Společnost Ledger potvrdila, že série pozměněných hardwarových peněženek prodávaných firmou CryptoBilis může projít její ověřovací kontrolou Genuine Check. Upravená zařízení ponechávají bezpečnostní čip a operační systém nedotčené, což znamená, že standardní kontrola integrity vrátí čistý výsledek, i když byl hardware pozměněn. Implantovaná součástka přenáší recovery fráze přes LTE.
To je ta důležitá část. Genuine Check je nástroj, který Ledger doporučuje uživatelům spustit, aby potvrdili, že zařízení nebylo napadeno. Pokud nedokáže tuto modifikaci odhalit, je ujištění, které poskytuje, užší, než většina lidí předpokládá.
Co vlastně tampering dělá
Přidaný hardware sedí vedle čipu a OS, aniž by je nahrazoval nebo měnil. Ledger uvádí, že bezpečnostní prvek a firmware zůstávají nezměněny. Úkolem implantátu je zachytit seed fráze a odeslat je přes mobilní datové připojení, což znamená, že peněženka může vypadat a chovat se normálně až do okamžiku, kdy se přesunou prostředky.
Protože je modifikace na hardwarové úrovni a mimo normální ověřovací cestu čipu, Genuine Check nemá co označit. Kontrola autentizuje čip. Nekontroluje každou součástku na desce.
Proč to Genuine Check nezachytí
Genuine Check od Ledgeru funguje tak, že ověřuje kryptografický podpis bezpečnostního prvku. To je silný test na padělané čipy a klonovaný firmware. Není to a nikdy nebylo navrženo jako úplná demontáž fyzického zařízení. Zkušený útočník s přístupem k dodavatelskému řetězci může přidat obvody, které čip nikdy nevidí.
Společnost jasně uvedla, že tento druh tamperingu spadá mimo to, co může kontrola vyloučit. To je poctivé přiznání, ale také vymezuje, co by uživatelé měli od nástroje, který mnozí považují za konečnou bezpečnostní síť, očekávat.
Souvislost s CryptoBilis
Postižené peněženky prodávala firma CryptoBilis, což je prodejce. Tento detail je důležitý, protože ukazuje na problém v dodavatelském řetězci, nikoli na vadu ve výrobě samotného Ledgeru. Zařízení, která procházejí přes třetí strany, než se dostanou k zákazníkům, jsou jen tak důvěryhodná jako tyto strany samotné.
Ledger neuvedl, kolik jednotek je zapojeno ani jak se kompromitovaný hardware dostal do inventáře CryptoBilis. To jsou zjevné otevřené otázky a společnost na ně zatím neodpověděla.
Co to znamená pro každého, kdo vlastní přeprodaný Ledger
Pokud jste si koupili Ledger od prodejce, nikoli přímo od společnosti, úspěšné projítí Genuine Check věc neřeší. Jedinou spolehlivou obranou proti hardwarovému implantátu je vygenerovat si recovery frázi na zařízení sami a nikdy nepřijmout předinicializovanou peněženku. Zařízení, které dorazí s již nastavenou seed frází, je třeba považovat za kompromitované, tečka.
Doporučení Ledgeru už dlouho zní kupovat přímo a inicializovat si vlastní zařízení. Tato epizoda dává této radě konkrétní důvod, nikoli obecný.
Společnost zatím neuvedla, zda plánuje aktualizovat Genuine Check tak, aby detekoval tuto třídu modifikací, ani zda hodlá podniknout právní kroky proti CryptoBilis kvůli kompromitovanému inventáři. Dokud se tak nestane, je třeba sledovat mezeru mezi tím, co Genuine Check ověřuje, a tím, co si uživatelé myslí, že ověřuje.
