Апаратні гаманці: що вони насправді захищають

Усе, що обіцяє апаратний гаманець, зводиться до однієї властивості: існує дисплей, якому можна вірити і який не контролюється вашим комп’ютером. Якщо ця властивість падає, пристрій не дає майже нічого — хоч як добре захищений ключ.

Атака, заради якої він існує

Підміна адреси — найпродуктивніша атака проти звичайних користувачів, бо не потребує криптографії. Шкідливий код чекає на криптоадресу, підміняє її в момент показу чи копіювання — і ви авторизуєте платіж на адресу, яку вважаєте своєю.

Це не теорія. У задокументованих випадках проти реальних апаратних гаманців адреса отримання генерувалася кодом на хостовому комп’ютері — тобто шкідливий код міг підмінити її до того, як користувач взагалі її побачив. Щонайменше в одному такому випадку атака не потребувала адміністративних привілеїв: файли гаманця лежали в директорії, доступній для запису користувачем, без перевірки цілісності, тож вистачало зовсім маленького скрипта. Підміна також перегенеровувала QR-код — текст і код узгоджувалися між собою і розходилися з реальністю.

Сліпе підписання

Суміжна відмова: коли пристрій не може розібрати, що його просять підписати, він може показати хеш замість зрозумілого людині опису. Схвалити таке — підписати чистий чек: довірений екран є, але показати йому нічого. Якщо пристрій має перемикач «blind signing» — вимкнений стан є безпечним типовим, а потреба його ввімкнути — сигнал, що операція заслуговує більшої уваги.

Наслідок

Якщо атакувальник отримує контроль над дисплеєм, уся модель падає — не частково, а повністю, бо кожна ваша перевірка проходить через те, що він контролює. Ось чому архітектурні питання з просунутого розділу важливі: який чип керує екраном і що доводить автентичність його коду — це не другорядні інженерні деталі. Це і є модель безпеки.

Між фабрикою і вашими руками пристрій проходить ланцюг постачання, якого ви не бачите. Атаки на ланцюг постачання привабливі, бо приходять раніше за кожен ваш захист: до PIN-коду, до обережного налаштування, до першої транзакції.

Що доводять пломби

Менше, ніж думають. Голографічні наліпки продаються і відтворюються. «Запечатану» плівку можна перекласти феном. Їхня реальна функція — трохи підняти вартість атаки і дати користувачам історію для перевірки, а не криптографічна гарантія.

Деякі вендори свідомо не використовують пломби, аргументуючи, що криптографічна атестація робить їх непотрібними. Це цілісна інженерна позиція — і вона переносить увесь тягар на те, чи покриває атестація весь пристрій. Це питання розібране в просунутому розділі, де історична відповідь — «менше, ніж рекламувалося».

Канал, про який майже ніхто не думає

Прочитайте політику повернень вендора. Багато хто приймає повернення протягом вікна за умови, що пакування виглядає нерозкритим, — і повертає ці одиниці на склад. Для монітора чи відеокарти це звичайна роздрібна практика. Для пристрою, що існує заради зберігання секретів, це означає: отримана вами одиниця могла два тижні пробути в чужих руках — а атакувальник, готовий купувати, модифікувати, перепаковувати і повертати пристрої, має дешевий повторюваний канал із правдоподібною віддачею, адже ці продукти непропорційно купують люди зі значними сумами.

Спитайте, що вендор робить із поверненими одиницями. Це питання з конкретною, перевірною відповіддю — і його майже ніхто не ставить.

Стійка відповідь

Ви не можете верифікувати походження. Ви можете зробити його неважливим:

• Завжди генеруйте сід самостійно після отримання. Готова фраза в коробці — найчіткіша ознака компрометації.
• Припускайте, що пристрій може бути модифікований, і тримайте сід незалежним від нього — щоб підозріла одиниця коштувала вам пристрою, а не балансу.
• Для значних сум — вендорно-різноманітний мультипідпис, щоб одного скомпрометованого ланцюга постачання було недостатньо.
• Купуйте пристрої в інший час і в іншому місці, ніж поповнюєте їх, розриваючи зв’язок між доставкою і великим депозитом.

Оновлення виправляють справжні вразливості — включно з фізичними атаками, описаними далі в цьому гайді. Відмова оновлюватися лишає вас відкритими до відомих проблем. Але оновлення — це й момент, коли на пристрій, що тримає ваш ключ, записується новий код, і це найконцентрованіша точка ризику в нормальній експлуатації.

