¿Son posibles los ataques de escuchas ilegales en las carteras de hardware de Ledger Nano S?

Navega tus respuestas
1

Respecto a la billetera de hardware Ledger Nano S para las criptomonedas, escuché que afirmaba que las claves privadas de la billetera se almacenan de forma segura en el dispositivo físico y están protegidas incluso si la PC está infectada con malware .

Sin embargo , ¿no es necesario que las claves privadas pasen a través de USB a la memoria de la aplicación cliente en algún momento para enviar dinero de la billetera a la cadena de bloques de Bitcoin / Ethereum? ¿Es ese un posible vector de ataque?

O es posible que la aplicación cliente inicie una transacción sin la clave privada, utilizando en su lugar algún tipo de derivado. Si es así, ¿qué pasaría si el malware pudiera interceptar este derivado?

¿Alguien con más conocimiento técnico de esto entiende cómo se mantiene la seguridad?

    
pregunta Simon East 08.01.2018 - 04:27
fuente

1 respuesta

1

Las carteras de hardware implementadas correctamente realizan todas las operaciones con la clave privada en la misma cartera, y no en la PC conectada a la cartera. Solo las entradas y salidas de las operaciones de firma se envían a través de la conexión USB, nunca la clave privada.

  1. El usuario utiliza su aplicación para especificar que desea realizar una transacción.
  2. La aplicación (consciente del hardware) genera una transacción que aún no está firmada con la clave privada, luego la envía a la billetera del hardware para que se firme a través de USB.
  3. La billetera de hardware firma la transacción, utilizando la clave privada guardada en un elemento seguro, y devuelve la firma a través de USB.
  4. La aplicación carga la transacción firmada en el grupo que se incluirá en la cadena de bloques, finalizando la transacción.

En la mayoría de las carteras de hardware (por ejemplo, TREZOR y Ledger), hay un paso entre 2 y 3. Estas carteras requieren que el usuario confirme la transacción mediante una interfaz en la misma cartera. Esto es para proteger contra las solicitudes de falsificación de malware en la billetera para gastar dinero (lo que podría ocurrir sin que el usuario se dé cuenta).

Estos conceptos no son nuevos en las carteras de hardware para la criptomoneda: muchos sistemas basados en tarjetas inteligentes los han usado durante años, como la tarjeta OpenPGP para realizar operaciones basadas en GnuPG.

    
respondido por el David 08.01.2018 - 04:56
fuente

Lea otras preguntas en las etiquetas

Cómo incluir múltiples parámetros en el comando post de SQLmap No puedo ver los paquetes de envenenamiento ARP en Wireshark y Scapy