Ledger donanım cüzdanı implantları, cihazların yetkili satıcılar dâhil alıcılara ulaşmadan önce cihazlarla ilgilenen aracıları yeniden mercek altına aldı.
Ordinary cryptocurrency owners cannot realistically be expected to detect sophisticated tampering with hardware wallets, security researcher Joe Grand told Cointelegraph on Tuesday.
Güvenlik araştırmacısı Joe Grand, Salı günü Cointelegraph’a yaptığı açıklamada, sıradan kripto para sahiplerinin donanım cüzdanlarındaki sofistike müdahaleleri gerçekçi şekilde tespit etmesinin beklenemeyeceğini söyledi.
Grand donanım güvenliğinde uzmanlaşmış olup kilitli cüzdanlardan kripto para kurtarmaya yardımcı oldu. Çalışmaları arasında Trezor ve KeepKey üretimi cüzdanlarda kullanılan bellek yongalarından veri çıkarmak ve güvenlik korumalarını aşmak için teknikler geliştirmek yer alıyor.
“İnsanlara cihazlarına nasıl bakmaları gerektiğini gerçekten açıklaması zor. Teknik insanlar bile olan ben, her cihazın müdahale edilip edilmediğini kontrol etmiyorum,” dedi Grand.
Endişeler, Cuma günü Endonezya, Malezya ve Filipinler’de yetkili olarak listelenen bir yeniden satıcı olan CryptoBilis üzerinden satılan Ledger cihazlarında kripto kayıplarının bildirilmesiyle ortaya çıktı. Ledger Cumartesi günü etkilenen bir cihazda yetkisiz bir implant bulunduğunu doğruladı.
Fransız donanım cüzdanı üreticisinin açıklamasına göre, CryptoBilis tarafından satılan Ledger cüzdanlarındaki kötü amaçlı implantlar kullanıcıların kurtarma ifadelerini yakaladı ve bunları hücresel ağlar üzerinden iletti.
Daha fazla kontrol, daha az güven anlamına gelmiyor
Donanım cüzdanları özel anahtarları çevrimdışı tutmak üzere tasarlandı; bu da yazılım cüzdanlarını hedef alan çevrimiçi saldırılara karşı maruziyeti azaltıyor.
Bazı donanım cüzdanları küresel çapta popülerlik kazandı ve dağıtım ağları tedarik zinciri üzerinden müdahale fırsatları yarattı.
Kripto analisti Mati Greenspan, 2013’ten beri sektörde yer almasına rağmen donanım cüzdanı kullanmadığını Cointelegraph’a söyledi; başka bir güven zinciri eklemede pek bir değer görmüyor.
“Donanım cüzdanı aldığınızda üreticiden tedarikçiye, cihaz size ulaşana kadar kimlerin elinden geçtiğine kadar tamamen yeni bir güven zinciri oluşturuyorsunuz,” diye konuştu Greenspan.
Bitcoin güvenlik şirketi Casa’nın CEO’su Nick Neuman, üçüncü taraf güveninden tamamen kaçınmanın imkânsız olduğunu söyledi. “Her zaman güvenmeniz gereken bir aracı olur,” dedi ve kullanıcıların riski tek bir sağlayıcıya yüklemek yerine birden fazla sağlayıcı arasında dağıtması gerektiğini ekledi.
Güvenlik kontrolleri her şeyi yakalayamaz
Ledger’ın başlıca rakiplerinden Trezor, cihazlarının kimlik doğrulama kontrollerinden geçtiğini ve yalnızca imzalı ürün yazılımını kabul ettiğini söyledi; ancak bu korumaların fiziksel müdahaleyi dışlayamayacağını kabul etti.
“Ambalajın ve holografik mührün sağlam olduğunu kontrol edebilir, cihazda olağandışı işaretler arayabilirsiniz, ancak bu kontroller tek başına cihazın değiştirilmediğinin garantisini vermez,” diye konuştu Cointelegraph’a konuşan bir Trezor sözcüsü.
Şirket, Ledger cihazlarında bulunan implantların ürün yazılımını değiştirmeden ekrandan bilgi yakaladığı için farklı bir zorluk oluşturduğunu söyledi. Trezor, kendi cihazlarında bu tür bir saldırıya rastlamadığını belirtti.
Salı günü Trezor, “önleyici” bir adım olarak yeniden satıcı sayısını azaltacağını duyurdu.
Donanım cüzdanı tasarımları müdahale riskini azaltabilir
Grand, iç bileşenleri gösteren şeffaf kasalardan, değişiklikleri gizlemek için saldırganların kasayı yeniden oluşturmasını zorunlu kılacak müdahale dirençli muhafazalara kadar çeşitli fiziksel tasarım değişiklikleri önerdi.
“Bir saldırganın cihaza ek donanım enjekte etmesi çok daha zor hale gelir, çünkü tüm kasayı yeniden oluşturması gerekir,” dedi.
Güvenlik araştırmacısı ayrıca elektronik mühendisi Dave Jones’un müdahale önleyici tasarım önerilerine de değindi; bu önlemlerin tek başına güvenilmemesi gerektiği konusunda uyarıda bulundu. Tedarik zinciri saldırılarını daha zor hale getirebilirler, ancak riski ortadan kaldırmazlar.
