Trezors maskinvarelommebok har en sårbarhet i sin TROPIC01-sikkerhetsbrikke, har en revisjon utført av Ledgers sikkerhetsarm avslørt. Selskapet bak de populære kaldlagringsenhetene var raskt ute med å forsikre brukerne om at midlene forblir trygge til tross for feilen.
Feilen i sikkerhetsbrikken
Sårbarheten ble avdekket av Ledger Donjon, det interne sikkerhetsforskningsteamet til Trezors konkurrent Ledger. Den påvirker TROPIC01-brikken, en dedikert sikkerhetsprosessor designet for å beskytte private nøkler og sensitive operasjoner. Revisjonen spesifiserte ikke om sårbarheten kunne utnyttes eksternt eller krevde fysisk tilgang, men Trezor har bekreftet funnet.
Sikkerhetsbrikker er en standardkomponent i maskinvarelommebøker, ment å gi et ekstra lag med beskyttelse mot tukling og sidekanalangrep. En svakhet i denne komponenten kunne teoretisk sett tillate en angriper å hente ut nøkler eller omgå sikkerhetskontroller. Trezor har ikke offentliggjort detaljer om den nøyaktige naturen til feilen, og viser i stedet til den pågående revisjonsprosessen.
Trezors svar
I en uttalelse etter offentliggjøringen sa Trezor at brukermidlene er 'trygge.' Selskapet kunngjorde ingen tilbakekalling, fastvareoppdatering eller noen umiddelbar handling for kundene. Forsikringen antyder at sårbarheten ikke utsetter aktive lommebøker for tyveri under normale forhold, eller at angrepet krever forhold som er vanskelige å oppfylle i praksis.
Trezors tilnærming til sikkerhet er ofte avhengig av åpenhet – selskapet publiserer åpen kildekode-fastvare og har tidligere invitert til tredjepartsrevisjoner. Men stillheten rundt en løsning etterlater noen spørsmål ubesvart. Andre produsenter av maskinvarelommebøker ruller vanligvis ut en oppdatering kort tid etter at en sårbarhet er rapportert, selv om risikoen er lav.
Ledger Donjons rolle
Ledger Donjon har en historie med å finne feil i konkurrenters produkter. Teamet har tidligere avslørt svakheter i Trezors tidligere modeller, inkludert One og Model T. Dette siste funnet fortsetter det mønsteret. Ledger og Trezor konkurrerer om det samme markedet av kryptobrukere som ønsker kaldlagring, så revisjonen bærer preg av rivalisering. Likevel følger offentliggjøringen bransjenormer: forskere deler funnene med leverandøren før de går ut offentlig, slik at det blir tid til en løsning.
Det er ikke klart når revisjonen startet eller hvor lang tid Trezor hadde på seg til å svare før nyheten ble kjent. Fraværet av en oppdatering på tidspunktet for offentliggjøringen kan indikere at sårbarheten anses som lav alvorlighetsgrad, eller at en maskinvarerevisjon er nødvendig i stedet for en enkel programvareoppdatering.
Hva brukere bør vite
Foreløpig er Trezors budskap enkelt: gjør ingenting. Selskapet fastholder at midlene ikke er i fare. Brukere som er bekymret, kan ta grunnleggende forholdsregler – bruke en sterk passfrase, holde fastvaren oppdatert, og kjøpe enheter kun fra offisielle kanaler. Men Trezor har ikke utstedt en spesifikk advarsel eller endret veiledningen.
Denne episoden understreker det pågående katt-og-mus-spillet innen maskinvaresikkerhet. Lommebøker som en gang ble ansett som ugjennomtrengelige, testes jevnlig av white-hat-forskere, og produsentene svarer deretter. Den virkelige testen kommer hvis en fremtidig sårbarhet viser seg å være mer alvorlig enn denne.
