Взлом аппаратного кошелька: Ledger Nano S — f00dbabe

Было обнаружено, что загрузчик Ledger Nano S можно обмануть, заставив его прошить и запустить ненадежную прошивку. УЧИТЕСЬ НА HEXTREE (реклама) Изучайте хакинг на Hextree: https://www.hextree.io/ Посмотрите это видео и другие материалы на Hextree: https://app.hextree.io/courses/yt-cry... Присоединяйтесь к Discord Hextree:   / discord   Исследовательский сайт: https://wallet.fail/ Twitter:   / walletfail   Томас Рот:   / stacksmashing   Оригинальный доклад на wallet.fail:    • 35C3 -  wallet.fail   Загрузчик используется для обновления прошивки «небезопасного» процессора в Ledger Nano S и имеет полный контроль над дисплеем, USB и кнопками. Время покажет, насколько критична эта проблема на самом деле. Для создания убедительного концептуального доказательства ещё предстоит много работы, и, возможно, ребята из wallet.fail опубликуют больше информации в будущем. Или же присоединитесь к исследованию безопасности и поэкспериментируйте сами! РАЗДЕЛЫ 00:00 - Что означает уязвимость Ledger Nano S 02:22 - Как загрузчик обновляет прошивку через APDU 04:36 - Защита загрузки f00dbabe 06:25 - Обход проверки записи с помощью псевдонимов памяти 07:53 - Что может контролировать вредоносная прошивка 09:22 - Проблема безопасности двухчиповой конструкции 09:56 - Моделирование угроз защищенного элемента 11:22 - Ненадежный микроконтроллер как «человек посередине» 12:23 - Защищенный канал и позиция Ledger 13:04 - Почему дисплей и кнопки по-прежнему важны 14:30 - Доказательство концепции самовосстанавливающейся вредоносной прошивки ПОДДЕРЖКА За видео:   / liveoverflow   За месяц:    / @liveoverflow   Купите мой рукописный шрифт (реклама): https://shop.liveoverflow.com/ СМОТРИТЕ, ПОДПИСЫВАЙТЕСЬ И ЧИТАЙТЕ Второй канал:    / liveunderflow   Twitch:   / liveoverflow   Twitter:   / liveoverflow   Instagram:   / liveoverflow   TikTok:   / liveoverflow_   Блог LiveOverflow: https://liveoverflow.com/ Блог Hextree (реклама): https://www.hextree.io/blog #АппаратнаяБезопасность #ИсследованияБезопасности (реклама) YouTube-канал LiveOverflow поддерживается за счет рекламы и размещения продукции.