Існує стійкий патерн повідомлень користувачів про втрати невдовзі після оновлення. Пояснень кілька, і всі підходять: фішинг, приурочений до анонсів оновлень, фейкові запити на оновлення, збіг і зсув вибірки повідомлень — а в деяких випадках і визнані баги, коли пристрої скидалися до заводських налаштувань під час процесу. Суть не в призначенні вини. Суть у тому, що емпірично це вікно, в якому щось іде не так, — тож воно заслуговує свідомого поводження, а не рефлекторного кліку.

Як оновлюватися безпечно

1. Ніколи не оновлюйтеся із запиту, що вас здивував. Закрийте його. Зайдіть на сайт вендора самі й переконайтеся, що реліз існує.
2. Почекайте. Якщо оновлення не закриває щось, що активно експлуатують, дайте йому полежати тиждень-два. Проблеми швидко спливають у спільнотах.
3. Верифікуйте перед встановленням. Перевірте підписи і хеші супутнього софту.
4. Спершу підтвердьте резервну копію. Майте фразу під рукою і переконайтеся, що вона правильна, до початку — збій посеред оновлення може вимагати відновлення.
5. Для великих сум — спершу перемістіть кошти. Переказ на інший ключ, оновлення, перевірка коректної поведінки пристрою, повернення. Нудно — і прибирає весь клас ризику.
6. Після — звірте адреси знову. Переконайтеся, що пристрій виводить ті самі адреси, що й до оновлення.

Що робить PIN

PIN захищає від того, хто фізично має ваш пристрій і хоче скористатися ним побіжно. Він поєднується з наростаючими затримками між спробами і, на більшості пристроїв, зі стиранням після певної кількості невдач — що безпечно саме тому, що сід ви тримаєте окремо і можете відновитися.

Чого PIN не робить — не захищає сід від атакувальника з лабораторним обладнанням. Проти цієї загрози релевантні захисти — архітектура чипа і пасфраза, а не PIN.

Пасфразу масово розуміють неправильно

Опціональна пасфраза BIP39 — «25-те слово» — по-справжньому потужна і спричиняє чи не найбільше випадкових втрат, бо два різні призначення подаються як одне.

Обидва використання технічно валідні — будь-яка пасфраза породжує окремий гаманець. Проблема в тому, що фреймінг змінює обережність. Користувач, який вважає, що ставить пароль пристрою, не робить резервну копію. Користувач, який розуміє, що підсилює сід, — робить.

Правило, що запобігає всім трьом: якщо ви не розумієте точно, що робить функція, — не вмикайте її. А якщо пасфразу використовуєте — поводьтеся з нею як із другим секретом, з тією ж дисципліною копій, що й сід, але зберігайте окремо: щоб жодне одне місце не видавало обох. Повний розбір — у гайді 25-те слово.

Оскільки сід — це актив, носій, що його тримає, — справжній продукт безпеки у вашій системі. Оцінюйте його проти загроз, які працюють на масштабі десятиліть.

Проблема підпису

Резервна копія, що оголошує сама себе, руйнує половину власного призначення. Картка з комплекту багатьох пристроїв надрукована з назвою бренду і фразами на кшталт recovery seed великим кеглем — іноді поруч із застереженнями нікому не показувати, — що зручно повідомляє кожному, хто її знайде: знайдено щось варте забирання.

Мета — копія, що виглядає як ніщо. Підходи бувають імпровізовані — слова, непримітно позначені у звичайному кишеньковому словнику чи зошиті для вивчення мови, що лежить серед подібних речей, а не в сейфі, — і спеціально збудовані, що зберігають слова як номери індексів чи бінарні патерни замість читабельного тексту. Злодій, що знайшов металеву картку в крапках, знайшов предмет без очевидної цінності; злодій, що знайшов картку із заголовком BITCOIN RECOVERY SEED, знайшов інструкцію.

Кілька копій, розділених

Одна копія — єдина точка відмови для речі, яку не можна замінити. Дві-три копії в справді різних місцях захищають від пожежі, потопу і втрати. Ціна — кожна копія стає ще одним місцем, де злодій може досягти успіху. Це один із найчистіших аргументів на користь мультипідпису, де жодного одного знайденого місця недостатньо.

