Ví cứng Ledger Nano S mới đây đã gặp một vấn đề an ninh nghiêm trọng khi Saleem Rashid, một chuyên gia bảo mật tuổi teen, phát hiện ra một vấn đề với ví “bảo mật” này. Câu chuyện bắt đầu vào tháng 11 năm 2017, khi Rashid báo cáo về một lỗ hổng cho CTO của Ledger, Nicolas Bacca, có thể cho phép những kẻ tấn công ăn cắp tiền từ người sử dụng ví.

Đặt mua ví cứng TREZOR ngay

- MỞ TÀI KHOẢN TẠI BINANCE TRONG 1 PHÚT -

Rashid đã nghiên cứu các vi xử lý được sử dụng trong ví và phát hiện ra chúng không đảm bảo an toàn. Trong khi nó cho phép sử dụng các nút và hiển thị khi nhập dữ liệu, nó đã được kết nối như là một proxy cho các yếu tố an toàn (Secure Element – SE). Các yếu tố an toàn này có chứa các mã khóa riêng, điều này có nghĩa là một hacker có thể đánh lừa SE theo những cách khác nhau. Ví dụ như thế này: các nhà bán lẻ và tiểu thương có thể thay đổi phần mềm trong vi xử lý và biến đổi việc xác minh “danh tính” của nó với SE. Cậu giải thích thêm rằng kẻ tấn công có thể kiểm soát giao diện người dùng và sử dụng mã độc của chúng để thiết lập tỉ lệ ngẫu nhiên về 0 và thêm một tùy chọn phục hồi của riêng họ. Rashid đã chọn từ “Abandon” để chứng minh trong một video giải thích quá trình này. Bây giờ, khi kẻ tấn công có cụm từ ghi nhớ, họ có thể nhận được các mã cá nhân một cách dễ dàng.

Sau khi Rashid gửi nghiên cứu cho Ledger, cậu thấy rằng lỗ hổng không hề được coi trọng bởi những người trong đội phát triển. Tuy nhiên, họ đã công bố bản cập nhật firmware vào ngày 6 tháng 3, thứ bị Rashid chỉ trích nặng nề. Cậu đã đăng các ý kiến ​​của mình trên Twitter, vì cậu tin rằng đội phát triển nên có một bản cập nhật quan trọng hoặc che lỗi này lại để các hacker không có thời gian để sử dụng thủ thuật này.

As one of the security researchers, I urge to update now. This article doesn't make it clear enough how dangerous this issue can be.

Potential issues include compromised recovery seed generation or private key extraction. https://t.co/Z2WGFZnFAA

— Saleem Rashid (@spudowiar) March 6, 2018

Là một trong những nhà nghiên cứu bảo mật, tôi mong muốn cập nhật ngay lúc này. Bài báo này không thể làm rõ được mức độ nghiêm trọng của vấn đề đâu.

Sự hoảng loạn đang lan rộng giữa các người dùng, những người đã lên Reddit lên để thảo luận về những sự kiện tiếp theo của họ. Eric Larchevêque, Giám đốc điều hành của Ledger, đã trả lời phỏng vấn rằng đó là “một FUD khổng lồ” và Rashid đã cố gắng gây chú ý cho chính mình, khi vấn đề rõ ràng không phải là quá nghiêm trọng. “Saleem tỏ vẻ tức giận khi chúng tôi không liên lạc về ” bản cập nhật bảo mật quan trọng “và quyết định chia sẻ quan điểm của mình về chủ đề này,” Larchevêque cho biết.

Vào ngày 20 tháng 3, Ledger đã đưa ra một bản cập nhật khác giải quyết ba vấn đề được phát hiện bởi các lập trình viên Timothée Isnard, Saleem Rashid và Sergei Volokitin. Thú vị là, Rashid đã bác bỏ tuyên bố này vì việc ký Thoả thuận Chương trình Bounty của Ledger sẽ không cho phép cậu xuất bản một báo cáo kỹ thuật, thứ mà cậu rõ ràng là đã làm trong cùng một ngày. Đối với những cập nhật mới, Rashid giải thích rằng cậu không được công ty công nhận như “người tham gia vào dự án”, nhưng cậu tin rằng các bản sửa lỗi mới không hoàn toàn có tác dụng trước các hacker.

“Liệu nó thực sự có thể sử dụng kết hợp giữa thời gian và sự phức tạp trong mô hình này?”, Rashid viết. Cậu đang nhận được sự hỗ trợ của nhà khoa học Matthew Green, người đã giải thích trong một post Twitter về cách mà cậu thiếu niên có thể vượt qua được vành đại bảo mật của Ledger.

Saleem Rashid đang sống ở anh, trước đây cậu cũng đã từng phát hiện ra một vấn đề trong ví cứng TREZOR. Vấn đề này được giải quyết thông qua các trao đổi đầy thiện chí giữa hai bên. Giám đốc điều hành SatoshiLabs, Marek Palatinus, thậm chí còn ca ngợi Rashid vì công việc của cậu, “Phương pháp tiếp cận sáng tạo và tư duy sáng tạo của cậu ấy giúp chúng tôi tạo ra một sản phẩm an toàn hơn.”

Theo CCN