wallet.fail auf dem 35C3: MCU-Firmware des Nano S und PIN-Seitenkanal beim Ledger Blue

Am 27. Dezember 2018 präsentierten Thomas Roth, Dmitry Nedospasov und Josh Datko auf dem 35. Chaos Communication Congress (35C3) in Leipzig „wallet.fail“, einen Vortrag über Angriffe auf mehrere Hardware-Wallets, darunter den Ledger Nano S und den Ledger Blue.

Beim Nano S spielten die Forscher über die Programmierschnittstelle eine eigene Firmware auf den nicht sicheren STM32-Mikrocontroller (MCU), umgingen dabei einen Schutz, der Schreibzugriffe auf einen Speicherbereich blockierte, und ließen darauf das Spiel Snake laufen. Laut Bitcoin Magazine kombinierte das Angriffsszenario physischen Zugriff auf das Gerät mit Malware auf dem Computer des Opfers, die abwartet, bis das Opfer die PIN eingibt und die Bitcoin-App öffnet, wonach Transaktionen signiert werden konnten. Beim Ledger Blue zeichnete Roth mit einer Antenne und einem Software-Defined Radio die bei der PIN-Eingabe entstehende Abstrahlung auf und klassifizierte die Tastendrücke mit einem Machine-Learning-Modell; laut Threatpost ermittelte er die PIN aus kurzer Entfernung in etwa 90 Prozent der Fälle.

Ledgers Bulletin LSB-005 schreibt Juliano Rizzo (Coinspect) und unabhängig davon Nedospasov, Datko und Roth eine Umgehung der Signaturprüfung im MCU-Bootloader des Nano S zu und kommt zu dem Schluss, dass diese keine sicherheitsrelevanten Folgen hat: Sie erlaube nichts, was nicht bereits über JTAG möglich sei, das Secure Element prüfe die Echtheit der MCU-Firmware, und der MCU habe keinen Zugriff auf PIN oder Seed. In seiner Blog-Antwort vom 28. Dezember 2018 erklärt Ledger, dass der Fehler in der nächsten Firmware-Version behoben sei, bezeichnet den Seitenkanal beim Blue als unpraktikabel, da er eine Messung aus sehr kurzer Entfernung erfordere, bei der Gerät, Empfänger und USB-Kabel in derselben Position bleiben, und betont, dass die Forscher aus keinem gestohlenen Gerät einen Seed oder eine PIN extrahiert hätten. Laut Ledger war eine zufällig angeordnete PIN-Tastatur beim Nano S bereits vorhanden und für das nächste Firmware-Update des Ledger Blue vorgesehen.

Ledger erklärt zudem, dass die Forscher keine Responsible Disclosure über sein Bug-Bounty-Programm verfolgt hätten. Weder Ledgers Bulletin noch sein Blogbeitrag nennen Firmware-Versionsnummern für die Korrekturen.