Uzman uyarısı: Ledger cüzdanındaki kurcalamayı kullanıcı tek başına tespit edemiyor

Sıradan kripto kullanıcılarının donanım cüzdanlarındaki sofistike kurcalamayı gerçekçi biçimde tespit edemeyeceğini donanım güvenliği araştırmacısı Joe Grand söyledi. Cointelegraph'a konuşan Grand, söz konusu değerlendirmeyi Ledger cüzdanlarında çip implantı bulunması sonrası yeniden alevlenen tartışma ortamında yaptı: "Cihazlarına nasıl bakmalarının gerektiğini insanlara anlatmak gerçekten zor, çünkü benim gibi teknik insanlar bile her cihazı tek tek kurcalanmış mı diye incelemiyor."

Grand'ın uyarısına zemin oluşturan olay, Ledger'ın Cumartesi günü doğruladığı bir tespitti: Endonezya, Malezya ve Filipinler'de yetkili satıcı olarak listelenen CryptoBilis üzerinden satılan bir cihazda yetkisiz implant bulunduğu açıklandı. Cuma günü kripto kayıplarıyla gündeme gelen konuda şirketin bildirdiği ayrıntı çarpıcıydı; implantlar kullanıcıların kurtarma ifadelerini yakalayıp hücresel ağlar üzerinden dışarıya iletiyordu.

İlgili: Coinbase'den Bitcoine kuantum uyarısı: Hazırlık şimdi başlamalı

Uzmanlar güven zincirini sorguluyor

Donanım cüzdanları, özel anahtarları çevrimdışı tutarak yazılım cüzdanlarını hedefleyen çevrimiçi saldırılara karşı korunmayı amaçlıyor. Ancak uzmanlar, bu koruma modelinin beraberinde yeni bir güven yükü getirdiğine dikkat çekiyor.

2013'ten bu yana sektörde yer alan ve hiç donanım cüzdanı kullanmamış olan analist Mati Greenspan, bu tercihinin gerekçesini şöyle özetledi: "Bir donanım cüzdanı satın aldığınızda, üreticiden tedarikçiye ve cihaz size ulaşmadan önce ona dokunan herkese uzanan yepyeni bir güven zincirine giriş yapmış oluyorsunuz."

Bitcoin güvenlik şirketi Casa'nın CEO'su Nick Neuman ise üçüncü taraf güveninden tamamen kaçınmanın mümkün olmadığını vurguladı. "Güvenmeniz gereken her zaman bir aracı var" diyen Neuman, kullanıcıların tek bir sağlayıcıya yaslanmak yerine riski birden fazla sağlayıcıya yaymasını önerdi.

Rakip Trezor'dan itiraf: Kontroller her şeyi yakalamıyor

Trezor, cihazlarının otantiklik kontrollerinden geçtiğini ve yalnızca imzalı aygıt yazılımını kabul ettiğini belirtti. Ancak şirket sözcüsü bu korumaların sınırını açıkça kabul etti: "Ambalajın ve hologramın sağlam olduğunu da kontrol edebilir, cihazda alışılmadık izler arayabilirsiniz; ama bu kontroller tek başına cihazın değiştirilmemiş olduğunu garanti edemez."

Trezor'un değerlendirmesine göre Ledger cihazlarında görülen implantlar, aygıt yazılımını değiştirmeden ekrandan bilgi topladığı için farklı bir tehdit kategorisi oluşturuyor ve şirket bu tür bir saldırıyı kendi cihazlarında gözlemlermediğini bildirdi. Salı günü Trezor, satıcı sayısını azaltacağını "önleyici" adım olarak duyurdu.

Tasarım değişiklikleri riski azaltabilir ama bitiremez

Joe Grand, kurcalama riskinin donanım tasarımıyla küçültülebileceğini öne sürdü. Önerileri arasında iç bileşenleri görünür kılan şeffaf kasalar ile saldırganları değişiklikleri gizlemek için tüm gövdeyi yeniden üretmeye zorlayan kurcalamaya dayanıklı kaplar yer alıyor. "Düşman cihaza ek donanım enjekte etmeye çalıştığında tüm gövdeyi yeniden yaratmak zorunda kalacağı için bu çok daha zor olacak" diyen Grand, elektronik mühendisi Dave Jones'un kurcalama karşıtı tasarım önerilerine de işaret etti.

Yine de uzmanın çerçevesi net: Bu tür önlemler tedarik zinciri saldırılarını zorlaştırabilir ancak ortadan kaldıramaz; tek başına güvenilmemesi gereken katmanlar olarak görülmeli.