількох незалежних ключів для авторизації транзакції. Якщо один скомпрометовано, зловмиснику все ще потрібен решта порогу згідно з конфігурацією.

Підписувачі повинні бути незалежними на практиці. Кілька пристроїв, відновлених з одного й того самого сіда з одним підписом, є копіями одного повноваження. Вони не створюють кількох незалежних схвалень. Зберігання кількох ключів під безпосереднім контролем однієї особи також може концентрувати поріг, який на папері виглядає розподіленим.

Релевантне питання полягає в тому, що зловмиснику потрібно було б зібрати. Викрадений пристрій, скопійована фраза та скомпрометований спільний комп’ютер можуть перетинатися різними способами. Дизайн гаманця має значення поряд із тим, як насправді поводяться з його ключами та інформацією резервної копії.

Дійсний підпис все ще може авторизувати неправильну дію

Інший клас крадіжки не вимагає викрадення фрази відновлення. Користувач може зберігати виключне володіння ключем і підписати запит, який дає комусь іншому владу над активом. Отримана транзакція може бути дійсною за правилами ланцюжка.

Простий переказ авторизує вказаного одержувача та суму. Схвалення токена може надати витрачальнику дозвіл переміщати активи пізніше. Зміна дозволів облікового запису може змінити, хто може діяти від імені облікового запису. Це різні наслідки, навіть коли вони подаються через те саме підключення гаманця.

Апаратний підписувач може захистити ключ від вилучення, все ще виконуючи інструкцію, яку схвалює власник. Ізоляція ключа не може повідомити власнику, чи опис вебсайту відповідає запиту, який підписується. Це робить інформацію, відображену перед підтвердженням, частиною захисту.

Документація Ledger щодо clear-signing описує використання метаданих, які дозволяють пристрою відображати підтримувані деталі транзакції у зрозумілій формі. Покриття залежить від мережі, запиту та відповідної інтеграції. Підтримуваний пристрій не робить кожну можливу взаємодію автоматично зрозумілою.

Власник також повинен розрізняти підпис і транзакцію, яка вже транслювалася в мережу. Деякі підписані повідомлення можуть бути подані пізніше кимось іншим. Закриття вікна браузера після підписання не обов'язково скасовує дозвіл, який створив підпис.

Відкликання дозволу на використання токена може обмежити подальше використання цього дозволу, якщо власник досі контролює обліковий запис і може вчасно подати зміну. Це не скасовує попередній переказ. Якщо кореневий матеріал підпису скомпрометовано, зловмисник може створити нову авторизацію.

Екран є частиною рішення

Транзакція може дійти до підписувача через скомпрометований комп'ютер або вебсайт. Дисплей призначений для того, щоб дати власнику можливість перевірити, що пристрій просять схвалити. Його корисність залежить від показу деталей, які визначають результат.

Для переказу ці деталі включають актив, призначення та суму. Для взаємодії з контрактом важлива інформація може включати отримувача дозволу, ліміт дозволу або роль, яка надається. Знайома назва застосунку менш інформативна, ніж дія, яку авторизував би запит.

Сліпе підписання залишає більше інтерпретації поза пристроєм. Користувач може бачити дані, які він не може змістовно перевірити, і покладатися на хост-застосунок для їх пояснення. Clear-signing може покращити це подання для охоплених запитів, але все ще вимагає від власника прочитати наслідок і вирішити, чи відповідає він його наміру.

Симуляція є ще одним рівнем. Сервіс може оцінити, що транзакція зробить щодо певного стану. Оцінка може допомогти виявити рухи активів або дозволи, тоді як фактичне виконання все ще залежить від стану та запиту, які надходять до мережі.

Атака розповсюдження також ставить окреме питання до екрана. Доданий спостерігач може націлитися на інформацію, показану під час налаштування, навіть якщо відображення транзакції пізніше є точним. Захист шляху від ключа до дисплея та захист таємності резервної копії стосуються різних моментів у житті пристрою.

