Sıradan kripto para sahiplerinin donanım cüzdanlarına yönelik gelişmiş müdahaleleri tespit etmesi gerçekçi biçimde beklenemez; güvenlik araştırmacısı Joe Grand salı günü Cointelegrapha böyle söyledi.
Grand, donanım güvenliği konusunda uzmanlaşıyor ve kilitli cüzdanlardaki kripto paraların kurtarılmasına yardımcı oldu. Çalışmaları arasında güvenlik korumalarını aşmaya ve Trezor ile KeepKey tarafından üretilen cüzdanlarda kullanılan bellek çiplerinden veri çıkarmaya yönelik teknikler geliştirmek de bulunuyor.
Grand, “İnsanlara cihazlarını nasıl incelemeleri gerektiğini anlatmak gerçekten zor, çünkü benim gibi teknik kişiler bile her bir cihazın kurcalanıp kurcalanmadığını görmek için cihazlara tek tek bakmıyor,” dedi.
Endişeler, Endonezya, Malezya ve Filipinlerde yetkili satıcı olarak listelenen bir yeniden satıcı olan CryptoBilis üzerinden satılan Ledger cihazlarıyla bağlantılı kripto kayıplarının cuma günü bildirilmesinin ardından ortaya çıktı. Ledger cumartesi günü, etkilenen cihazlardan birinin yetkisiz bir implant içerdiğini doğruladı.
Fransız donanım cüzdanı üreticisi, CryptoBilis tarafından satılan Ledger cüzdanlarındaki kötü amaçlı implantların kullanıcıların kurtarma ifadelerini ele geçirerek bunları hücresel ağlar üzerinden ilettiğini söyledi.
Daha fazla kontrol, daha az güven anlamına gelmiyor
Donanım cüzdanları, özel anahtarları çevrimdışı tutacak şekilde tasarlanır; böylece yazılım cüzdanlarını hedef alabilen çevrimiçi saldırılara maruz kalma azalır.
Bazı donanım cüzdanları dünya çapında popülerlik kazandı ve dağıtım ağları tedarik zincirine yönelik müdahaleler için fırsatlar yarattı.
Kripto analisti Mati Greenspan, 2013‘ten beri sektörde yer almasına rağmen hiçbir zaman donanım cüzdanı kullanmadığını ve başka bir güven zinciri eklemenin değerini düşük gördüğünü Cointelegraph’a söyledi.
İlgili: MediaMarktSaturn, müdahale raporlarının ardından Ledger ürünlerini satıştan çekiyor
Greenspan, “Bir donanım cüzdanı satın aldığınızda, üreticiden tedarikçiye ve cihaz size ulaşmadan önce cihazı kullanan kişiye kadar yepyeni bir güven zinciri oluşturuyorsunuz,” dedi.
Bitcoin güvenlik şirketi Casa‘nın CEO’su Nick Neuman, üçüncü taraflara güvenmekten tamamen kaçınmanın imkânsız olduğunu söyledi. “Güvenmeniz gereken her zaman bir aracı vardır,” diyen Neuman, kullanıcıların yalnızca tek bir sağlayıcıya güvenmek yerine risklerini birden fazla sağlayıcıya dağıtmaları gerektiğini ekledi.
Güvenlik kontrolleri her şeyi yakalayamaz
Ledgerın başlıca rakiplerinden Trezor, cihazlarının orijinallik kontrollerinden geçtiğini ve yalnızca imzalı aygıt yazılımlarını kabul ettiğini söyledi; ancak bu korumaların fiziksel müdahale olasılığını ortadan kaldıramayacağını kabul etti.
Bir Trezor sözcüsü Cointelegrapha, “Ambalajın ve holografik mührün sağlam olduğunu kontrol edebilir, ayrıca cihazda olağandışı izler arayabilirsiniz; ancak yalnızca bu kontroller cihazın değiştirilmediğini garanti edemez,” dedi.
İlgili: Ledger, yeniden satıcılardan Güneydoğu Asya ve Hong Kongdaki satışları durdurmalarını istiyor
Şirket, Ledger cihazlarında bulunan implantların farklı bir zorluk yarattığını, çünkü aygıt yazılımını değiştirmeden ekrandaki bilgileri ele geçirdiğini söyledi. Trezor, kendi cihazlarında bu tür bir saldırı gözlemlemediğini belirtti.
Trezor salı günü, “önleyici” bir adım olarak yeniden satıcı sayısını azaltacağını duyurdu.
Donanım cüzdanı tasarımları müdahale risklerini azaltabilir
Grand, iç bileşenleri görünür kılan şeffaf kasalardan saldırganları değişiklikleri gizlemek için muhafazayı yeniden üretmeye zorlayacak müdahaleye dayanıklı muhafazalara kadar çeşitli fiziksel tasarım değişiklikleri önerdi.
“Bir saldırganın cihaza ek donanım yerleştirmesi çok daha zor olacak, çünkü tüm muhafazayı yeniden üretmesi gerekecek,” dedi.
Güvenlik araştırmacısı ayrıca elektronik mühendisi Dave Jonesun müdahale önleyici tasarım önerilerine işaret etti; ancak bu tür önlemlere tek başına güvenilmemesi gerektiği konusunda uyardı. Bu önlemler tedarik zinciri saldırılarını zorlaştırabilir, ancak riski ortadan kaldırmaz.