220 ล้านดอลลาร์ใน Bitcoin อาจถูกเข้ารหัสตลอดกาลบน IronKey PlatoBlockchain Data Intelligence ค้นหาแนวตั้ง AI.

$220M ใน Bitcoin อาจถูกเข้ารหัสตลอดกาลบน IronKey

ประทับเวลา: 14 มกราคม 2021 3:58 น

Stefan Thomas พยายามใช้รหัสผ่านที่ล้มเหลวสองครั้งเพื่อป้องกันไม่ให้คีย์ส่วนตัวสูญหายไปเป็นมูลค่า 220 ล้านดอลลาร์ bitcoin ตลอดไป. นี่เป็นเพราะว่าโทมัสถือกุญแจส่วนตัวของเขา กระเป๋าเงิน bitcoin ใน IronKey “แฟลชไดรฟ์ที่ปลอดภัยที่สุดในโลก” ยอมตายแทนที่จะเปิดเผยความลับ ต้องขอบคุณชุดการป้องกันในตัว IronKey ได้รับทุนจากกระทรวงความมั่นคงแห่งมาตุภูมิของสหรัฐอเมริกาใน 2006 และร่วมก่อตั้งโดย Dave Jevans ซีอีโอของ CipherTrace 

Jevans กำลังช่วยสืบสวนเพื่อกู้คืนกุญแจส่วนตัวของ Thomas ความพยายามที่ท้าทายโดย IronKey ที่ทนทานต่อการโจมตีสูง ซึ่ง Jevans และทีมของเขาออกแบบมาเพื่อปกป้องรหัสลับ 

เมื่อวันอังคารที่ผ่านมา Jevans แสดงความคิดเห็นเกี่ยวกับสถานการณ์ของ Thomas ในการสนทนา Twitter กับ Alex Stamos อดีต CISO ที่ Facebook  

พบกระทู้เต็มได้ที่นี่ https://twitter.com/alexstamos/status/1348999178702057476 แต่ไม่สามารถใช้ได้อีกต่อไป

ไฟล์เก็บถาวรได้รับการคัดลอกด้านล่าง

จ่าฝูง

6:24 น. 12 ม.ค. 2021

อืม ด้วยเงิน 220 ล้านดอลลาร์ใน Bitcoin ที่ล็อคไว้ คุณไม่ต้องเดารหัสผ่าน 10 ครั้ง แต่ให้ผู้เชี่ยวชาญซื้อ IronKeys 20 อัน และใช้เวลาหกเดือนในการค้นหาช่องด้านข้างหรือเปิดฝาออก

ฉันจะทำให้มันเกิดขึ้น 10% โทรหาฉัน.

“Stefan Thomas โปรแกรมเมอร์ที่เกิดในเยอรมนีในซานฟรานซิสโก เหลืออีกสองข้อในการเดารหัสผ่านที่มีมูลค่าราว 220 ล้านดอลลาร์ ณ สัปดาห์นี้

รหัสผ่านจะช่วยให้เขาปลดล็อกฮาร์ดไดรฟ์ขนาดเล็กที่เรียกว่า IronKey ซึ่งมีคีย์ส่วนตัวของกระเป๋าเงินดิจิทัลที่มี Bitcoin จำนวน 7,002 บิต แม้ว่าราคาของ Bitcoin จะลดลงอย่างรวดเร็วในวันจันทร์ แต่ก็ยังเพิ่มขึ้นมากกว่า 50% จากเมื่อเดือนที่แล้ว ซึ่งผ่านระดับสูงสุดเป็นประวัติการณ์ที่ประมาณ 20,000 ดอลลาร์

ปัญหาคือเมื่อหลายปีก่อนคุณโธมัสทำกระดาษหายซึ่งเขาเขียนรหัสผ่านสำหรับ IronKey ของเขา ซึ่งให้ผู้ใช้ 10 เดาก่อนที่มันจะยึดและเข้ารหัสเนื้อหาตลอดไป เขาได้ลองใช้สูตรรหัสผ่านที่ใช้บ่อยที่สุดถึงแปดสูตร แต่ก็ไม่มีประโยชน์

