OneKey usuwa lukę w zabezpieczeniach, która umożliwiła włamanie do portfela sprzętowego

OneKey, firma dostarczająca sprzętowe portfele kryptograficzne, powiedziała, że ​​załatała już lukę w swoim oprogramowaniu, która umożliwiła przejęcie jednego z jej portfeli sprzętowych w mniej niż sekundę.

Unciphered, firma zajmująca się cyberbezpieczeństwem, powiedziała w filmie przesłanym na YouTube 10 lutego, że odkryła sposób na „złamanie” OneKey Mini, wykorzystując „ogromną poważną wadę” i wykorzystując ją.

Według Erica Michauda, ​​partnera w Unciphered, możliwe było przywrócenie OneKey Mini do „trybu fabrycznego” i ominięcie zabezpieczenia poprzez rozmontowanie urządzenia i wprowadzenie kodu. Pozwoliłoby to potencjalnemu atakującemu usunąć frazę mnemoniczną używaną do odzyskania portfela. Stało się to możliwe dzięki przywróceniu urządzenia do „trybu fabrycznego”.

„Masz jednostkę centralną oraz element zabezpieczający. Twoje klucze kryptograficzne będą zawsze przechowywane w bezpiecznym elemencie. Michaud zauważył, że w typowej sytuacji połączenia między jednostką centralną (CPU), w której odbywa się przetwarzanie, a bezpiecznym elementem są szyfrowane.

„Cóż, jak się okazuje, w tym konkretnym przypadku nie został do tego zbudowany. „To, co można zrobić, to umieścić w środku narzędzie, które monitoruje komunikację i przechwytuje ją, a następnie wstrzykuje własne polecenia”, powiedział, dodając: „Mówiąc to, z hasłami i podstawowymi praktykami bezpieczeństwa, nawet fizycznymi atakami ujawnionymi przez Unciphered nie wpłynie na użytkowników OneKey”. 

Firma podkreśliła następnie, że pomimo faktu, że luka jest niepokojąca, wektor ataku odkryty przez Unciphered nie może być używany zdalnie. Zamiast tego wymaga „demontażu urządzenia i fizycznego dostępu przez dedykowane urządzenie FPGA w laboratorium”, aby było możliwe do wykonania.

Według OneKey, po dyskusji z Unciphered, ujawniono, że inne portfele mają podobne problemy. Zostało to ujawnione, gdy odkryto, że inne portfele miały ten sam problem.

OneKey powiedział, że zrekompensował Unciphered nagrodami jako sposób wyrażenia wdzięczności za ich wkład w bezpieczeństwo firmy.

OneKey powiedział w poście na blogu, że podjął już znaczne środki ostrożności, aby zapewnić bezpieczeństwo swoim klientom. Te środki ostrożności obejmują ochronę klientów przed atakami w łańcuchu dostaw, które mają miejsce, gdy haker zastępuje prawdziwy portfel portfelem, który jest pod jego kontrolą.

Zabezpieczające opakowania do przesyłek były jednym z kroków podjętych przez OneKey, wraz z wykorzystaniem własnych dostawców usług łańcucha dostaw Apple w celu zapewnienia ścisłego zarządzania bezpieczeństwem łańcucha dostaw.

Mają aspiracje, aby dodać uwierzytelnianie na pokładzie w niezbyt odległej przyszłości i zaktualizować nowsze portfele sprzętowe o komponenty bezpieczeństwa wyższego poziomu.

Zgodnie z tym, co powiedział OneKey, głównym celem portfeli sprzętowych zawsze była ochrona aktywów finansowych użytkowników przed cyberatakami, wirusami komputerowymi i innymi potencjalnymi zagrożeniami; niemniej jednak, niestety, nic nie może być całkowicie bezpieczne.

„Kiedy spojrzymy na cały proces produkcji portfeli sprzętowych, od kryształów krzemu po kod chipa, od oprogramowania układowego po oprogramowanie, można śmiało powiedzieć, że każdą barierę sprzętową można przełamać przy wystarczającej ilości pieniędzy, czasu i zasobów; nawet jeśli jest to system kontroli broni jądrowej”. „Kiedy spojrzymy na cały proces produkcji portfeli sprzętowych, od kryształów krzemu po kod chipa, od oprogramowania układowego po oprogramowanie”,