Extracción de la clave de gasto en la app de Monero de Ledger (CVE-2020-6861)

Los investigadores Dušan Klinec y Miroslav Svitok demostraron que un cliente de Monero malicioso en el ordenador conectado podía extraer la clave maestra de gasto de Monero de la aplicación Monero de Ledger 1.4.2. El dispositivo envía al cliente algunos valores intermedios cifrados con una clave que solo conoce la aplicación; los investigadores combinaron comandos de la aplicación para construir un oráculo de descifrado y explotaron una confusión de tipos entre escalares y puntos de la curva para recuperar la clave de gasto.

Según los investigadores, el ataque necesita un dispositivo conectado con el PIN introducido y la aplicación de Monero abierta, no requiere ninguna confirmación del usuario y no provoca ningún cambio en la pantalla. El boletín LSB-008 de Ledger (CVE-2020-6861) afirma que el fallo reside en el protocolo entre la aplicación del dispositivo y el cliente de escritorio de Monero, por lo que afecta tanto a los usuarios de Nano S como de Nano X. LSB-008 también menciona un ataque de repetición anterior y distinto con el mismo resultado, publicado por Ledger como LSB-007 en octubre de 2019.

Ledger afirma que la corrección de la aplicación Monero 1.5.1 elimina el comando utilizado para construir el oráculo, añade comprobaciones estrictas de la máquina de estados, añade etiquetas de tipo a los HMAC que protegen los valores cifrados y exige al usuario que confirme el inicio de cada transacción.

Los investigadores escriben que comunicaron el problema a Ledger el 3 de enero de 2020, que Ledger acusó recibo el 11 de enero y que la aplicación Monero 1.5.1 se publicó el 2 de marzo de 2020. Publicaron su análisis el 25 de abril de 2020 y recibieron una recompensa del programa de recompensas por errores de Ledger; el boletín de Ledger tiene fecha del 27 de abril de 2020.