Ledger e Trezor, dois dos mais renomados fornecedores de moedeiros frios para a guarda de criptomoedas, discutiram publicamente logo de que a empresa francesa Ledger expusesse uma série de falhas de segurança no projeto de Trezor durante um evento público, celebrado no Massachusetts Estados Unidos.
Durante o segundo dia do MIT Bitcoin Expo 2019, o Chief Security Officer (CSO) de Ledger, Charles Guillemet assegurou que a empresa tem trabalhado para melhorar a segurança de seus próprios dispositivos, mas tem também experiências com outros hardwares especializados disponíveis no mercado, como Trezor, e relatou várias vulnerabilidades dos modelos Trezor T e Trezor One.
Entre os vectores de ataque assinalados por Guillemet está o processo para a atribuição de uma palavra chave para o moedeiro, as falhas associadas á cadeia de fornecimento, que possibilitam o hackeo dos dispositivos antes de sua venda ao usuário final, entre outros. Alguns desses erros podem chegar a serem críticos, de acordo com o executivo da Ledger.
A empresa publicou um relatório detalhado, assegurando que não é um ataque contra a marca, associada com Satoshi Labs, senão de uma revisão que é útil a toda a indústria transformadora desse tipo de equipamentos. “Temos a responsabilidade de melhorar a segurança em todo o sistema de blockchain sempre que seja possível”, se lê no relatório.
TREZOR RESPONDE
A resposta de Trezor foi imediata. “Nenhum desses ataques são remotamente exploráveis”, afirmou a empresa em sua resposta oficial, publicada este 12 de março, referindo-se ás vulnerabilidades destacadas por Ledger.
Conforme assinala esta empresa, todos os vetores de ataque descrito por Ledger requerem acesso físico e um alto nível técnico de maneira que estas falhas têm um alcance extremadamente baixo, argumenta Trezor, tanto para os seus produtos, como para o restante de fabricantes desse tipo de equipamentos e que poderia ver-se comprometidos por vetores semelhantes.
A abordagem da empresa para o desenvolvimento desse tipo de equipamentos é evitar os ataques remotos, atendendo a uma necessidade da indústria.
De acordo com seu comunicado, a empresa realizou uma pesquisa de mercado junto com Binance para saber quais são os vetores de ataque que mais preocupam aos membros da comunidade, descobrindo que mais de 66% dos participantes consideram mais ameaçadores os ataques remotos que o acesso físico aos equipamentos, indicado por um pouco mais de 5% quem responderam ao estudo.
Em combinação com frases de senha fortes e pelo menos os princípios básicos de segurança operacional, até mesmo ataques físicos apresentados pelo Ledger não podem afetar os usuários do Trezor.
Trezor
A empresa assegurou que os ataques associados á cadeia de fornecimento são perigosos para toda a indústria. Além disso, porque a empresa está registrada sob jurisdição da União Europeia (UE), o monitoramento de produtos é mais rigoroso, mas nem assim é possível assegurar completamente a integridade dos dispositivos, tanto para Trezor como para Ledger ou qualquer outro fabricante em geral.
Trezor agradeceu a colaboração dos investigadores da empresa francesa, pois estes relataram algumas falhas de baixa incidência no código do software de seus dispositivos. O restante dos vetores de ataque indicados, devido á necessidade de acesso físico, podem ser mitigados com a atribuição de uma palavra chave (ou várias).
Trezor compartilhou uma imagem na qual se resume sua resposta às descobertas de Ledger. Fonte: TrezorNo entanto, a empresa aproveitou a Moneropara deixar claro que qualquer equipe, por mais especializado que seja, é inhackeável, pelo qual os investigadores e designers deste tipo de hardware só mitigam possíveis ataques, como no seu caso.
O intercâmbio de argumentos em torno á segurança e a celeridade da resposta de Trezor, sugere que ambas as empresas estejam ativas no desenvolvimento e melhoramento de seus produtos, sendo competidores num mesmo mercado.
Prova disso é que, no início do mês, Ledger relatou que uma possível vulnerabilidade foi detectada pelo Ledger em sua aplicação para o Monero. A empresa inclusive recomendou aos seus usuários não utilizar a aplicação com a atualização mais recente do seu cliente v0.14.
Imagem destacada por Anton Gvozdikov / stock.adobe.com
Traduzido de: CriptoNoticias
