Neprirezaný teraz odhaľuje opravu zraniteľnosti v peňaženke Onekey

Neprirezaný teraz odhaľuje opravu zraniteľnosti v peňaženke Onekey

Vo videu YouTube, ktoré bolo zdieľané na jej kanáli, nevýrazný tím kybernetickej bezpečnosti preukázal kritickú zraniteľnosť vrecka Onekey Letter, ktorú objavili počas prieskumu.

Ako obvykle pri objavovaní slabých stránok s bielym klobúkom bolo video publikované po oprave.

Chýbajúce obvyklé šifrovanie

Neprirezané, spustenie počítačovej bezpečnosti, hlavné zameranie obnovenia stratených kryptos pre zákazníkov, ktorí už nemajú prístup k svojim kontajnerom, pravdepodobne tento problém odhalil, keď sa pokúsil získať peniaze späť pre zákazníka. Vo videu je vrecko na písmeno Onekey rozdelené a manipulované, pričom nekreslený tím vkladá hardvér, ktorý monitoruje komunikáciu medzi procesorom peňaženky a jeho bezpečnou jednotkou.

Všeobecne je šifrovaná komunikácia medzi CPU a bezpečnou jednotkou - kde sa uchováva mimónika a kryptografia. Nezdá sa však, že by to tak bolo v prípade peňaženky Onekey.

„Zvyčajne komunikácia medzi CPU, kde sa spracovanie uskutočňuje a zabezpečený prvok je šifrovaný. Dobre sa ukázalo, že v tomto prípade pre neho nebola skonštruovaná. Takže by ste mohli nainštalovať nástroj do stredu, ktorý monitoruje komunikáciu a potom vloží svoje vlastné príkazy.“

obtok v továrni

Vložením hardvéru medzi CPU a bezpečnou jednotkou bol nevýrazný tím schopný prinútiť zariadenia veriť, že to bolo v továrni, ktorý potom preniesol mnemotechniku do tímu tímu.

„Urobili sme to, čo potom povie zabezpečenému prvku, že je v továrni a my môžeme vybrať ich mnemotechniku.“

To by umožnilo zlému hercovi, ktorý mohol zistiť slabý bod, aby získal prístup k peňaženke, hneď ako bude znova zostavený.

Naša odpoveď na aktuálne správy o zabezpečení pôžičiek https://t.co/dp9nnp1d0u

-Onekey Open-Source Brief Bag (@OneKehq) Našťastie bol problém teraz vyriešený v dôsledku komunikácie medzi týmito dvoma spoločnosťami. Za svoje úsilie dostala bezplatná strana z programu Bug Bounty od spoločnosti Onekey nezverejnenú sumu.