Karty zimne, obowiązkowe wprowadzanie klucza 65 razy po wykryciu luki w zabezpieczeniach seed… Istniejące portfele wymagają migracji

Firma Coinkite, producent sprzętowych portfeli kryptowalutowych, 20 sierpnia opublikowała nową wersję oprogramowania dla urządzenia Coldcard. Aktualizacja ta ma na celu przede wszystkim zapewnienie, że podczas generowania kluczy, użytkownik musi bezpośrednio wprowadzać dane o wysokim stopniu losowości. Użytkownik musi wykonać jedną z następujących czynności: wprowadzić co najmniej 65 kluczy w nieprzewidywalnych odstępach czasu, rzucić kostką sześcienną 50 razy lub podrzutować monetą 128 razy. Jest to środek mający na celu zmniejszenie ryzyka związanego z poleganiem wyłącznie na generatorze liczb losowych (RNG) w portfelu. Zalecenia dotyczą szerokiego zakresu wersji. Dotyczą one modeli Mk2 i Mk3 z firmware w wersji od 4.0.1 do 4.1.9, modeli Mk4 i Mk5 z standardowym firmware poniżej wersji 5.6.0 oraz z firmware "Edge" poniżej wersji 6.6.0X, a także urządzeń Q z standardowym firmware poniżej wersji 1.5.0Q oraz z firmware "Edge" poniżej wersji 6.6.0QX. Analiza techniczna przeprowadzona przez firmę Block wykazała, że zalecenia powinny obejmować również wersję 4.0.0 dla modeli Mk2 i Mk3, co wskazuje, że przestrzeganie jedynie standardów bezpieczeństwa określonych przez producenta może nie być wystarczające. Podstawową przyczyną tej luki w zabezpieczeniach jest kod zapasowy (fallback) w MicroPython. Analiza firmy Block wykazała, że flaga funkcji zdefiniowana jako zero była traktowana jako "istniejąca", co mogło spowodować przekierowanie żądania generowania liczb losowych do deterministycznego kodu zapasowego. W rezultacie, w przypadku generowania klucza bez wystarczającej ilości zewnętrznej entropii, bezpieczeństwo było poważnie naruszone. Wymuszone wejście fizyczne ma na celu ograniczenie szkód, nawet jeśli w przyszłości generowanie liczb losowych przez urządzenie ponownie się nie powiedzie, ale nie może być zastosowane wstecz do już wygenerowanych kluczy. Aktualizacja ta obejmuje również szereg ulepszeń związanych z bezpieczeństwem, oprócz generowania kluczy. Zintegrowano recenzje USB z kontrolą sum kontrolnych PSBT, przeprowadzono ponowną weryfikację bajtów transakcji przed podpisaniem oraz domyślnie wyłączono tryb SIGHASH_SINGLE. Ograniczono pobieranie danych z USB do aktualnych zaszyfrowanych sesji, a także dodano funkcje weryfikacji długości plików firmware, zatrzymano działanie w przypadku trwałych problemów z generatorem liczb losowych oraz sprawdzono połączenie z hardware'owym generatorem liczb losowych podczas uruchamiania. Migracja jest obowiązkowa, ale istnieje jedno wyjątek. Użytkownicy, którzy korzystali z podatnego na ataki oprogramowania i rzucili kostką minimum 50 razy w sposób uczciwy, niezależny i poufny, są zwolnieni z migracji. Jednakże, jeśli liczba rzutów jest niewystarczająca lub użytkownik nie jest pewien, czy spełnione są odpowiednie warunki, musi wygenerować nowy klucz, wykonać kopię zapasową i przenieść środki. Oficjalny przewodnik CoinKite zaleca następującą kolejność działań: wygenerowanie nowego klucza, wykonanie kopii zapasowej i weryfikacja odcisków palców portfela, weryfikacja adresu odbiorczego na urządzeniu, przetestowanie transakcji za pomocą niewielkiej kwoty, a następnie przeniesienie całej kwoty. Klonowanie lub odzyskiwanie portfela nie jest traktowane jako generowanie nowego klucza. Coinstrike poinformowała, że niektórzy klienci ponieśli poważne straty, a organy ścigania prowadzą w tej sprawie śledztwo. Firma nie ujawniła jednak liczby ofiar ani całkowitej skali strat. Dodatkowo, Coinstrike zastrzegła, że aktualnie przeprowadzane kontrole (obejmujące m.in. analizę kodu źródłowego, testy ścieżki generatora liczb losowych na rzeczywistych urządzeniach, możliwość odtworzenia i śledzenia ścieżki losowania) nie stanowią pełnej weryfikacji całego oprogramowania.