Неперевірена резервна копія — гіпотеза. Більшість людей виявляє помилку переписування, неоднозначну літеру чи забуту пасфразу в найгірший можливий момент.

Тренування

1. Занотуйте поточні адреси отримання.
2. Повністю зітріть пристрій.
3. Відновіться, використовуючи лише фізичну копію — не пам’ять, не нотатку в телефоні. Якщо відновлення з самої лише копії не виходить — копія провалилася, і ви дізналися це безпечно.
4. Переконайтеся, що адреси збігаються і баланс з’явився.
5. Якщо використовуєте пасфразу — перевірте і прихований гаманець.

Частота і обсяг

• Одразу після налаштування, до поповнення
• Щороку — і після будь-якої зміни прошивки
• Після будь-якої зміни копії, її місця чи вашої пасфрази
• Хоча б раз — у гаманці іншого вендора: це доводить, що фраза стандартна і ви не залежите від існування однієї компанії

Центральне апаратне рішення — який кремній тримає секрет. Два варіанти несуть протилежні компроміси, і індустрія сперечається про це десятиліття без сходження.

Обмін не «безпека проти небезпеки»

Обмін — це від якого супротивника ви боронитеся. SE суттєво кращий проти атакувальника з вашим пристроєм і лабораторним обладнанням. Відкритий MCU кращий проти можливості нерозкритої поведінки в кремнії, який ви не можете оглянути. Вибір одного означає прийняття залишкового ризику іншого.

Індустріальний розворот

Ця напруга не академічна. Один великий вендор роками публічно пояснював, що досліджував секюр-елементи, знаходив критичні вади в кожному оглянутому і був незадоволений реакцією виробників чипів — хтось відмовлявся виправляти відоме, хтось просив не розкривати знахідки. На цій підставі він будував продукти на чипах загального призначення.

Той самий вендор тепер ставить секюр-елементи у свої поточні моделі.

Розворот може відображати справді покращений кремній — або ринок, що почав вважати «має Secure Element» вимогою до покупки незалежно від інженерного аргументу. Обидва прочитання правдоподібні. Для вашої оцінки важливий засадничий урок: архітектурні позиції, подані як принципові висновки з безпеки, можуть бути переглянуті з комерційних причин. Будуйте систему так, щоб помилка щодо архітектури будь-якого одного вендора була пережитною.

Секюр-елементи збудовані для смарткарт. Вони відмінно захищають секрети і погані в усьому іншому — багато з них взагалі не вміють керувати дисплеєм чи говорити USB, спілкуючись лише повільним послідовним каналом.

Це створює інженерну проблему. Пристрою потрібні екран, кнопки і USB, а захищений чип їх дати не може. Поширене рішення — другий, звичайний мікроконтролер, що обслуговує периферію і транслює повідомлення секюр-елементу.

Де насправді проходить межа безпеки

Ключ ніколи не покидає секюр-елемент — це властивість, яку рекламують вендори. Але екран і кнопки під’єднані до іншого чипа — того, що без особливих захистів. Усе, на що ви покладаєтеся, верифікуючи транзакцію, проходить через компонент, який найлегше скомпрометувати.

Задумане виправлення — атестація: секюр-елемент викликає мікроконтролер довести, що той виконує автентичну прошивку, і відмовляється співпрацювати інакше. Коли це працює — це елегантно. Впевненість у цьому була настільки сильною, що вендори аргументували непотрібність захисного пакування, а щонайменше один публічно казав користувачам, що купувати на відкритих маркетплейсах прийнятно, бо атестація зловить модифікований пристрій.

Як це зламали

2018 року дослідник продемонстрував повний обхід на серійному пристрої. Суттєві кроки узагальнюються поза конкретним продуктом:

1. Атестація порівнювала стиснутий образ пам’яті мікроконтролера. Модифіковану прошивку можна було скроїти так, щоб образ збігався, а поведінка відрізнялася.
2. Зі скомпрометованим мікроконтролером атакувальник контролював дисплей і кнопки — а отже, кожне попередження, на яке покладався б користувач, включно з тим, що мало б сигналізувати про неавтентичний інтерфейс.
3. Далі процес онбордингу можна було змінити так, щоб генерація сіда йшла з ентропією, примусово виставленою у фіксоване значення, — фраза виглядала звичайно і була повністю передбачувана атакувальнику.
4. Секюр-елемент, задоволений підробленою атестацією, весь час нормально співпрацював.

