The Ledger Implant Attack: Secure Elements, Genuine Checks & Anti-Tamper Compared

Il y a quelques semaines, une nouvelle attaque a ciblé les appareils Ledger Nano X, implantant des circuits supplémentaires dans le matériel physique pour permettre à un attaquant de visualiser ce qui était affiché sur l'écran, notamment la phrase de récupération, afin de voler les fonds des utilisateurs. Ce type d'attaque, appelée attaque de la chaîne d'approvisionnement, a été retracée jusqu'à un magasin appelé Crypto Bills en Asie du Sud-Est. Bien que cette attaque présente des détails nouveaux, le concept d'altération physique des appareils via la chaîne d'approvisionnement n'est pas nouveau. Cet incident a relancé la discussion sur les protections physiques des portefeuilles matériels, quelle que soit la marque. Cette vidéo propose un aperçu des différents mécanismes de protection physique présents dans les portefeuilles matériels, leurs forces et faiblesses, et comment ces informations ont été intégrées à une comparaison de portefeuilles matériels. Elle aborde également les options DIY et ce qu'il est possible de faire en cas de paranoïa persistante. Le premier mécanisme abordé est l'élément sécurisé, une puce spécialisée rendant l'extraction de données beaucoup plus difficile. Historiquement, c'était une distinction clé entre Trezor et Ledger. Les anciens Trezor 1 et Trezor T, conçus avec des microcontrôleurs à usage général, ont montré des vulnérabilités permettant l'extraction de clés privées. Les éléments sécurisés rendent très difficile l'extraction de données de l'appareil physique. Ensuite, l'attestation matérielle, ou vérification d'authenticité, garantit que l'appareil provient du fournisseur officiel, généralement par une signature cryptographique dans un élément sécurisé ou le microcontrôleur. Ledger effectue cette vérification à chaque connexion, contrairement à certains anciens Trezor. Cependant, l'attestation matérielle ne garantit pas qu'un appareil n'a pas été ouvert et modifié physiquement. La protection physique contre l'altération est une catégorie ajoutée à la liste de comparaison. La première catégorie est "aucune protection physique", ce qui inclut les anciens appareils Ledger et certains appareils Jade. L'absence de protection permet d'ouvrir, de modifier et de refermer l'appareil sans laisser de trace visible, comme ce fut le cas avec les Ledger Nano X altérés. Malgré la présence d'un élément sécurisé ou d'une vérification d'authenticité, les connexions à l'écran et aux boutons restent exposées, permettant l'insertion d'implants. D'autres options de protection incluent différentes méthodes d'assemblage. Certains appareils sont collés, mais cela seul ne suffit pas sans attestation d'authenticité, car les composants internes peuvent être échangés. Les Coldcard, par exemple, sont collés et possèdent un boîtier transparent, permettant de détecter visuellement les altérations. Les appareils Bitbox sont scellés et "potted" (remplis de colle), de sorte que toute tentative d'ouverture détruirait l'électronique interne, empêchant l'appareil de passer la vérification d'authenticité. Les nouveaux Ledger Flex et G5 sont collés, mais leur capot arrière peut être retiré et remis en place avec les bons outils sans laisser de traces. Il y a donc une différence cruciale entre les appareils simplement collés et ceux qui sont physiquement détruits lors du démontage. La coque Keycard, avec son boîtier transparent, est facile à ouvrir pour inspecter les composants sans les détruire. Ces mesures passives visent à augmenter le coût et la complexité des altérations à l'échelle industrielle, mais ont des limites. Les appareils avec protection physique active surveillent l'intégrité physique de l'appareil. Le Keystone 3 Pro, par exemple, efface les données s'il est ouvert, utile contre l'altération domestique mais moins contre une altération en chaîne d'approvisionnement. Les appareils Ellipal, comme le Titan et le X-Card, se "bricking" (deviennent inutilisables) de manière irréversible s'ils sont ouverts, grâce à un contact sur le PCB qui, une fois rompu, rend l'appareil inopérant. Cette approche est différente des mesures d'effacement, car elle rend l'appareil inutilisable si altéré à n'importe quel point de la chaîne d'approvisionnement. L'inconvénient est une durabilité potentiellement limitée par la défaillance de composants internes, comme une batterie. Les Java cards sont conçues pour être très sécurisées physiquement, avec des contre-mesures intégrées en cas de tentative d'altération de la puce sécurisée, et tout ce qui est important se passe dans cette puce unique. Cependant, elles nécessitent un autre appareil pour être utilisées car elles n'ont pas d'écran. Concernant le DIY (Do It Yourself), il est fortement recommandé, car il permet de contrôler la chaîne d'approvisionnement. Cependant, acheter des kits DIY pré-assemblés rend ces appareils particulièrement vulnérables aux attaques de la chaîne d'approvisionnement, car les broches d'affichage sont souvent accessibles et il y a beaucoup d'espace pour insérer des composants malveillants. L'assemblage personnel est crucial pour la sécurité. Pour la majorité des utilisateurs, il n'y a pas grand-chose à faire directement. Ledger a surestimé la protection physique de sa vérification d'authenticité. L'achat direct auprès du fournisseur est généralement l'option la plus sûre, bien que cela puisse compromettre la confidentialité en cas de fuite de données client. Des solutions comme le multisig, qu'il soit mono ou multi-fournisseur, ou les services gérés comme Cara, peuvent éliminer les points de défaillance uniques. Le coût et la complexité des attaques sur les chaînes d'approvisionnement matérielles restent bien plus élevés que les attaques logicielles. Les appareils matériels, bien qu'imparfaits, sont bien supérieurs aux logiciels sur PC ou téléphone. Dans les années à venir, il est probable de voir davantage de fournisseurs proposer des options multisig conviviales. Pour toute question, laisser un commentaire.