“ฉันจะนอนบนเตียงและคิดเกี่ยวกับเรื่องนี้” คุณโทมัสกล่าว “จากนั้นฉันจะไปที่คอมพิวเตอร์ด้วยกลยุทธ์ใหม่ ๆ และมันก็ไม่ได้ผล และฉันก็หมดหวังอีกครั้ง”

จ่าฝูง

อยากไปจัง

เราไม่ได้พูดถึงโปรเซสเซอร์เข้ารหัสที่สร้างโดย NSA บางตัวที่ติดตั้งบน SSBN แต่เป็นชุดอุปกรณ์สำหรับผู้บริโภคราคา $50 รุ่นเก่า ไม่มีทางที่จะแข็งกระด้างเมื่อเทียบกับเอกสาร USENIX สิบปีที่ผ่านมาที่ไม่เคยใช้ในทางปฏิบัติมาก่อน

เดฟ เจแวนส์ @davejevans

ตอบกลับถึง  @alexstamos

ฉันเป็นผู้ร่วมก่อตั้งและซีอีโอของ IronKey เราได้พูดคุยกับ NSA หลายครั้งในระหว่างการพัฒนาผลิตภัณฑ์ หากบุคคลนั้นใช้ IronKey รุ่นแรกก่อนที่เราจะขายบริษัทให้กับ Imation จะเป็นเรื่องที่ท้าทายมาก /1

เจ็ก @in3dye

จุดประสงค์ของ NSA ในการช่วยเหลือคุณคืออะไร

เดฟ เจแวนส์ @davejevans

ตอบกลับถึง  @in3dye และ   @alexstamos

 

เมื่อพวกเขาพิจารณาแล้วว่าไม่มีประตูหลัง พวกเขาต้องการทำให้มันปลอดภัยที่สุดสำหรับการใช้งานที่เป็นความลับ ตัวอย่างเช่น พวกเขาไม่เพียงแค่ต้องการทำลายคีย์ AES พวกเขาแนะนำเทคนิคการล้างแฟลช NAND ที่เราใช้ในฮาร์ดแวร์

เดฟ เจแวนส์ @davejevans

ตอบกลับถึง  @alexstamos

 

ตัวนับรหัสผ่านและคีย์ AES ที่เข้ารหัสจะถูกเก็บไว้ในโปรเซสเซอร์ Atmel AT98 การถอดฝาครอบเป็นสิ่งที่ท้าทายเนื่องจากมีชั้นการป้องกันแบบสุ่มบนชิป หมายความว่าการเข้าถึงวงจรภายในมีแนวโน้มที่จะฆ่าชิป https://dtsheet.com/doc/232348/atmel-at98sc008ct /2

จ่าฝูง

อยากไปจัง

คุณลักษณะด้านความปลอดภัยของ IronKey/Atmel ได้แก่ เครื่องตรวจจับแรงดันไฟฟ้า ความถี่และอุณหภูมิ การป้องกันการใช้รหัสที่ผิดกฎหมาย การปลอมแปลงจอภาพ และการป้องกันการโจมตีช่องสัญญาณด้านข้างและการตรวจสอบ ชิปสามารถตรวจจับความพยายามในการปลอมแปลงและทำลายข้อมูลที่ละเอียดอ่อนในเหตุการณ์ดังกล่าว /3

เดฟ เจแวนส์ @davejevans

ตอบกลับถึง  @alexstamos

 

เราไปที่ Fly Labs และเปิดฝาออก และดูชิปความปลอดภัย IronKey ของเราด้วย FIB ระหว่างการพัฒนา มันจะโจมตียากมาก หากคุณสามารถปิดตัวนับรหัสผ่านได้ นั่นคือทางออกที่ดีที่สุดของคุณ อาจแยกคีย์ AES ที่เข้ารหัส ทั้งสองไม่น่าจะเป็นไปได้สูง /4

จ่าฝูง

ฉันแน่ใจว่าพวกคุณทำได้ดีมาก (ฉันคิดว่า iSEC ได้ทำการตรวจสอบให้คุณแล้ว ณ จุดหนึ่ง) แต่ก็ไม่ใช่รูปแบบภัยคุกคามที่สมเหตุสมผลที่จะคาดหวังว่าฮาร์ดแวร์ของผู้บริโภคจะคงอยู่ได้หลังจากผ่านไปหนึ่งทศวรรษ และเทียบกับการค้นคว้าโดยตรงที่มีมูลค่าหลายล้านดอลลาร์