Генеральний директор Ledger Паскаль Готьє просував архітектуру екрана майбутнього продукту в інтерв'ю Bloomberg. Заява про продукт може вказати, що компанія має намір змінити. Його фактичний захист від відомої атаки потрібно оцінювати щодо поставленої конструкції та умов, за яких атака може діяти.

Заморожений токен — це один крок до відновлення

Після переказу доступна відповідь залежить від активу та того, куди він потрапив. Деякі емітенти токенів можуть обмежувати баланси через свої контракти. Нативний актив, такий як Bitcoin, не має такого самого механізму заморожування, контрольованого емітентом.

Заморожування може зупинити рух зазначеного балансу токенів. Воно саме по собі не вирішує, хто повинен його отримати, і не завершує повернення платежу постраждалим. Відновлення може вимагати окремого процесу для визначення вимог, встановлення повноважень і розподілу активів.

Зловмисник також може обміняти токен до того, як заморожування набуде чинності. Повноваження щодо оригінального токена не контролюють автоматично інший актив, отриманий в обміні. Історія транзакцій може залишатися видимою навіть після того, як конкретна точка втручання минула.

Кастодіан може мати інший вид контролю, якщо кошти надходять на обліковий запис у нього. Він може обмежити виведення згідно зі своїми політиками та застосовним законодавством. Повідомлення, надіслане сервісу, обмеження облікового запису та повернення коштів залишаються окремими подіями.

Це розрізнення корисне при читанні загальної суми втрат. Підозрювані викрадені кошти, баланси, які все ще зберігаються на ідентифікованих адресах, і гроші, фактично повернені власникам, вимірюють різні етапи. Заміна пристрою вирішує питання майбутнього використання апаратного забезпечення. Вона сама по собі не замінює активи, які вже були викрадені.

Особа, яка реагує, також повинна встановити, чи обліковий запис досі перебуває під контролем власника. Дозвіл іноді можна відкликати. Змінений поріг дозволу може перешкодити оригінальному ключу діяти самостійно. Скопійована резервна копія може дозволити зловмиснику відтворити доступ у кількох мережах.

Чому для порівняння втрат потрібна спільна міра

Crypto.news висвітлив суперечку між генеральним директором Ledger Паскалем Готьє та колишнім генеральним директором Mt. Gox Марком Карпелесом щодо попереджень про модифіковані пристрої. Розбіжність підкреслює проблему переходу від підтвердженого механізму до широкого твердження про відносну безпеку.

Дослідник може визначити набір адрес, які, як вважається, пов'язані з певною операцією. Цей набір може змінюватися в міру розвитку відстеження. Виробник може оглянути пристрій і визначити фізичний компонент. Обидва розслідування можуть підтримувати одне одного, не даючи однакової кількості.

Одна резервна копія може контролювати адреси в кількох мережах. Одна людина може мати кілька гаманців. Тому загальна кількість адрес не перетворюється безпосередньо на кількість змінених пристроїв або постраждалих покупців. Ті самі обмеження застосовуються під час оцінки суми, яку захищає виробник.

Порівняння самостійного зберігання з біржею також поєднує різні форми ризику. Біржа може зазнати операційного зламу, неправомірного використання коштів клієнтів або обмеження доступу. Особистий гаманець може втратити резервну копію, схвалити шкідливий запит або надійти зі зміненим обладнанням. Єдиний відсоток може приховати ці різні шляхи.

Практичне порівняння залежить від користувача. Людина, яка може підтримувати незалежні резервні копії та перевіряти запити на підпис, може поводитися з гаманцем інакше, ніж той, хто покладається на відновлення облікового запису біржі. Наявність ризиків в обох варіантах залишає потребу розуміти фактичний шлях контролю та відновлення в кожному з них.

Заява генерального директора Ledger Паскаля Готьє є найбільш корисною, коли прив'язана до цієї роботи. Докази зі справи про імплант ставлять розповсюдження та вразливість резервних копій в одну дискусію з безпекою чіпів. Справи про підпис ставлять читабельну інформацію про схвалення поряд з ізоляцією ключів.

