La interfaz de depuración del Nano X permitía ataques a la cadena de suministro (Kraken)

Kraken Security Labs descubrió que las interfaces de depuración (JTAG/SWD) del microcontrolador no seguro STM32WB55 del Ledger Nano X, que gestiona el USB y el Bluetooth, permanecían activadas hasta que se instalaba la primera aplicación. Un atacante que manipulara el dispositivo antes que su propietario, por ejemplo durante el envío o a través de un revendedor malicioso, podía reprogramar ese chip. Kraken informa de que ni el dispositivo ni Ledger Live mostraban indicios de manipulación.

Kraken describió dos pruebas de concepto. En «Bad Ledger», el firmware modificado hacía que el dispositivo actuara como un teclado USB y enviara pulsaciones al ordenador conectado. En «Blind Ledger», apagaba la pantalla mientras el dispositivo seguía aceptando entradas, de modo que, con ingeniería social, se podía inducir a un usuario a aprobar una transacción que no podía ver. Kraken afirma que los ataques podían provocar la pérdida o el robo de fondos.

El boletín LSB-013 de Ledger afirma que el Secure Element, su código y los secretos de los usuarios no se vieron afectados, y que los ataques no pueden llevarse a cabo una vez instalada una aplicación. Ledger afirma que el firmware 1.2.4-2 hace que el Secure Element compruebe la integridad de todo el MCU en cada arranque, como en el Nano S, y que las interfaces de depuración están desactivadas en los dispositivos de nueva fabricación.

Kraken informa de que comunicó los detalles a Ledger el 9 de abril de 2020. El análisis de Kraken y la actualización de firmware de Ledger se publicaron el 8 de julio de 2020; el boletín tiene fecha del 9 de julio de 2020.

Qué recomienda Ledger:

• Instala el firmware 1.2.4-2 o posterior a través de Ledger Live.
• No pulses los botones del dispositivo cuando un sitio web te lo pida mientras la pantalla está apagada.