Ledger підтвердила, що партія скомпрометованих апаратних гаманців, проданих CryptoBilis, може пройти верифікацію Genuine Check. Модифіковані пристрої не торкаються безпечного чіпа та операційної системи, тож стандартна перевірка цілісності повертає позитивний результат, хоча апаратне забезпечення було змінено. Впроваджений компонент передає фрази відновлення через LTE.
Це саме те, що має значення. Genuine Check — це інструмент, який Ledger рекомендує користувачам для підтвердження, що пристрій не було змінено. Якщо він не може виявити цю модифікацію, гарантія, яку він надає, є вужчою, ніж більшість людей припускає.
Що насправді робить втручання
Додане обладнання розміщується поряд із чіпом та ОС, а не замінює чи змінює їх. Ledger заявляє, що захищений елемент і прошивка залишаються незмінними. Завдання імпланта — перехоплювати seed-фрази та надсилати їх через мобільне з'єднання, що означає, що гаманець може виглядати та поводитися нормально аж до моменту переміщення коштів.
Оскільки модифікація є апаратною і знаходиться поза звичайним шляхом верифікації чіпа, Genuine Check не має чого виявляти. Перевірка автентифікує чіп. Вона не оглядає кожен компонент на платі.
Чому Genuine Check це пропускає
Genuine Check від Ledger працює шляхом перевірки криптографічного підпису захищеного елемента. Це надійний тест для підроблених чіпів і клонованих прошивок. Він не є і ніколи не був призначений для повного розбирання фізичного пристрою. Досвідчений зловмисник із доступом до ланцюга постачання може додати схему, яку чіп ніколи не побачить.
Компанія чітко заявила, що такий тип втручання виходить за межі того, що перевірка може виключити. Це чесне визнання, але воно також підкреслює межу того, що користувачі повинні очікувати від інструменту, який багато хто вважає останньою лінією захисту.
Зв'язок із CryptoBilis
Постраждалі гаманці були продані CryptoBilis, реселером. Ця деталь важлива, оскільки вказує на проблему ланцюга постачання, а не на недолік у власному виробництві Ledger. Пристрої, які проходять через третіх осіб, перш ніж потрапити до клієнтів, є настільки надійними, наскільки надійні самі ці сторони.
Ledger не повідомила, скільки одиниць задіяно або як скомпрометоване обладнання потрапило до запасів CryptoBilis. Це очевидні відкриті питання, і компанія ще не відповіла на них.
Що це означає для тих, хто має перепроданий Ledger
Якщо ви купили Ledger у реселера, а не безпосередньо у компанії, успішне проходження Genuine Check не вирішує питання. Єдиний надійний захист від апаратного імпланта — це самостійно згенерувати фразу відновлення на пристрої та ніколи не приймати попередньо ініціалізований гаманець. Пристрій, який надходить із уже налаштованою seed-фразою, слід вважати скомпрометованим, без винятків.
Рекомендація Ledger давно полягає в тому, щоб купувати безпосередньо та ініціалізувати власний пристрій. Цей випадок надає цій пораді конкретну причину, а не загальну.
Компанія ще не повідомила, чи планує вона оновити Genuine Check для виявлення цього класу модифікацій, чи має намір переслідувати CryptoBilis через скомпрометовані запаси. Доки не станеться жодне з цього, розрив між тим, що перевіряє Genuine Check, і тим, що користувачі думають, що він перевіряє, є тим, за чим слід стежити.
