A nem kifogástalan most feltárja a javított sebezhetőséget a OneKey pénztárcában

A nem kifogástalan most feltárja a javított sebezhetőséget a OneKey pénztárcában

A csatornáján megosztott YouTube -videóban a nem kiberbiztonsági csapat kritikus sebezhetőségét mutatta be a ONEKEY levéltáska számára, amelyet a kutatás során felfedeztek.

Mint általában a gyengeségek fehér kalap felfedezésével, a videót a javítás után tették közzé.

hiányzik a szokásos titkosítás

nem zárható ki a kiberbiztonsági indulás, az elveszett kriptoszok helyreállításának fő hangsúlya azoknak az ügyfeleknek, akik már nem férnek hozzá a konténerekhez, valószínűleg felfedték a problémát, amikor megpróbált pénzt visszaszerezni egy ügyfél számára. A videóban egy Onecey levélzseb lebomlik és manipulálódik, amelyben a megzavarodott csapat olyan hardvereket helyez be, amelyek figyelik a pénztárca CPU és biztonságos egység közötti kommunikációt.

Általában a CPU és a biztonságos egység közötti kommunikáció - ahol a mnemonika és a kriptográfia tárolódik - titkosítva van. Úgy tűnik azonban, hogy ez nem így van a OneKey pénztárcák esetében.

"Általában a CPU közötti kommunikáció, ahol a feldolgozás zajlik, és a biztonságos elem titkosítva van. Nos, kiderül, hogy ebben az esetben nem építették fel. Így telepíthet egy olyan eszközt, amely figyelemmel kíséri a kommunikációt, majd beilleszti a saját parancsokat."

bypass gyári módban

A hardverük beillesztésével a CPU és a biztonságos egység között a megzavarodott csapat képes volt arra, hogy az eszköz úgy gondolja, hogy gyári módban volt, amely aztán átadta a mnemonikát a csapat csapatához.

"Megtettük azt, amit ezután elmondott a biztonságos elemnek, hogy gyári módban van, és ki tudjuk venni a mnemonikájukat."

Ez lehetővé tette volna egy rossz színész számára, aki felfedezte volna a gyenge pontot, hogy hozzáférjen a pénztárcához, mihelyt újra összeállították.

Válaszunk a biztonsági kölcsönökről szóló aktuális jelentésekre https://t.co/dp9nnp1d0u

-oney nyílt forráskódú rövid táska (@oneyhq) 10. Érdemes megjegyezni, hogy ennek a hacknek a megvalósításához szükséges lett volna a támadó fizikai hozzáférése az eszközhöz, mivel azt nem lehetett távolról végrehajtani. Ennek ellenére fontos megjegyezni, hogy a hardver pénztárca elhelyezkedését nyilvánosságra lehet hozni, például a főkönyvi sérülés, amelyben a pénztárca-ügyfelek adatait nyilvánosságra hozták, amelyek a potenciális lopásoknak és az egyszerű zsarolási kísérleteknek vannak kitéve.