NinjaLab, une équipe de chercheurs en sécurité, a détecté une vulnérabilité qui est passée inaperçue pendant 14 ans. Cela réside dans les microcontrôleurs matériels élément sécurisé (élément sécurisé), utilisé par de nombreux portefeuilles de cryptomonnaies.
La vulnérabilité affecte, par exemple, le nouveau Trezor (safe 4 et safe 5) et toute la série YubiKey 5 avec une version de firmware inférieure à 5.7. L’attaque EUCLEACK nécessite un accès physique au portefeuille matériel.
Selon NinjaLab, cette vulnérabilité est restée indétectée pendant 14 ans et environ 80 évaluations de certification Critères Communs de haut niveau.
Selon le résumé de la recherche de NinjaLab, la vulnérabilité affecte tous les appareils qui exécutent la bibliothèque Infineon Technologiesl’un des plus grands fabricants d’éléments de sécurité.
Quelle est la vulnérabilité trouvée dans les portefeuilles ?
La découverte a été faite par Thomas Roche, co-fondateur de NinjaLab, qui affirme avoir trouvé une « vulnérabilité de canal secondaire ». L’ayant trouvé, il conçut une attaque latérale (EUCLEACK) qui montre que les microcontrôleurs peuvent être compromis élément sécurisé porté par certains portefeuilles de crypto-monnaie.
La factualité de cette attaque physique a été démontrée par NinjaLab sur une YubiKey 5Ci, un modèle de clé de sécurité qui utilise le protocole FIDO, qui est généralement composé d’un élément sécurisé.
En général, cette insécurité latérale affecte même les microcontrôleurs de conception plus récente, comme ceux de la série Trezor Safe. Cela n’affecte donc pas les modèles Nano ou T.
Enfin, nous montrons que la vulnérabilité s’étend aux derniers microcontrôleurs de sécurité Infineon Optiga Trust M et Infineon Optiga TPM.
NinjaLab, experts en sécurité.
NinjaLab souligne qu’il n’a pas encore vérifié que l’attaque EUCLEAK s’applique à l’un de ces produits. Cela dit, cette attaque latérale contre les microcontrôleurs est théoriquement possible.
De plus, ils préviennent que une attaque physique de ce style est difficile et nécessite beaucoup de ressources. Par conséquent, les appareils présentant cette vulnérabilité jusqu’ici non découverte resteraient sécurisés.
L’attaque EUCLEAK nécessite un accès physique à l’appareil, des équipements coûteux, des logiciels personnalisés et des compétences techniques. Par conséquent, en ce qui concerne le travail présenté ici, il est toujours plus sûr d’utiliser votre YubiKey ou d’autres produits concernés comme jeton d’authentification matérielle FIDO pour vous connecter aux applications plutôt que de ne pas en utiliser un.
NinjaLab, experts en sécurité.
Les portefeuilles Trezor sont-ils sécurisés ?
Ce qui précède est conforme à la déclaration de Trezor. L’entreprise assure que Les phrases de récupération des utilisateurs pour leur portefeuille ne sont pas en danger. Et que la vulnérabilité détectée n’a rien à voir avec le processus de création et de protection des copies de sauvegarde.
De plus, il a clarifié certains détails techniques sur la relation entre la vulnérabilité et l’architecture Trezor :
En théorie, la vulnérabilité Optiga pourrait permettre à quelqu’un de contourner le contrôle d’authenticité, mais le risque que cela aboutisse à la vente de Trezors contrefaits est atténué par un certain nombre d’autres outils à notre disposition dans la chaîne d’approvisionnement. Tant que vous avez acheté votre Trezor sur notre e-boutique officielle ou chez l’un de nos distributeurs officiels, vous n’avez pas à vous inquiéter de cela !
Trezor, société de portefeuille matériel
Comme l’a assuré NinjaLabs, cette vulnérabilité présente un risque limité pour les détenteurs de portefeuilles matériels dotés d’un élément sécurisé. Cela dit, cet événement pourrait nous rappeler que même les jetons élément sécurisé Ils peuvent souffrir de vulnérabilités potentiellement dangereuses et d’erreurs de conception.
Une attitude influencée par cette découverte devrait conduire à la prudence et à la prévoyance à l’égard des portefeuilles matériels. Une telle attitude s’opposerait à une autre tendance malheureusement courante : celle d’accorder un prestige quasi magique à ces puces, souvent commercialisées comme incassables, invulnérables et indestructibles.
