Nezautočený nyní odhaluje opravenou zranitelnost v OneKey Peněženku

Nezautočený nyní odhaluje opravenou zranitelnost v OneKey Peněženku

Ve videu YouTube, které bylo sdíleno na jejím kanálu, prokázal nezasažený tým pro kybernetickou bezpečnost kritickou zranitelnost pro tašku Onekey Letter, který během výzkumu objevili.

Jako obvykle s objevem slabých stránek s bílým hatkem bylo video zveřejněno poté, co bylo opraveno.

Chybějící obvyklé šifrování

Neochvění, spuštění kybernetické bezpečnosti, hlavní zaměření obnovy ztracených kryptos pro zákazníky, kteří již nemají přístup k jejich kontejnerům, pravděpodobně tento problém odhalil, když se pokusil získat peníze zpět pro zákazníka. Ve videu je rozložena a manipulovaná kapsa onenecey dopis, přičemž nezasažený tým vkládá hardware, který monitoruje komunikaci mezi CPU peněženky a její zabezpečenou jednotkou.

Obecně je šifrována komunikace mezi CPU a bezpečnou jednotkou - kde se ukládá mnemonická a kryptografie. Nezdá se však, že by tomu tak bylo u peněženek OneKey.

"Obvykle komunikace mezi CPU, kde dochází ke zpracování a zabezpečený prvek je šifrován. No, ukáže se, že v tomto případě nebyl pro něj konstruován. Takže byste mohli nainstalovat nástroj do středu, který monitoruje komunikaci a poté vložit své vlastní příkazy."

Bypass v továrním režimu

Vložením hardwaru mezi CPU a bezpečnou jednotku byl nepochopený tým schopen přimět zařízení věřit, že to bylo v továrním režimu, což pak přeneslo Mnemonics do týmu týmu.

"Udělali jsme, co pak řekne zabezpečený prvek, že je to v továrním režimu a můžeme vyjmout jejich mnemoniku."

To by umožnilo špatnému herci, který mohl objevit slabý bod, aby získal přístup k peněžence, jakmile bude znovu sestaven.

Naše odpověď na aktuální zprávy o půjčkách zabezpečení https://t.co/dp9nnp1d0u

-Onekey Open-source Brief Bag (@OneKeyHQ) 10. Stojí za zmínku, že by bylo nutné, aby implementace tohoto hacku měla útočníka fyzický přístup k zařízení, protože to nemohlo být prováděno vzdáleně. Je však důležité si uvědomit, že umístění hardwarové peněženky může být zveřejněno, například zranění knih, ve kterém byla zveřejněna data ze zákazníků peněženky, která byla vystavena potenciálním krádežím a jednoduchým pokusům o vydírání.