Що змінюється, коли безпеку розглядають як послідовність

Гаманець потрапляє до власника, створює або відновлює ключі, записує резервну копію та підписує запити. Збій на кожному етапі може дати зловмиснику інший вид повноважень. Відповідна реакція залежить від того, чи власник втратив таємність, схвалив дозвіл чи втратив доступ.

Новий пристрій може вирішити проблему зламаного підписувача. Новий набір ключів може усунути залежність від скомпрометованої резервної копії після переказу активів. Відкликання може стосуватися активного дозволу. План успадкування або відновлення може допомогти уповноваженій особі відновити доступ, не передаючи негайних повноважень кожному, хто знає про його існування.

Ці дії стають зрозумілішими, коли інцидент описано точно. Імплант, що захоплює слова налаштування, вимагає іншої реакції, ніж підроблена сторінка, що просить підпис. Результат перевірки автентичності пристрою відповідає на інше питання, ніж огляд на наявність доданої електроніки.

Зміни для роздрібної торгівлі, оголошені Ledger, і поради щодо міграції, видані Trezor, демонструють цю думку. Компанії розглянули, звідки надійшло обладнання та яка резервна копія продовжувала контролювати гаманець. Наступні технічні розкриття можуть показати, яку частину цього шляху закриють майбутні конструкції та засоби контролю розповсюдження.

Налаштування та повсякденне використання мають різні точки вразливості

Фраза відновлення є надзвичайно цінною, оскільки вона може пов'язати налаштування одного гаманця з контролем над багатьма подальшими транзакціями. Компонент, який записує фразу один раз, може дати зловмиснику час зачекати, поки власник внесе більше активів. Протягом цього періоду власник може бачити, що пристрій працює нормально.

Шкідливе схвалення має інший графік. Зловмиснику може знадобитися, щоб власник підписав після того, як на рахунку з'явиться певний токен. Дозвіл може залишатися чинним, доки його не використають або не відкличуть за правилами контракту. Тому втрата може статися значно пізніше після закриття сторінки, яка запросила схвалення.

Зміна дозволів облікового запису може бути ще більш стійкою. Якщо ланцюг дозволяє пороги та ролі, підписана зміна може змінити, які ключі мають право діяти. Власник може все ще зберігати свій початковий секрет, але не мати ваги, необхідної для самостійного здійснення коригувальної транзакції.

Ці механізми вимагають різних записів про інцидент. Підозра на витік фрази починається з того, які гаманці були похідними від матеріалу та які активи залишаються під цими ключами. Розслідування схвалення починається зі спендера, контракту та дозволеної суми. Розслідування дозволів починається з поточних правил підпису облікового запису.

Те саме розрізнення пояснює, чому список постраждалих адрес спочатку може бути неповним. Одна фраза може генерувати кілька облікових записів і адрес. Власник або слідчий може пізніше виявити інший постраждалий ланцюг. Видиме виведення коштів може виявити контроль, не розкриваючи всіх цілей, що залишилися.

Відокремлення заощаджень від використання застосунків змінює рівень ризику

Людина може використовувати один гаманець для активів, які вона рідко переміщує, а інший — для взаємодії із застосунками. Другий обліковий запис може містити лише те, що потрібно для запланованої діяльності. Якщо дозвіл на токен стосується цього облікового запису, активи в окремому обліковому записі перебувають поза межами цього дозволу.

Перевага залежить від того, як організовано ключі. Кілька облікових записів, похідних від одного й того самого скомпрометованого матеріалу відновлення, можуть залишатися доступними для того самого зловмисника. Розмежування в інтерфейсі гаманця не обов'язково створює незалежні секрети.

Схема заощаджень із мультипідписом може додати поріг перед переміщенням коштів. Гаманець для застосунків може використовувати простіший шлях підпису для частих транзакцій. Компроміс полягає в додатковій роботі, потрібній для того, щоб підписувачі заощаджень та інформація для відновлення залишалися доступними для уповноважених осіб.

