روی خط خبر

موضوع: ارز دیجیتال منبع: ایکس بلاکچین
امتیاز: 5 5

خبر " یافته‌های تیم امنیت لدجر در ارتباط با نقص امنیتی کیف پول ترزور از منبع ایکس بلاکچین " با موضوع CryptoNews-ارز دیجیتال در تاریخ ۱۳۹۷/۱۲/۲۱ منتشر شد.

یافته‌های تیم امنیت لدجر در ارتباط با نقص امنیتی کیف پول ترزور

[…]

نوشته یافته های تیم امنیت لدجر در ارتباط با نقص امنیتی کیف پول ترزور اولین بار در ایکس بلاکچین. پدیدار شد.

یافته های تیم امنیت لدجر در ارتباط با نقص امنیتی کیف پول ترزوراین مطالب در رابطه با ارائه چارلز گیلمه عضو ارشد تیم امنیت لدجر در روز ۱۰ مارچ ۲۰۱۹ می باشد.قبل از شروع این مطلب باید یادآوری کنم که امنیت یک طیف هست. هیچ وقت نمیشود قطعاً گفت چیزی امن هست یا نیست! و هرچقدر شما نکات امنیتی را بهتر رعایت کنید و به روزتر باشید، عنوان ها و شهرت اشخاص و پروژه ها اهمیت کمتری پیدا میکنند. هدف این است که شما یک کیف پول معمولی بیتکوینی را به شیوه ای درست استفاده کنید و نکات امنیتی مرتبط با آن را رعایت کنید و این موضوع به مراتب از اینکه کسی گفته باشد ترزور یا لدجر مشکل امنیتی دارد مهمتر است. اما با این حال به روز بودن در رابطه با ابزارهایی که استفاده می کنید هم اهمیت بسیاری دارد.در این ارائه عضو ارشد تیم لدجر به نکاتی اشاره میکند و بعد از آن به ۴ نوع رویکرد میپردازد که طبق آنها امنیت ترزور و کلون های آن مثل کیپ کی و بی والت و غیره مورد بررسی قرار گرفته و یافته هایشان را ارائه میکنداوپن سورس بودن یا نبودن کیف پول های سخت افزاری!اوپن سورس بودن کیف پول سخت افزاری دو مزیت عمده دارد:✅ اول) اینکه یک پروژه اوپن سورس میتواند از طریق هر کسی در هر جای دنیا مورد بررسی قرار گیرد، چک شود که امن است یا خیر! درصورتی هم که مشکل امنیتیی وجود داشته باشد (مثل همین الان که تیم لدجر توانسته بررسی کند) خرد جمعی متخصصان از هرجای دنیا به کمک می آید و مسائل امنیتی سریعتر پیدا و حل میشوند.✅ دوم) اوپن سورس بودن یک کیف پول سخت افزاری به این معنی است که شما (اگر تواناییش را داشته باشید) می توانید خودتان سخت افزار خودتان را بسازید و آنوقت نرم افزار آن کیف پول رو نصب کنید.اما اوپن سورس بودن در بحث کیف پول های سخت افزاری مساله ای را ایجاد میکند و آنهم این است که مثل کاری که Ledger میکند Trezor نمیتواند از تراشه های امن و تراشه های General Purpose MCU استفاده کند.در ادامه چهار رویکردی که تیم امنیت لدجر توانستند حفره های امنیتی در ترزور پیدا کنند را می بینید:۱. حمله های Supply Chain: در این نوع حمله ها، حمله کننده قادر خواهد بود کیف پول را دست کاری کرده و یا اینکه یک در پشتی را در کیف پولی که بدست شما میرسد تدارک دیده باشد! به چند شکل میشود این کار رو انجام داد: PreSeeding – Seed Exfiltration – Perform Sig – Address Swppingتیم لدجر با تمیز و بی نقص باز کردن بسته بندی ترزور ، محتویات بسته را بیرون آورده و نرم افزار آنرا دستکاری کرده و دوباره داخل بسته بندی قرار دادند.باز کردن بسته بندی ترزور با حرارت و تیغ انجام شده است.اگه این بسته ترزور دست شما می رسید به هیچ وجه تفاوتش را نمیتوانستید با یک بسته دست نخورده تشخیص دهید.