Ledger, CryptoBilis tarafından satılan bir grup kurcalanmış donanım cüzdanının Orijinallik Kontrolü'nden (Genuine Check) geçebildiğini doğruladı. Değiştirilmiş cihazlar güvenli çipi ve işletim sistemini değiştirmeden bırakıyor, yani donanım kurcalanmış olsa bile standart bütünlük kontrolü temiz bir sonuç veriyor. Yerleştirilen bileşen, kurtarma ifadelerini LTE üzerinden iletiyor.
Önemli olan kısım burası. Orijinallik Kontrolü, Ledger'ın kullanıcılara bir cihazın kurcalanmadığını doğrulamak için çalıştırmalarını söylediği araç. Bu değişikliği tespit edemiyorsa, sağladığı güvence çoğu insanın varsaydığından daha dar.
Kurcalama aslında ne yapıyor
Eklenen donanım, çipin ve işletim sisteminin yanında duruyor; ikisini de değiştirmiyor veya bozmuyor. Ledger, güvenli öğenin ve yazılımın değişmeden kaldığını söylüyor. Yerleştirilen bileşenin görevi, tohum ifadelerini yakalayıp mobil veri bağlantısı üzerinden dışarı göndermek; bu da cüzdanın fonlar taşınana kadar tamamen normal görünüp davranabileceği anlamına geliyor.
Değişiklik donanım düzeyinde olduğu ve çipin normal doğrulama yolunun dışında kaldığı için Orijinallik Kontrolü'nün işaretleyeceği bir şey yok. Kontrol, çipi doğruluyor. Kart üzerindeki her bileşeni incelemiyor.
Orijinallik Kontrolü neden bunu kaçırıyor
Ledger'ın Orijinallik Kontrolü, güvenli öğenin kriptografik imzasını doğrulayarak çalışır. Bu, sahte çipler ve klonlanmış yazılımlar için güçlü bir testtir. Fiziksel cihazın tamamen sökülüp incelenmesi değildir ve hiçbir zaman böyle tasarlanmamıştır. Tedarik zincirine erişimi olan yetenekli bir saldırgan, çipin hiç görmediği devreler ekleyebilir.
Şirket, bu tür bir kurcalamanın kontrolün ekarte edebileceği şeylerin dışında kaldığını açıkça belirtti. Bu dürüst bir kabul, ancak aynı zamanda birçok kişinin son güvenlik ağı olarak gördüğü bir araçtan kullanıcıların ne beklememesi gerektiğinin altını çiziyor.
CryptoBilis bağlantısı
Etkilenen cüzdanlar bir yeniden satıcı olan CryptoBilis tarafından satıldı. Bu ayrıntı önemli çünkü Ledger'ın kendi üretimindeki bir kusurdan ziyade bir tedarik zinciri sorununa işaret ediyor. Müşterilere ulaşmadan önce üçüncü taraflardan geçen cihazlar, yalnızca o tarafların güvenilirliği kadar güvenilirdir.
Ledger kaç adet cihazın etkilendiğini veya ele geçirilmiş donanımın CryptoBilis'in envanterine nasıl girdiğini söylemedi. Bunlar bariz açık sorular ve şirket henüz bunları yanıtlamadı.
Yeniden satılmış bir Ledger'ı elinde bulunduranlar için bu ne anlama geliyor
Bir Ledger'ı doğrudan şirketten değil de bir yeniden satıcıdan aldıysanız, Orijinallik Kontrolü'nün geçmesi meseleyi çözmez. Bir donanım yerleştirmesine karşı tek güvenilir savunma, kurtarma ifadenizi cihazın kendisinde kendiniz oluşturmak ve asla önceden başlatılmış bir cüzdanı kabul etmemektir. Tohum ifadesi zaten ayarlanmış olarak gelen bir cihaz, istisnasız ele geçirilmiş olarak değerlendirilmelidir.
Ledger'ın uzun süredir verdiği tavsiye, doğrudan satın almak ve cihazınızı kendiniz başlatmaktır. Bu olay, bu tavsiyeye genel bir nedenden ziyade somut bir gerekçe kazandırıyor.
Şirket henüz Orijinallik Kontrolü'nü bu tür bir değişikliği tespit edecek şekilde güncelleyip güncellemeyeceğini veya ele geçirilmiş envanter nedeniyle CryptoBilis'e karşı yasal işlem başlatmayı planlayıp planlamadığını söylemedi. Bunlardan biri gerçekleşene kadar, Orijinallik Kontrolü'nün doğruladığı şey ile kullanıcıların doğruladığını düşündüğü şey arasındaki fark izlenmesi gereken şeydir.