เดฟ เจแวนส์ @davejevans

ตอบกลับถึง  @alexstamos

 

คงจะดีถ้าพบว่ามีใครสามารถโจมตีสมาร์ทการ์ดตระกูล AT98SC ได้โดยไม่ต้องรีเซ็ต โดยความน่าเชื่อถือ ฉันหมายถึงการโจมตีอุปกรณ์หนึ่งเครื่อง โดยมีโอกาสประสบความสำเร็จสูง มากกว่าที่จะประสบความสำเร็จ 1% ของเวลาทั้งหมด

Garrett SerackCowboy หมวกหน้า @fearthecowboy

อยากไปจัง

ไม่มีกรณีแบบนี้เมื่อสองสามเดือนก่อนที่มีคนมี bitcoin ในดิสก์ crypto อึบางชิ้นหรือไม่?

มีคน IIRC ออกมาและพบว่าเฟิร์มแวร์ที่อยู่บนนั้นสามารถดาวน์เกรดเป็นเฟิร์มแวร์ที่มีช่องโหว่ได้ และผ่านเข้าไปและพวกเขาก็ปลดล็อคได้

เดฟ เจแวนส์ @davejevans

ตอบกลับถึง  @fearthecowboy ครับ และ   @alexstamos

 

คุณไม่สามารถดาวน์เกรดเฟิร์มแวร์บนอุปกรณ์ IronKey ดั้งเดิมได้ มีการเช็คอินในฮาร์ดแวร์และต้องลงนามด้วยคีย์จริงบน HSM ที่ IronKey (ปัจจุบันคือ Imation) นี่ไม่ใช่ Trezor ที่มีการตรวจสอบเฟิร์มแวร์ซอฟต์แวร์ มันทำในฮาร์ดแวร์ที่กำหนดเอง เราใช้เงินไปมากกว่า 10 ล้านเหรียญสหรัฐในการวิจัยและพัฒนาชิป

มุลเลอร์ @Patchemup1

ไปกินไอติมมา

ฉันเดิมพันที่ตัวนับถึง 10 อย่างน้อยที่สุดสามารถรีเซ็ตหรือตัดออกจากสวิตช์ฆ่าได้ อย่างน้อยก็ด้วยจำนวนทรัพยากรที่สามารถซื้อได้มาก

เดฟ เจแวนส์ @davejevans

 

ใช่. แต่ดูความคิดเห็นของฉันเกี่ยวกับตาข่ายป้องกัน การป้องกันการโจมตีช่องด้านข้าง ฯลฯ บนชิปการจัดการคีย์ที่เราใช้ในการสร้างอุปกรณ์ IronKey คุณมีโอกาสหนึ่งครั้งที่จะปิดการใช้งานตาข่ายจริง และจะถูกสุ่มต่ออุปกรณ์

จ่าฝูง

ฉันรู้สึกว่าเขาสามารถจ่ายเงินให้ Kingston ได้มากพอที่จะอัปเดตเฟิร์มแวร์ของ IronKey เป็นเวอร์ชันที่ทำให้เขาสามารถถอดรหัสได้ไม่จำกัด

เดฟ เจแวนส์ @davejevans

 

หากเป็น IronKey เวอร์ชันดั้งเดิม จะไม่สามารถอัปเดตเฟิร์มแวร์บนสมาร์ทการ์ดที่มีคีย์ AES ที่เข้ารหัสและตัวนับรหัสผ่านได้ ต้องการการโจมตีทางกายภาพซึ่งชิปมีการป้องกันมากมาย

จ่าฝูง

มีโอกาสใดบ้างที่ IronKey จะถูกถอดออกและรหัสผ่านถูกถอดรหัสด้วยกล้องจุลทรรศน์อิเล็กตรอน?