Скомпрометуйте дисплей — і криптографію долати не треба. Досить змінити те, що кажуть користувачу.

Чому цей клас вад важко закрити

Пом’якшення, що пішли слідом, були архітектурними латками, а не редизайном: реструктурована прошивка, щоб зменшити код, який атакувальник може перевикористати, і часові обмеження, покликані не дати мікроконтролеру виконувати зайву роботу під час відповіді. Дослідник зазначив структурну складність: секюр-елемент працює на частці тактової частоти мікроконтролера — повільніший верифікатор намагається обмежити швидшого доводжувача через повільний канал. Чи можна зробити таку схему стійкою — питання по-справжньому відкрите, а не вирішене.

З фізичним володінням атакувальник більше не обмежений інтерфейсами, які задумали проєктувальники. Він може маніпулювати умовами, в яких працює чип.

Ін’єкція збоїв

Найпрактичніша техніка проти незахищених мікроконтролерів — глітчинг напруги чи тактового сигналу: навмисне збурення живлення або клоку в точно обраний момент, щоб процесор схибив. Одного пропущеного порівняння — того, що перевіряє, чи читабельна область пам’яті, — може вистачити, щоб захищена пам’ять відкрилася на частку секунди, потрібну для зчитування.

Це не екзотика. Дослідники безпеки публічно демонстрували вилучення сіда з апаратних гаманців глітчингом, на кількох моделях. Обладнання доступне за ціною, техніка добре задокументована. Вендори відповіли змістовними пом’якшеннями, а секюр-елементи містять апаратні контрзаходи саме проти цього класу атак — це найсильніший аргумент на їхню користь.

Побічні канали

Навіть без спричинення збоїв чип втрачає інформацію через споживання живлення, електромагнітне випромінювання і тайминги операцій. Ретельні виміри впродовж багатьох операцій можуть відновити ключовий матеріал чи цифри PIN, жодної перевірки не обходячи. Контрзаходи — константний час виконання, маскування, рандомізація — стандартні в секюр-елементах і часто відсутні деінде.

Що це означає для вас

Ще одна заувага про те, як ці дослідження доходять до публіки. Демонстрацію нової атаки на серійний пристрій, за одним свідченням, зробили приватною після того, як дослідники отримали від вендора винагороду. Така домовленість нормальна і загалом здорова — вона фінансує дослідження і дає вендорам час на латання. Вона також означає, що відсутність публічних демонстрацій атак — слабкий доказ їх відсутності. Виходьте з того, що опубліковані атаки — підмножина відомих.

Пристрій і супутній застосунок обмінюються структурованими повідомленнями, зазвичай через USB. Дві властивості цього каналу заслуговують уваги.

Канал зазвичай не автентифікує того, хто викликає

У кількох конструкціях пристрій відповідає на коректно сформовані команди, не з’ясовуючи, який застосунок їх надіслав. Задуманий захист — крок схвалення користувачем: ніщо не підписується без кнопки. Саме тому довірений дисплей несе таку вагу.

Наслідок видно в задокументованому інциденті: підроблений супутній застосунок, опублікований у магазині браузерних розширень під правдоподібною назвою, надіслав пристрою інструкцію переказати кошти на адресу зловмисника — і пристрій обробив запит, як будь-який інший. Криптографія відпрацювала коректно; пристрій просто не мав способу дізнатися, що запит прийшов від ворожого застосунку, а користувач схвалив те, що йому показали.

Семантика складніша за криптографію

Тонші відмови не в підписанні, а в розумінні того, що підписується. Найчіткіший опублікований приклад стосується виходів на решту.

Коли ви витрачаєте частину UTXO, залишок повертається на адресу, яку контролює ваш гаманець. Пристрій мусить верифікувати, що вихід на решту справді ваш. Дослідники виявили, що деякі пристрої приймали транзакцію, де шлях деривації для виходу на решту був просто порожнім рядком, — і не позначали це. Атакувальник, здатний маніпулювати поданою транзакцією, міг спрямувати решту на власну адресу, поки користувач бачив і схвалював маленький, легітимний на вигляд платіж.

Користувач бачить: заплатити малу суму на відому адресу. Транзакція насправді каже: заплатити малу суму на відому адресу — і надіслати все інше атакувальнику. Той самий клас проблеми знайшли в пристроях більш ніж одного виробника, і через роки після виправлення він сплив знову.

