Raportoitu Ledger-lompakon vakoiluohjelmasiru on sellainen tarina, joka saa jopa varovaiset krypton haltijat pysähtymään. Risky Bulletin -uutiskirjeen ja seurantaraportoinnin mukaan Ledger-laitteista löydettiin peitelty laitteistohyökkäys, joka muutti turvatyökaluksi myydyn tuotteen mahdolliseksi valvontakanavaksi. Sama julkaisu nosti esiin myös supermarketin kyberhyökkäyksen ja eurooppalaisen vaatimuksen saada älylasit piippaamaan nauhoittaessaan. Yhdessä nämä osoittavat, kuinka suuri osa nykyaikaisesta yksityisyydestä riippuu siitä, että luotamme ympärillämme olevaan laitteistoon.

Huomautus lähteistä: uutiskirjemerkintä itsessään on lyhyt yhteenveto. Alla olevat yksityiskohdat tulevat kirjoitushetkellä saatavilla olleesta raportoinnista, ja jotkut luvut voivat muuttua tutkinnan jatkuessa.

Mitä Ledger-lompakoiden sisältä löydettiin

Julkaistujen raporttien mukaan Ledger kertoo, että peitelty laitteisto istutettiin lompakoihin, joita myi jälleenmyyjä nimeltä CryptoBilis. Istutteen kerrotaan lukeneen käyttäjien palautuslauseet laitteen näytöltä ja lähettäneen ne matkapuhelinverkon kautta. Raportit arvioivat tappioiden olevan noin 90–93 miljoonaa dollaria, joskin tarkka luku vaihtelee julkaisusta toiseen.

Kaksi yksityiskohtaa on tässä tärkeää. Ensinnäkin raportoitu ongelma ei ole lompakon ydinrakenteen virhe. Kyse on tiettyjen yksiköiden peukaloinnista, jotka päätyivät ostajille jälleenmyyjän kautta. Toiseksi palautuslause on lompakon pääavain. Kuka tahansa sen sieppaa voi siirtää varoja koskaan koskematta alkuperäiseen laitteeseen.

Ledgerin kerrotaan tarkastelevan, miten sen laitteet päätyvät ostajille. Kysymykset siitä, kuinka moneen yksikköön ongelma vaikutti ja miten istutteet lisättiin, ovat yhä käsittelyssä julkisessa raportoinnissa.

Miksi laitteiston toimitusketjun peukalointi horjuttaa luottamusta

Useimmat ajattelevat turvallisuutta asiana, joka tapahtuu sen jälkeen, kun laite on kytketty päälle: vahvat salasanat, päivitykset, salaus. Toimitusketjun peukalointi iskee aiempaan vaiheeseen. Jos laitetta muutetaan ennen kuin se saapuu sinulle, ohjelmistosuojaukset voidaan ohittaa tai niitä voidaan tarkkailla sisältä käsin.

Laitteistolompakko rakentuu yksinkertaisen lupauksen ympärille: avaimesi eivät koskaan poistu laitteesta. Tämä tekee siitä arvokkaan kohteen. Istute, joka yksinkertaisesti tarkkailee näyttöä ja välittää näkemänsä eteenpäin, ei tarvitse murtaa mitään salakirjoitusta. Sen tarvitsee vain olla laitteen ja käyttäjän välissä.

Tämä on myös syy siihen, miksi tarina on merkityksellinen krypton ulkopuolella. Reitittimet, puhelimet, turva-avaimet ja mikä tahansa muu yksityisyyden kannalta kriittinen laite nojaavat samaan oletukseen: että se, mitä laatikossa on, on se, mitä valmistaja lähetti. Kun tämä ketju katkeaa, ostajalla ei yleensä ole ilmeistä tapaa huomata sitä. Tapaus muistuttaa, että luottamus laitteeseen sisältää luottamuksen kaikkiin, jotka sitä käsittelivät. Samankaltainen teema työkaluista, jotka toimivat tavoilla, joita niiden omistajat eivät tarkoittaneet, esiintyy kattauksessamme Anthropicin neljännestä AI-agentin hakkerointitapauksesta, joskin kyseinen tapaus koskee ohjelmistoa eikä laitteistoa.

