Ledger、Trezor Safe 3およびSafe 5モデルのセキュリティ欠陥を発見

Trezorの最新のハードウェアウォレット、Safe 3およびSafe 5には深刻なセキュリティ上の問題があるとの報告が、3月12日に公開されたLedgerのレポートで明らかにされました。

レポートによると、Ledger Donjonというセキュリティ研究チームは、これらのデバイスに多数の脆弱性があり、ハッカーがユーザーの資金にリモートアクセスできる可能性があると発見しました。

これらの欠陥は、EAL6+認定のセキュアエレメントを含む2チップ設計へのTrezorのアップグレードにもかかわらず発生しています。セキュアエレメントはPINと秘密鍵を保護しますが、Ledgerのレポートによると、すべての暗号化演算は依然として電圧グリッチング攻撃に対して脆弱なマイクロコントローラーで実行されています。

悪用されると、攻撃者は暗号化の秘密情報を抽出し、ファームウェアを変更し、セキュリティチェックをバイパスして、ユーザーの資金を危険にさらす可能性があります。

Trezorの新しいセキュリティ設計は、重要な操作を保護できない

Trezorは2023年後半にSafe 3を発売し、2024年半ばにSafe 5を発売しました。両方のウォレットは、古いTrezorモデルで使用されていた単一チップアーキテクチャから離れるための努力として、アップグレードされた2チップ設計を導入しました。

このアップグレードには、InfineonのOptiga Trust Mセキュアエレメントも追加され、PINと暗号化の秘密情報を保存するための専用セキュリティチップとなります。

Ledgerの調査によると、このセキュアエレメントは正しいPINコードが入力されない限り、機密データへのアクセスを防止します。また、以前Trezor OneやTrezor Tなどのモデルからシードフレーズを抽出するために使用されていた電圧グリッチなどのハードウェア攻撃もブロックします。

しかし、これらの改善にもかかわらず、Ledger Donjonの研究により、トランザクション署名を含む主要な暗号化機能は依然としてマイクロコントローラーで実行されており、これが大きなセキュリティ上の弱点であることが示されました。

Safe 3およびSafe 5で使用されているマイクロコントローラーはTRZ32F429とラベル付けされており、これは実際にはカスタムパッケージされたSTM32F429チップです。

このチップには既知の脆弱性があり、特に電圧グリッチング攻撃により攻撃者がフラッシュメモリへの完全な読み書きアクセスを取得できる可能性があります。

攻撃者がファームウェアを変更すると、エントロピー生成を操作できる可能性があります。エントロピー生成は暗号化セキュリティにおいて重要な役割を果たします。これにより、秘密鍵のリモート盗難につながり、ハッカーがユーザーの資金に完全にアクセスできるようになる可能性があります。

認証システムはマイクロコントローラーの整合性を検証できない

Trezorはデバイスの検証に暗号化認証を使用していますが、Ledger Donjonはこのシステムがマイクロコントローラーのファームウェアをチェックしていないことを発見しました。

Optiga Trust Mセキュアエレメントは、生産中に公開鍵と秘密鍵のペアを生成し、Trezorは公開鍵に署名して証明書に埋め込みます。ユーザーがウォレットを接続すると、Trezor Suiteはランダムなチャレンジを送信し、デバイスは秘密鍵を使用してこれに署名する必要があります。署名が有効であれば、デバイスは認証済みとみなされます。

しかし、Ledgerの研究により、このプロセスはセキュアエレメントのみを検証し、マイクロコントローラーやそのファームウェアは検証されないことが示されました。

Trezorは、製造時に両方のチップにプログラムされる共有秘密を使用して、セキュアエレメントとマイクロコントローラーをリンクしようとしました。マイクロコントローラーがこの秘密の知識を証明しない限り、セキュアエレメントは署名リクエストに応答しません。

問題は？この共有秘密は、電圧グリッチング攻撃に対して脆弱なマイクロコントローラーのフラッシュメモリに保存されています。

Ledgerのチームは秘密を抽出し、チップを再プログラムして、認証プロセスを完全にバイパスすることに成功しました。これは、攻撃者がTrezorのセキュリティチェックを通過しながらファームウェアを変更できることを意味します。

Ledgerのレポートは、彼らがカスタム攻撃ボードを構築し、TRZ32F429のパッドを標準ヘッダーに引き出す方法を説明しています。

このセットアップにより、マイクロコントローラーを攻撃システムに取り付け、共有秘密を抽出し、検知されずにデバイスを再プログラムできます。

再プログラム後、デバイスは暗号化アテステーションシステムが変更されていないため、Trezor Suiteに接続しても正当な外見を保ちます。

これは危険な状況を生み出します。侵害されたTrezor Safe 3およびSafe 5ウォレットが、ユーザーの資金を盗む悪意のあるファームウェアを秘密裏に実行しながら、正規のデバイスとして販売される可能性があります。

ファームウェア検証はバイパスされ、ユーザーが曝露される

TrezorはTrezor Suiteにファームウェア整合性チェックを含めていますが、Ledger Donjonはこの保護を完全にバイパスする方法を見つけました。

ファームウェアチェックは、デバイスにランダムなチャレンジを送信し、デバイスがそのチャレンジとファームウェアの両方を使用して暗号化ハッシュを計算することで機能します。Trezor Suiteは、このハッシュを正規のファームウェアバージョンのデータベースに対して検証します。

一見すると、この方法は効果的のように思えます。攻撃者は偽のハッシュをハードコードできません。なぜなら、ランダムなチャレンジを事前に知らないため、デバイスはリアルタイムでハッシュを計算する必要があり、正規のファームウェアを実行していることを証明する必要があるからです。

しかし、Ledger Donjonはこの保護を完全にバイパスする方法を発見しました。マイクロコントローラーがこの計算を処理するため、攻撃者はそのファームウェアを変更して有効な応答を偽造できます。

デバイスのハッシュ計算方法を操作することで、攻撃者は任意のファームウェアバージョンを正当なものと見なさせることができます。これは深刻な問題です。なぜなら、これにより攻撃者はTrezor Suiteの検証チェックを通過しながら変更されたソフトウェアを実行できるからです。

その結果、侵害されたTrezor Safe 3またはSafe 5は、正当な外見を保ちながら、秘密裏に秘密鍵を漏洩したり、トランザクションデータを変更したりする可能性があります。

Ledgerのレポートは、Safe 3およびSafe 5を完全に保護するための唯一の方法は、マイクロコントローラーをより安全な代替品に置き換えることであると結論付けています。Trezor Safe 5には、より現代的なマイクロコントローラーであるSTM32U5が含まれており、少なくとも現時点では公に知られたフォールトインジェクション攻撃はありません。

しかし、それが専用セキュアエレメントではなく標準的なマイクロコントローラーであるため、新しい攻撃方法が発見されるリスクは残ります。

Trezorはすでに脆弱性を修正していますが、根本的なセキュリティ上の懸念は残っています。マイクロコントローラ自体が完全に保護されるまで、ユーザーはLedger Donjonの研究で既に回避可能であることが証明されたTrezorのソフトウェア保護を信頼せざるを得なくなります。