Η OneKey λέει ότι έχει διορθώσει ένα ελάττωμα που χάκαρε το πορτοφόλι του υλικού σε 1 δευτερόλεπτο

Ο πάροχος πορτοφολιών κρυπτογραφικού υλικού OneKey λέει ότι έχει ήδη αντιμετωπίσει μια ευπάθεια στο υλικολογισμικό του που επέτρεψε σε ένα από τα πορτοφόλια υλικού του να παραβιαστεί σε ένα δευτερόλεπτο.

Ένα βίντεο στο YouTube δημοσιεύτηκε Στις 10 Φεβρουαρίου από την startup για την ασφάλεια στον κυβερνοχώρο Unciphered έδειξε ότι είχαν βρει έναν τρόπο να εκμεταλλευτούν μια «Μαζική κρίσιμη ευπάθεια» που τους επέτρεπε να «σπάσουν» ένα OneKey Mini.

Σύμφωνα με τον Eric Michaud, συνεργάτη της Unciphered, με την αποσυναρμολόγηση της συσκευής και την εισαγωγή κωδικοποίησης, ήταν δυνατή η επαναφορά του OneKey Mini στην "εργοστασιακή λειτουργία" και η παράκαμψη του ακροδέκτη ασφαλείας, επιτρέποντας σε έναν πιθανό εισβολέα να αφαιρέσει τη μνημονική φράση που χρησιμοποιήθηκε για την ανάκτηση ενός πορτοφόλι. 

«Έχετε την CPU και το ασφαλές στοιχείο. Το ασφαλές στοιχείο είναι όπου κρατάτε τα κρυπτογραφικά κλειδιά σας. Τώρα, κανονικά, οι επικοινωνίες κρυπτογραφούνται μεταξύ της CPU, όπου γίνεται η επεξεργασία, και του ασφαλούς στοιχείου», εξήγησε ο Michaud.

«Λοιπόν, αποδεικνύεται ότι δεν είχε σχεδιαστεί για να το κάνει σε αυτή την περίπτωση. Έτσι, αυτό που θα μπορούσατε να κάνετε είναι να βάλετε ένα εργαλείο στη μέση που παρακολουθεί τις επικοινωνίες και τις αναχαιτίζει και στη συνέχεια εισάγει τις δικές τους εντολές», είπε, προσθέτοντας:

"Το κάναμε αυτό όταν λέει στο ασφαλές στοιχείο ότι βρίσκεται σε εργοστασιακή λειτουργία και μπορούμε να βγάλουμε τα μνημονικά σας, που είναι τα χρήματά σας σε κρυπτογράφηση."

Ωστόσο, σε μια δήλωση της 10ης Φεβρουαρίου, η OneKey είπε ότι είχε ήδη απευθύνεται το ελάττωμα ασφαλείας που εντόπισε η Unciphered, σημειώνοντας ότι η ομάδα υλικού της είχε ενημερώσει την ενημερωμένη έκδοση κώδικα ασφαλείας "νωρίτερα φέτος" χωρίς "να επηρεαστεί κανένας" και ότι "Όλες οι ευπάθειες που αποκαλύφθηκαν έχουν ή διορθώνονται".

Η απάντησή μας στις πρόσφατες αναφορές επιδιόρθωσης ασφαλείας https://t.co/Dp9nNp1D0U

— Πορτοφόλι ανοιχτού κώδικα OneKey (@OneKeyHQ) Φεβρουάριος 10, 2023

"Έτσι, με φράσεις κωδικού πρόσβασης και βασικές πρακτικές ασφαλείας, ακόμη και οι φυσικές επιθέσεις που αποκαλύπτονται από το Unciphered δεν θα επηρεάσουν τους χρήστες του OneKey." 

Η εταιρεία τόνισε περαιτέρω ότι ενώ η ευπάθεια ήταν ανησυχητική, το διάνυσμα επίθεσης που προσδιορίστηκε από το Unciphered δεν μπορεί να χρησιμοποιηθεί από απόσταση και απαιτεί «αποσυναρμολόγηση της συσκευής και φυσική πρόσβαση μέσω μιας αποκλειστικής συσκευής FPGA στο εργαστήριο για να είναι δυνατή η εκτέλεση».

Σύμφωνα με το OneKey, κατά τη διάρκεια αλληλογραφίας με την Unciphered, αποκαλύφθηκε ότι υπήρχαν και άλλα πορτοφόλια βρέθηκε να έχει παρόμοια προβλήματα.

«Πληρώσαμε επίσης επιβραβεύσεις στο Unciphered για να τους ευχαριστήσουμε για τη συνεισφορά τους στην ασφάλεια του OneKey», είπε η OneKey.

Συγγενεύων: «Με στοιχειώνει μέχρι σήμερα» — Το έργο Crypto παραβιάστηκε για 4 εκατομμύρια δολάρια σε λόμπι ξενοδοχείου

Στην ανάρτησή της στο blog της, η OneKey είπε ότι έχει ήδη καταβάλει μεγάλη προσπάθεια για να εξασφαλίσει την ασφάλεια των χρηστών της, συμπεριλαμβανομένης της προστασίας τους από επιθέσεις στην εφοδιαστική αλυσίδα — όταν ένας χάκερ αντικαθιστά ένα γνήσιο πορτοφόλι με ένα που ελέγχεται από αυτόν. 

Τα μέτρα της OneKey περιλαμβάνουν συσκευασία που δεν παραβιάζεται για παραδόσεις και χρήση παρόχων υπηρεσιών εφοδιαστικής αλυσίδας από την Apple για να διασφαλιστεί η αυστηρή διαχείριση της ασφάλειας της εφοδιαστικής αλυσίδας.

Στο μέλλον, ελπίζουν να εφαρμόσουν ενσωματωμένο έλεγχο ταυτότητας και να αναβαθμίσουν νεότερα πορτοφόλια υλικού με στοιχεία ασφαλείας υψηλότερου επιπέδου.

Το OneKey έγραψε ότι το κύριο σκοπός των πορτοφολιών υλικού ήταν πάντα η προστασία των χρημάτων των χρηστών από επιθέσεις κακόβουλου λογισμικού, ιούς υπολογιστών και άλλους απομακρυσμένους κινδύνους, αλλά δυστυχώς, τίποτα δεν μπορεί να είναι 100% ασφαλές. 

«Όταν εξετάζουμε ολόκληρη τη διαδικασία κατασκευής πορτοφολιών υλικού, από κρυστάλλους πυριτίου μέχρι κώδικα τσιπ, από υλικολογισμικό έως λογισμικό, είναι ασφαλές να πούμε ότι με αρκετά χρήματα, χρόνο και πόρους, μπορεί να παραβιαστεί οποιοδήποτε εμπόδιο υλικού, ακόμα κι αν πρόκειται για πυρηνικό όπλο. σύστημα ελέγχου."