Mitä EU haluaa älylasien tekevän

Sama Risky Bulletinin numero huomauttaa, että EU haluaa älylasien piippaavan kovaa nauhoittaessaan. Ajatus on suoraviivainen: jos puettava kamera voi tallentaa ihmisiä heidän tietämättään, sivullisten tulisi saada selkeä signaali.

Yhteenveto ei erittele oikeudellista mekanismia tai aikataulua, joten se on parasta toistaiseksi käsitellä ehdotuksena. Silti se liittyy Ledger-tarinaan. Molemmissa tapauksissa huolenaiheena on peitelty tallentaminen: siru, joka hiljaa tarkkailee näyttöä, tai kamera, joka hiljaa tarkkailee huonetta. Sääntelijät ja tietoturvatutkijat lähestyvät samaa periaatetta: piilotettu tiedonkeruu tulisi tehdä näkyväksi tai estää suunnittelulla.

Julkaisu mainitsi myös kyberhyökkäyksen, joka sulatti supermarketien jääkaapit ja vei Ahold Delhaizen myymälät offline-tilaan useissa paikoissa. Se on erillinen tapaus, mutta se korostaa, kuinka digitaalisilla häiriöillä voi olla hyvin fyysisiä seurauksia.

Miten yksityisyydestä huolestuneet käyttäjät voivat vähentää laiteriskiä

Et voi tarkastaa jokaista sirua jokaisessa laitteessa, mutta voit vähentää altistumistasi.

  • Osta valmistajalta tai valtuutetulta myyjältä. Jälleenmyyjäkanavat lisäävät käsittelyvaiheita, joita et näe. Tarkista valmistajan luettelo valtuutetuista myyjistä ennen ostoa.
  • Tarkasta pakkaus. Etsi rikkoutuneita sinettejä, uudelleen sinetöinnin merkkejä tai mitä tahansa epätavallista. Älä kuitenkaan luota pelkkään pakkaukseen.
  • Älä koskaan käytä valmiiksi asetettua palautuslausetta. Jos laite saapuu niin, että lause on jo kirjoitettu muistiin, lopeta sen käyttö. Luo aina oma lauseesi laitteella.
  • Suorita valmistajan aitoustarkistus. Laitteistolompakoiden valmistajat tarjoavat yleensä tavan varmistaa laitteen. Käytä sitä saapuessa ja uudelleen, jos sinulla on epäilyksiä.
  • Tarkkaile outoa laitteistoa. Odottamattomat radiolähettimet, ylimääräiset komponentit tai oudosti käyttäytyvä laite, kuten kuumeneminen tai nopea virrankulutus, ansaitsevat tarkastelua.
  • Rajoita sitä, mikä on vaakalaudalla yhdellä laitteella. Varojen hajauttaminen useisiin lompakoihin vähentää yksittäisen vaarantumisen vahinkoja.

Mitä tämä tarkoittaa sinulle

Jos omistat laitteistolompakon, erityisesti sellaisen, jonka ostit kolmannen osapuolen jälleenmyyjältä, tarkista, mistä se tuli. Jos CryptoBilis myi sen, noudata Ledgerin virallista ohjeistusta ja harkitse varojen siirtämistä vasta luotuun lompakkoon varmennetusta laitteesta. Jos olet epävarma laitteesi alkuperästä, sama varovainen toimenpide pätee.

Jos et omista kryptoa, opetus pätee silti. Mikä tahansa yksityisyyden kannalta kriittinen laite, turva-avaimesta reitittimeen, on yhtä luotettava kuin sen toimitusketju. Virallisista kanavista ostaminen on yksi edullisimmista ja tehokkaimmista saatavilla olevista suojauksista.

Keskeiset huomiot

Ledger-lompakon vakoiluohjelmasirun tarina on yhä kehittymässä, ja yksityiskohdat voivat tarkentua, kun Ledger ja tutkijat jakavat lisää tietoa. Jo nyt on selvää, että laitteistoluottamusta ei voi olettaa. Varmista omistamasi laitteistolompakon tai yksityisyyden kannalta kriittisen laitteen eheys, osta vain valmistajalta tai valtuutetuilta myyjiltä ja pidä kaikkea valmiiksi konfiguroituna saapuvaa epäilyttävänä. Nämä tavat vievät minuutteja ja voivat estää tappioita, joita mikään ohjelmistokorjaus ei voi peruuttaa.