Sono possibili attacchi di intercettazione sui portafogli hardware Ledger Nano S?

Question

Sono possibili attacchi di intercettazione sui portafogli hardware Ledger Nano S?

#1 da (1 voti)

1

Per quanto riguarda il portafoglio hardware Ledger Nano S per criptovalute, ho sentito dire che le chiavi private per il portafoglio sono archiviate in modo sicuro sul dispositivo fisico e protette anche se il PC è stato infettato da malware .

Tuttavia , non è necessario che le chiavi private vengano passate tramite USB nella memoria dell'applicazione client ad un certo punto per inviare denaro dal portafoglio alla blockchain di Bitcoin / Ethereum? È un possibile vettore di attacco?

O è possibile che l'applicazione client avvii una transazione senza la chiave privata, usando invece un qualche tipo di derivata. In tal caso, cosa accadrebbe se il malware fosse in grado di intercettare questo derivato?

Qualcuno con una conoscenza più tecnica di questo capisce come viene mantenuta la sicurezza?

hardware bitcoin ethereum

posta Simon East 08.01.2018 - 04:27

fonte

1 risposta

Leggi altre domande sui tag hardware bitcoin ethereum

Token di sicurezza per l'esposizione esterna: UUID o HMAC / JWT / hash? È shred -n1 / dev / sda dimostrabilmente peggiore di Bleachbit?

score 1 · Answer 1

I portafogli hardware correttamente implementati eseguono tutte le operazioni con la chiave privata sul portafoglio stesso e non sul PC collegato al portafoglio. Solo gli input e gli output delle operazioni di firma vengono inviati tramite la connessione USB, mai la stessa chiave privata.

L'utente utilizza la propria applicazione per specificare che desidera effettuare una transazione.
L'applicazione (che riconosce l'hardware) genera una transazione che non è ancora stata firmata con la chiave privata, quindi la invia al portafoglio hardware per essere firmata tramite USB.
Il portafoglio hardware firma la transazione, utilizzando la chiave privata conservata in un elemento sicuro e restituisce la firma tramite USB.
L'applicazione carica la transazione firmata nel pool per essere inclusa nella blockchain, finalizzando la transazione.

Nella maggior parte dei portafogli hardware (ad es. TREZOR e Ledger), c'è un passaggio tra 2 e 3. Questi wallet richiedono all'utente di confermare la transazione utilizzando un'interfaccia sul wallet stesso. Questo è per proteggere dal malware che forgia le richieste al portafoglio per spendere soldi (cosa che potrebbe verificarsi senza che l'utente se ne accorga).

Questi concetti non sono nuovi per i portafogli hardware per criptovaluta: molti sistemi basati su smartcard li hanno usati per anni, come la scheda OpenPGP per eseguire operazioni basate su GnuPG.