بسته بندی مجدد مثل روز اولتیم لدجر عمل PreSeeding را در ترزور دستکاری شده انجام داد. به این شکل که ۲۴ کلمه سید شما توسط کسی که دستکاری کرده از قبل تعیین شده بودند و این شخص قادر خواهد بود هروقت دوست داشت موجودی شما را خالی کند!تیم لدجر به جای ۲۴ کلمه یه متن بامزه نوشتن 🙂حمله های Supply Chain یا همان زنجیره تامین به طوری هستند که همه معتقدند اگر شما از یک واسطه کیف پولتان را تهیه می کنید آنوقت احتمال وقوع دارد! اما !!! تیم لدجر معتقد است این حمله ها همیشه امکانشان وجود دارد! چگونه؟فکر کنید ضیاء ۱۰۰ عدد ترزور سفارش میدهد که از خود ترزور هم میخرد! بعد بسته بندی تمامی این ۱۰۰ عدد را تمیز باز کرده دستکاریشان کرده و همه را مجددا” تمیز بسته بندی میکند و مرجوع می نماید به شرکت ترزور. آنوقت شرکت ترزور این ترزورهای دستکاری شده را دوباره میفرستد به بازار و شما حتی اگه از خود ترزور خریداری کرده باشید احتمال اینکه ترزور شما دستکاری شده باشد وجود دارد! ترفند جالبی بود نه؟ :))تیم لدجر این مشکل را به ترزور در نوامبر ۲۰۱۸ اطلاع رسانی کرده است اما این مشکل هنوز برطرف نشده و ترزور جوابی نداده!۲. حمله های Software Crappy Attacks: در این نوع حمله، نرم افزار ترزور هدف قرار داده شده است و طی این اقدام دومشکل در آن پیدا شده است که ضعف امنیتی بالایی نداشتند و به همین ضرورتی به توضیحات بیشتر احساس نمیشود ! به ترزور اطلاع رسانی شد و سریع حل شدند.تیم لدجر مثل خیلی از تیم های دیگر اذعان داشتند که کد نویسی در ترزور خیلی خوب صورت گرفته است!۳. حمله های کانال جانبی یا همان Side Channel Attacks: این نوع حمله ها خیلی جالب و علاقه مندی خیلی از متخصصان امنیت در بحث های رمزنگاری هستند. در این نوع حمله ها با شبیه سازی و تکرار و ساخت الگوریتم سعی بر پیدا کردن کلید های رمزنگاری صورت میگیرد. یک حمله مشابه قبلا چند سال پیش روی ترزور با استفاده از اوسیلاتور صورت گرفته بود که اینجا میتونید ببینید.اینجا تیم لدجر با استفاده از الگوریتم های یادگیری ماشینی اثر دیجیتالی ترزور را بررسی میکنند و بعد از اینکه خوراک زیادی به این الگوریتم میدهند الگوریتم میتواند از این به بعد اثر دیجیتالی را با عددی که کاربر میزند تطبیق بدهد. یعنی به این شکل که الگوریتم میداند که سیگنال هایی که ترزور میفرستد کدام عدد هستند!این الگوریتم با میانگین ۵ بار تلاش میتواند رمز پین ترزور شما را پیدا کند و از آنجایی که در ترزور تعداد دفعات وارد کردن پین نسبتا زیاد است، یک حمله کاملا موفق به شمار میرود 🙂این حمله به ترزور گزارش شده است و الان امکان حدس زدن پین سخت تر شده است!تیم لدجر یک حمله جانبی دیگر را هم بررسی کرده است!حمله به تابع SCAlarاین تابع برای فرآیندهای رمزنگاری و تولید کلیدها در ترزور استفاده میشود. یک اتفاق جالب این بود که وقتی تیم لدجر پیاده سازی این تابع را بررسی می کرد یک کامنت در کد دیدند که نوشته بود “این تابع در مقابل حمله های جانبی مصون است!”خوب چرا این جمله را نوشتید ؟ :)) فک کردید اگر هکرها این جمله را ببینند،تحریک نمیشوند :))کاری که تیم لدجر انجام داد این بود که یک عدد بزرگ SCAlar را در ورودی تابع میداد و با همان الگوریتم یادگیری ماشینی توانستند اعداد را شبیه سازی کنند.شبیه سازییعنی اگر عدد SCAlar را با این روش محاسبه کنند آنوقت به راحتی میتوانند پرایوت کی را تولید کنند! این مشکل امنیتی بسیار جدی است!تیم لدجر این موضوع را به ترزور گزارش داد و ترزور واکنشی نشان نداده است و این مشکل همچنان وجود دارد!” ولی انصافا حداقل کامنتی که میگوید من امن هستم را باید حذف کنند دیگه :))”۴. حمله های Surprise Concluding: این نوع حمله ها با تزریق خطا به ترزور میتوانند باعث شوند که از فرآیند پین کد گذشت و یا حتی اینکه پین کد غیرفعال شود. این حمله ها راچند ماه پیش تیم Wallet.Fail هم انجام دادند .تیم لدجر این حمله را نه فقط روی ترزور بلکه بر روی چندتا کلون دیگه از ترزور که از نرم افزار ترزور استفاده میکنند مثل کیپ کی و بی والت هم امتحان کرده است! و در همین راستا دریافتند که با گلیچ کردن توانستند ۲۴ کلمه سید رو از این کیف پول ها نیز استخراج کنند . این مشکل فعلا پچ شده و رفع شده است، اما احتمال انجام شدنش باز وجود دارد!کار دیگری که لدجر انجام داد و تیم های دیگر در این نوع حمله انجام نداده بودند این بود که روی مدل T ترزور که همون مدل با صفحه تاچ است هم انجامش دادند! این روش روی مدل T هم عملی بود اما یه فرقی دارد! فرقش این است که نمیشود این مشکل را در مدل T رفع کرد و عملا این ولت کاملا مشکل امنیتی دارد! این ولت باید به شکل کامل تغییر پیدا کند و از آنجا که راه حلی برای درست کردنش وجود ندارد تیم لدجر تصمیم گرفت که نحوه انجام شدن این مشکل را به تیم ترزور اعلام نکند! تنها راهکاری که تیم لدجر توانست مطرح کند این است که باید از یک کلمه اضافه یا همان Passphrase برای ۲۴ کلمه سید خودتان استفاده کنید که به اندازه یک سید کامل امنیت داشته باشد. یعنی یک کلمه رمز اضافه که حداقل ۳۶ کاراکتر باشد.مرور همه حمله ها رو در این جدول میبینیدآخرین حرفای تیم لدجر در ارائه این بود که:💠 ما می خوایم همه کاربران امن باشند! حتی کاربران ترزور که شرکت رقیب ما است💠 یادتون باشد که اوپن سورس بودن الزاما معادل امنیت بیشتر نیست!این را اضافه کنم که این نوع حمله ها اغلب حمله هایی پرهزینه هستند و احتمال اینکه شما هدف قرار بگیرید به ارزشی که هکر از حمله کردن ممکن است بدست بیاورد بستگی دارد! این نکته خوبی است چرا که به شما هم یادآوری میکند که وقتی ارزش کوین های شما زیاد باشد آنوقت باید حواس جمع تر و مطلع تر باشید و حتی هزینه بیشتری کنید تا امن باقی بمانید. رویکردهای امنیتی بهتری را اتخاذ کنید مثلا از چند امضایی همراه با ترزور و لدجر هر دو استفاده کنید یا که سرمایه خود را تقسیم کنید و همه تخم مرغ ها رو در یک سبد نگه ندارید تا یک نقطه شکست مرکزی ایجاد نکنید!به قلم ضیاء صدر

برچسب ها:

کریپتو هگزا سایت بازنشر خبری است و در قبال محتوای اخبار نشر شده هیچ مسولیتی ندارد.

جدیدترین اخبار ارزهای رمزگذاری شده در حوزه CryptoNews-ارز دیجیتال، نشر خبر " یافته‌های تیم امنیت لدجر در ارتباط با نقص امنیتی کیف پول ترزور از منبع ایکس بلاکچین. "

اخبار گوناگون