Підписати коректно — не те саме, що зрозуміти підписане. Більшість сучасних атак цілять у другу проблему.

Підписання через повітряний розрив

Найсильніша структурна відповідь прибирає електричне з’єднання цілком. З air-gapped підписанням непідписані транзакції потрапляють на пристрій через QR-код чи знімний носій, і підписи повертаються так само. Немає USB-сесії, яку можна захопити, і немає стеку драйверів, який можна експлуатувати.

Це не розв’язує семантичну проблему — пристрій, що хибно тлумачить транзакцію, хибно тлумачить її і через QR, — але прибирає цілу категорію атак рівня з’єднання і змушує дані, що перетинають межу, бути досить малими, щоб про них можна було міркувати.

Поширений і хибний інстинкт — купити кілька одиниць одного пристрою і розкласти активи між ними. Це відчувається як диверсифікація. Це не вона.

Чотири однакові пристрої ділять однакову прошивку, однаковий кремній, однаковий ланцюг постачання і однакового вендора. Вада в будь-чому з цього вражає всі чотири одночасно. Ви помножили кількість об’єктів, які треба охороняти, не зменшивши ймовірність, що одне відкриття скомпрометує все, — і створили чотири можливості фізичної крадіжки замість однієї.

Розкладання коштів між однаковими пристроями ділить вашу зручність і лишає ваш корельований ризик рівно там, де він був.

Що диверсифікує насправді

Справжня диверсифікація вимагає незалежності режимів відмови — тобто варіювання того, що може відмовити:

• Різні виробники — щоб бага прошивки, ворожого оновлення чи компрометації постачання одного вендора було недостатньо
• Різні архітектури чипів — щоб одна вада кремнію не стосувалася кожного ключа
• Різна географія — щоб пожежа, потоп, крадіжка чи вилучення сягали лише одного
• Різні джерела ентропії — щоб слабкий генератор вражав один ключ, а не всі
• Різні носії копій — щоб режим відмови одного носія не застосовувався всюди

Структура, що змушує це окупитися, — мультипідпис. У 2-із-3 на трьох виробниках атакувальник мусить скомпрометувати дві незалежні організації, а ви можете втратити будь-який один пристрій чи місце, не втративши доступ. Це єдина конструкція, в якій помилка вендора — подія, яку можна пережити, а не термінальна.

Колаборативне зберігання

Існують сервіси, що тримають один ключ у мультипідписній схемі, поки ви тримаєте решту, — допомога з відновленням без кастодіальності. Модель здорова: сервіс не може рухати кошти сам, а ви можете відновитися без сервісу. Дві речі варто перевірити, перш ніж покладатися: що ви справді можете відновитися незалежно, якщо компанія зникне, і що дескриптор ви тримаєте самі, а не залежите від їхнього софту в його відбудові.

Обидва ділять чи підсилюють один ключ. Вони розв’язують різні проблеми і відмовляють по-різному.

Міркування, що вирішують

Shamir по-справжньому кращий для надлишковості: схема часток 2-із-3 переживає втрату місця, чого один сід не вміє. Його ціна — переносність. Підтримка вужча за BIP39, що повертає залежність від існування конкретних реалізацій — рівно ту залежність, яку стандарт сід-фраз створювався прибрати.

Пасфрази підтримуються універсально і дають справжній захист від компрометації сіда. Їхня ціна — крихкість: немає відновлення, немає надлишковості, немає толерантності до помилок. Ніщо не попередить, що ви ввели її з помилкою, — ви просто опинитеся в іншому, порожньому гаманці.

Робота з безпекою має закінчуватися чесним переліком того, що лишилося. Ось що лишається для добре веденої однопристрійної системи — і що потрібно, щоб закрити кожен пункт.

Як читати таблицю

Впадають в око дві речі. Перша: мультипідпис стоїть навпроти більшої кількості рядків, ніж будь-що інше — це структурна зміна з найбільшим важелем, бо вона перетворює довіру до вендора з вимоги на вподобання. Друга: останні два рядки не розв’язуються технологією. Витік уже стався, коли ви купили пристрій, а проти власної помилки найкраще працює система, досить проста, щоб ви оперували нею коректно в стресі, через роки — і, можливо, вже не ви.