OneKey, Donanım Cüzdanının Ele Geçirilmesine İzin Veren Güvenlik Açığı Ele Aldı

Kriptografik donanım cüzdanları sağlayan bir şirket olan OneKey, donanım cüzdanlarından birinin bir saniyeden kısa sürede ele geçirilmesini mümkün kılan donanım yazılımındaki bir kusuru zaten yamaladığını söyledi.

Siber güvenlik alanında faaliyet gösteren bir firma olan Unciphered, 10 Şubat'ta YouTube'a yüklenen bir videoda, "Çok büyük bir kusurdan" yararlanarak ve bundan yararlanarak OneKey Mini'yi "açmanın" bir yolunu keşfettiğini söyledi.

Unciphered'in ortaklarından Eric Michaud'a göre, OneKey Mini'yi "fabrika moduna" döndürmek ve cihazı söküp kod ekleyerek güvenlik pinini atlamak mümkündü. Bu, potansiyel bir saldırganın cüzdanı kurtarmak için kullanılan anımsatıcı ifadeyi kaldırmasına olanak tanır. Bu, cihazın "fabrika moduna" döndürülmesiyle mümkün oldu.

“Merkezi işlem biriminin yanı sıra güvenlik unsuruna da sahipsiniz. Şifreleme anahtarlarınız her zaman güvenli öğede saklanacaktır. Michaud, tipik bir durumda, işlemin yapıldığı merkezi işlem birimi (CPU) ile güvenli unsur arasındaki bağlantıların şifrelendiğini kaydetti.

“Eh, bu özel örnekte, bunun için yapılmadığı ortaya çıktı. "Yapabileceğiniz şey, ortada iletişimi izleyen, onları yakalayan ve sonra kendi komutlarını enjekte eden bir araç koymaktır" dedi ve ekledi: "Bununla birlikte, parola ifadeleri ve temel güvenlik uygulamalarıyla, hatta fiziksel saldırılar bile ifşa edildi. Şifrelenmemiş olması OneKey kullanıcılarını etkilemeyecektir.” 

Şirket, güvenlik açığının endişe verici olmasına rağmen Unciphered tarafından keşfedilen saldırı vektörünün uzaktan kullanılamayacağını vurguladı. Bunun yerine, yürütülebilmesi için "cihazın sökülmesini ve laboratuvardaki özel bir FPGA cihazı aracılığıyla fiziksel erişimi" gerektirir.

OneKey'e göre Unciphered ile yapılan görüşmeler sonrasında diğer cüzdanların da benzer zorluklarla karşılaştığı ortaya çıktı. Bu durum, diğer cüzdanlarda da aynı sorunun yaşandığı keşfedildiğinde açıklandı.

OneKey, şirketin güvenliğine yaptıkları katkılardan dolayı şükranlarını ifade etmenin bir yolu olarak Unciphered'e ödüllerle tazminat ödediklerini söyledi.

OneKey, bir blog yazısında müşterilerinin güvenliğini sağlamak için halihazırda önemli önlemler aldığını söyledi. Bu önlemler arasında müşterilerin, bir bilgisayar korsanının gerçek bir cüzdanı kendi kontrolü altındaki bir cüzdanla değiştirmesi durumunda ortaya çıkan tedarik zinciri saldırılarına karşı korunması da yer alıyor.

Gönderiler için kurcalamaya dayanıklı paketleme, sıkı tedarik zinciri güvenliği yönetimi sağlamak amacıyla Apple'ın kendi tedarik zinciri servis sağlayıcılarının kullanılmasının yanı sıra OneKey tarafından atılan adımlardan biri oldu.

Çok uzak olmayan bir gelecekte yerleşik kimlik doğrulamayı ekleme ve daha yeni donanım cüzdanlarını daha yüksek düzey güvenlik bileşenleriyle güncelleme istekleri var.

OneKey'in söylediğine göre donanım cüzdanlarının temel amacı her zaman kullanıcıların finansal varlıklarını siber saldırılardan, bilgisayar virüslerinden ve diğer potansiyel tehditlerden korumak olmuştur; yine de ne yazık ki hiçbir şey tamamen güvenli olamaz.

“Donanım cüzdanlarının silikon kristallerden çip koduna, ürün yazılımlarından yazılımlara kadar tüm üretim süreçlerine baktığımızda yazılımYeterli para, zaman ve kaynakla her türlü donanım engelinin aşılabileceğini söylemek yanlış olmaz; Nükleer silah kontrol sistemi olsa bile.” “Silikon kristallerden çip koduna, donanım yazılımından yazılıma kadar donanım cüzdanlarının tüm üretim sürecine baktığımızda”