Ledger обнаружил уязвимости в моделях Trezor Safe 3 и Safe 5

В отчете говорится, что команда исследовательской безопасности Ledger Donjon обнаружила, что эти устройства имеют множество уязвимостей в своих микроконтроллерах, которые могут позволить хакерам получить удаленный доступ к средствам пользователей.

Эти недостатки возникают несмотря на обновление Trezor до двухчиповой конструкции, включающей сертифицированный Secure Element уровня EAL6+. Хотя Secure Element защищает PIN-коды и закрытые ключи, отчет Ledger показывает, что все криптографические операции все еще выполняются на микроконтроллере, который уязвим для атак с глитчингом напряжения.

Если это будет использовано, злоумышленник может извлечь криптографические секреты, изменить прошивку и обойти проверки безопасности, оставив средства пользователей под угрозой.

Новый дизайн безопасности Trezor не защищает критические операции

Trezor выпустила Safe 3 в конце 2023 года, за ней последовала Safe 5 в середине 2024 года, и оба кошелька представили обновленную двухчиповую конструкцию, стремясь уйти от одночиповой архитектуры, используемой в более старых моделях Trezor.

Обновление также добавило Secure Element Optiga Trust M от Infineon, который будет выделенным чипом безопасности для хранения PIN-кодов и криптографических секретов.

Печатные платы двух Trezor Safe 3, один с оригинальным программным обеспечением, а другой с измененной прошивкой | Источник: Ledger

Согласно выводам Ledger, этот безопасный элемент (Secure Element) предотвращает доступ к конфиденциальным данным, если не введен правильный PIN-код. Он также блокирует аппаратные атаки, такие как глитчинг напряжения, которые ранее использовались для извлечения сид-фраз из устройств Trezor One и Trezor T.

Микроконтроллер, используемый в Safe 3 и Safe 5, обозначен как TRZ32F429, который на самом деле является чипом STM32F429 в пользовательской упаковке.

Этот чип имеет известные уязвимости, в частности эксплойты глитчинга напряжения, которые позволяют злоумышленникам получать полный доступ на чтение/запись к флеш-памяти.

После того как злоумышленник изменит прошивку, он может манипулировать генерацией энтропии, которая играет ключевую роль в криптографической безопасности. Это может привести к удаленному краже закрытых ключей, давая хакерам полный доступ к средствам пользователей.

Система аутентификации не проверяет целостность микроконтроллера

Trezor использует криптографическую аутентификацию для проверки своих устройств, но Ledger Donjon обнаружил, что эта система не проверяет прошивку микроконтроллера.

Secure Element Optiga Trust M генерирует пару открытого и закрытого ключей во время производства, и Trezor подписывает открытый ключ, внедряя его в сертификат. Когда пользователь подключает свой кошелек, Trezor Suite отправляет случайный вызов, который устройство должно подписать с использованием своего закрытого ключа. Если подпись действительна, устройство считается аутентичным.

Как работает Secure Element Optiga Trust M | Источник: Ledger

Trezor попыталась связать Secure Element и микроконтроллер с использованием предварительно разделенного секрета, который программируется в оба чипа во время производства. Secure Element будет отвечать только на запросы подписи, если микроконтроллер докажет знание этого секрета.

Проблема? Этот предварительно разделенный секрет хранится во флеш-памяти микроконтроллера, которая уязвима для атак с глитчингом напряжения.

Команда Ledger смогла извлечь секрет, перепрограммировать чип и полностью обойти процесс аутентификации. Это означает, что злоумышленник может изменить прошивку, все еще проходя проверки безопасности Trezor.

Отчет Ledger описывает, как они создали пользовательскую плату для атаки, которая позволила им вывести контакты TRZ32F429 на стандартные разъемы.

Эта настройка позволяет им установить микроконтроллер на свою систему атаки, извлечь предварительно разделенный секрет и перепрограммировать устройство без обнаружения.

После перепрограммирования устройство все еще будет выглядеть легитимным при подключении к Trezor Suite, поскольку система криптографической аттестации остается неизменной.

Это создает опасную ситуацию, когда скомпрометированные кошельки Trezor Safe 3 и Safe 5 могут продаваться как подлинные устройства, тайно запуская вредоносную прошивку, которая крадет средства пользователей.

Проверка прошивки обходится, оставляя пользователей уязвимыми

Trezor включает проверку целостности прошивки в Trezor Suite, но Ledger Donjon нашел способ полностью обойти эту защиту.

Проверка прошивки работает путем отправки случайного вызова устройству, которое затем вычисляет криптографический хеш, используя как вызов, так и свою прошивку. Trezor Suite проверяет этот хеш против базы данных подлинных версий прошивки.

Проверка прошивки осуществляется путем отправки устройству случайного запроса, после чего устройство вычисляет криптографический хеш на основе этого запроса и своей прошивки. Trezor Suite сверяет полученный хеш с базой данных подлинных версий прошивки.

На первый взгляд этот метод кажется довольно эффективным: злоумышленник не может просто захардкодить поддельный хеш, так как не знает случайный вызов заранее, поэтому устройство должно вычислять хеш в реальном времени, доказывая, что на нем запущено подлинное прошивочное ПО.

Однако команда Ledger Donjon обнаружила способ полностью обойти эту защиту. Поскольку микроконтроллер выполняет эти вычисления, злоумышленник может изменить его прошивку, чтобы подделать корректный ответ.

Манипулируя способом вычисления хеша устройством, злоумышленник может заставить любую версию прошивки выглядеть подлинной. Это серьезная проблема, поскольку она позволяет злоумышленникам запускать модифицированное программное обеспечение, проходя при этом проверки верификации в Trezor Suite.

В результате скомпрометированные устройства Trezor Safe 3 или Safe 5 могут выглядеть легитимными, тайно утекая приватные ключи или изменяя данные транзакций.

В отчете Ledger делается вывод, что единственный способ полностью обезопасить устройства Safe 3 и Safe 5 — это заменить микроконтроллер на более защищенную альтернативу. В Trezor Safe 5 уже используется более современный микроконтроллер STM32U5, для которого на данный момент не известны публичные атаки на внедрение ошибок.

Но поскольку это все еще стандартный микроконтроллер, а не выделенный безопасный элемент (Secure Element), риск обнаружения новых методов атаки сохраняется.

Trezor уже устранил уязвимости, но базовые проблемы безопасности остаются. Пока сам микроконтроллер не будет полностью защищен, пользователям придется полагаться на программные защиты Trezor, которые, как уже доказали исследования Ledger Donjon, можно обойти.