Технический директор Ledger сообщил об исправлении ошибок с прозрачной подписью

Технический директор Ledger Чарльз Гийеме сообщил, что компания устранила уязвимость, затрагивающую процессы прозрачной подписи в своём приложении Ethereum.

По словам Гийеме, внутренняя группа по исследованию безопасности Ledger Donjon обнаружила ошибку с помощью системы поиска уязвимостей на основе искусственного интеллекта. Исправление было сделано примерно за две недели.

Он подтвердил, что пользователи с текущей прошивкой и приложениями Ledger защищены.

Подписание в открытом виде предназначено для отображения деталей транзакции в читаемом формате на устройстве Ledger до того, как пользователь их подтвердит. Оно позволяет проверять суммы, адреса и действия смарт-контрактов вместо авторизации нечитаемого хеша транзакции.

Компания TestMachine, разработчик инструмента искусственного интеллекта для исследований Azimuth, сообщила, что выявленная уязвимость могла подорвать процесс проверки. Если точнее, вредоносное приложение могло отправить конкурирующую команду, пока пользователь проверял исходную транзакцию.

В этом случае устройство может отображать одну транзакцию, одновременно подготавливая к подписанию другую.

В компании Ledger признали наличие ошибки в «некоторых процессах прозрачной подписи», однако не опубликовали списка затронутых версий или уведомления о безопасности, объясняющих все условия для проведения атаки.

Сейчас пользователям Ledger следует обновить программное обеспечение Ledger Wallet, прошивку устройства и установленное приложение Ethereum. Обновление только десктоп- или мобильного интерфейса не заменит устаревшее приложение, работающее на аппаратном устройстве.

Пользователям также следует проверять детали транзакций на защищённом экране устройства. В руководстве Ledger предупреждается, что слепая подпись остаётся рискованной, поскольку устройство не может отобразить каждое действие смарт-контракта в читаемом формате.