Un canal lateral de consumo de la pantalla OLED de Ledger podía revelar en parte el PIN o la frase de recuperación

El investigador de seguridad Christian Reitter comunicó a Ledger, a través de su programa de recompensas por errores el 7 de mayo de 2019, que las pantallas OLED del Ledger Nano S y del Nano X filtran información a través del consumo de energía. El registro CVE (CVE-2019-14354) indica que la energía consumida en cada ciclo de la pantalla basada en filas depende de cuántos píxeles están encendidos, lo que puede revelar en parte lo que hay en pantalla, como el PIN o la frase de recuperación BIP39 mientras se muestran.

Según Ledger, un atacante necesitaría medir el consumo de energía del dispositivo a través de la conexión USB, por ejemplo con un implante de hardware en el cable USB, mientras los secretos están en pantalla. Ledger dice que reprodujo el montaje con un cable modificado y un osciloscopio y que pudo distinguir palabras de una frase de recuperación. El registro CVE señala que el canal lateral no es relevante para un dispositivo robado que no está mostrando datos secretos; el NVD le asigna una puntuación de 2,4 (baja).

Ledger calificó el problema de no crítico y lo describió como teóricamente posible, pero no demostrado en la práctica y menos práctico que una cámara oculta. Ledger afirma que el Ledger Blue, con pantalla LCD, no está afectado. Anunció contramedidas, entre ellas variar aleatoriamente los parámetros de la pantalla y mostrar los datos sensibles en recuadros con píxeles invertidos, para actualizaciones de firmware del Nano S y del Nano X previstas para el cuarto trimestre de 2019, y dice que este tipo de vulnerabilidades nunca pueden resolverse por completo. Reitter coordinó la divulgación con otros fabricantes afectados. Ledger publicó su boletín el 7 de agosto de 2019.

Qué recomienda Ledger:

• Actualiza el Nano S y el Nano X cuando se publique el firmware con contramedidas.
• Configura el dispositivo tú mismo en un lugar seguro y guarda la frase de recuperación de forma segura.