Поріг також може бути послаблений спільною інфраструктурою. Якщо кілька підписувачів покладаються на той самий скомпрометований хост для опису транзакції, вони можуть схвалити той самий оманливий запит. Незалежні ключі зменшують один шлях до втрати, а читабельні деталі транзакції усувають інший.

Сенс полягає в тому, щоб визначити, до чого може призвести одна компрометація. Дозвіл слід оцінювати за його обсягом. Резервну копію слід оцінювати за обліковими записами, які вона може відтворити. Спільний пристрій або сервіс слід оцінювати за ролями підпису та відновлення, які він виконує.

Інцидент створює другу можливість для видавання себе за інших

Повідомлення Trezor прямо попереджає, що служба підтримки ніколи не запитуватиме фразу відновлення. Процес заміни стосується фізичного пристрою та шляху купівлі клієнтом. Фраза, введена у віддалену форму, може дати іншій особі засіб для відновлення гаманця.

Запит на підпис може бути замаскований під інший вид допомоги. Сторінка може просити власника підтвердити контроль або перевірити право на участь. Відповідне питання все ще полягає в тому, що авторизує запит і чи створює він передаваний дозвіл, а не лише відображає адресу.

Джерело запиту має значення, оскільки наявний клієнт може мати справжню причину очікувати оновлення. Контактна інформація, розкрита в іншому місці, може зробити повідомлення переконливішим, не встановлюючи, що воно надійшло від виробника. Попередні стосунки власника з продавцем не засвідчують автентичність кожного подальшого повідомлення, що містить його ім'я.

Тому програма реагування повинна полегшувати визначення наступного кроку через опубліковані вказівки виробника. Період купівлі, умови заміни та шлях підтримки є кориснішими для постраждалого покупця, ніж загальні запевнення щодо безпеки.

Що має продемонструвати майбутній продукт

Нова архітектура може усунути відомий шлях атаки. Щоб оцінити цю заяву, відповідне питання полягає в тому, яку інформацію зловмисник міг раніше спостерігати і який компонент тепер її захищає. Порівняння має простежувати цей шлях, а не покладатися лише на категорію продукту.

Те саме стосується оновлень програмного забезпечення. Оновлення може покращити інтерпретацію транзакцій або додати підтримку для іншого застосунку. Не можна припускати, що воно видалить додану фізичну апаратну частину або відкличе фразу, вже скопійовану з попереднього налаштування.

Корисне технічне розкриття інформації пояснило б доступ зловмисника, спостережувані дані та умови, необхідні для вилучення. Потім воно могло б показати, як переглянута конструкція змінює одну або кілька з цих умов. Це дає змогу користувачам відрізнити захист, який вони можуть використовувати зараз, від функції, обіцяної для майбутнього обладнання.

Листопадові коментарі генерального директора Ledger Паскаля Готьє ставлять цю майбутню роботу поряд із наявною реакцією. Негайні вказівки все ще залежать від пристрою власника, резервної копії та підписаних дозволів. Наступні продукти оцінюватимуть за тим, як вони захищають ці самі точки повноважень.

На що звернути увагу

• Технічні розкриття: Опубліковані експертизи можуть показати, що спостерігав імплант і які частини пристрою залишилися незмінними.
• Контроль роздрібної торгівлі: Шляхи придбання, обробка повернутого товару та умови заміни визначають, як відповідь досягає постраждалих покупців.
• Покриття підпису: Підтримка гаманців і застосунків визначає, які запити можуть відображати зрозумілі рухи активів і дозволи.
• Атрибуція втрат: Виявлення на пристроях і трасування за адресами повинні ідентифікувати власні сукупності, перш ніж їх об'єднають в оцінку втрат.
• Транзакції відновлення: Повернені активи та задокументовані розподіли встановлюють, що власники відновили після будь-якого заморожування чи обмеження.

Поширені запитання