เดฟ เจแวนส์ @davejevans

 

ระหว่างการพัฒนาที่ IronKey เราได้แยกสมาร์ทการ์ดและเล่นกับ FIB การ์ดมีการป้องกันทางกายภาพมากมายจากหน่วยความจำการอ่าน รวมถึงการตรวจจับ UV, ตาข่ายฮาร์ดแวร์แบบสุ่ม, การตรวจจับการโจมตีช่องด้านข้าง ฯลฯ ซึ่งรีเซ็ตได้อย่างง่ายดาย

แดน คามินสกี้ @dakami

ถ้ามันมีประโยชน์ @justmoon ข้อเสนอของ Alex นั้นน่าเชื่อถืออย่างยิ่ง

 เดฟ เจแวนส์ @davejevans

ตอบกลับถึง  @ดากามิ @ขาด  และอีก 2 คน

 

ในฐานะผู้ร่วมก่อตั้งและอดีต CEO ของ IronKey ฉันจะให้ความช่วยเหลือเท่าที่ทำได้ คุณต้องถอดรหัส Atmel AT98 (สมมติว่านี่คือ IronKey ที่เราพัฒนาขึ้นก่อนที่ Imation จะซื้อบริษัทของเรา)

กระเป๋าเงินฮาร์ดแวร์, IronKeys และการรักษาความปลอดภัยที่ไม่แตกหัก

บริษัทกระเป๋าเงินฮาร์ดแวร์จำเป็นต้องยกระดับความปลอดภัยและแสวงหาการรับรองการเข้ารหัสจากภายนอก ไม่เหมือนกระเป๋าสตางค์ฮาร์ดแวร์ IronKeys ยังคงสามารถป้องกันการงัดแงะได้นานกว่าทศวรรษหลังจากการเปิดตัวครั้งแรก สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ออก Federal Information Protection 140 Series เพื่อประสานงานข้อกำหนดและมาตรฐานสำหรับโมดูลการเข้ารหัสซึ่งรวมถึงส่วนประกอบฮาร์ดแวร์และซอฟต์แวร์สำหรับใช้งานโดยแผนกและหน่วยงานของรัฐบาลกลางของสหรัฐอเมริกา  

  • FIPS 140-2 ระดับ 1 ต่ำสุด กำหนดข้อกำหนดที่จำกัดมาก ส่วนประกอบทั้งหมดจะต้องเป็น "ระดับการผลิต" อย่างหลวม ๆ และต้องไม่มีความไม่มั่นคงร้ายแรงประเภทต่าง ๆ 
  • FIPS 140-2 ระดับ 2 เพิ่มข้อกำหนดสำหรับหลักฐานการปลอมแปลงทางกายภาพและการตรวจสอบตามบทบาท 
  • FIPS 140-2 ระดับ 3 เพิ่มข้อกำหนดสำหรับการต้านทานการงัดแงะทางกายภาพ 

ในปี 2011 IronKey เป็น “แฟลชไดรฟ์ที่ปลอดภัยที่สุดในโลก” เพราะเป็นอุปกรณ์เข้ารหัสมือถือเพียงเครื่องเดียวที่ผ่านการรับรอง FIPS 140-2 ระดับ 3 ซึ่งทนทานต่อการงัดแงะ ผู้จำหน่ายกระเป๋าสตางค์ฮาร์ดแวร์ศูนย์ยังไม่ได้รับรองซอฟต์แวร์ของตนที่ FIPS 140-2 ระดับ 1 ในขณะที่กระเป๋าเงิน Trezor บางตัวมีชิปเซ็ตจาก Super Micro, ST31 และ STM32 ซึ่งได้รับการตรวจสอบโดย EAL แยกต่างหาก แต่กระเป๋าเงิน Trezor นั้นไม่ได้รับการรับรอง 

ความหมายสำหรับ Hardware Wallets 

ตามประวัติศาสตร์ hกระเป๋าเงิน ardware ไม่เคยปลอดภัยมากนัก ในปี 2018 กระเป๋าสตางค์ฮาร์ดแวร์ของ Ledger wก่อน ประนีประนอมโดยนักวิจัยอายุ 15 ปี, ราชิด สะลีม, ใช้ รหัสจำนวนน้อยมาก Saleem ติดตั้งแบ็คดอร์บน Ledger Nano S ซึ่งทำให้อุปกรณ์สร้างรหัสผ่านการกู้คืนที่กำหนดไว้ล่วงหน้า ผู้โจมตีสามารถป้อนรหัสผ่านเหล่านั้นลงในกระเป๋าสตางค์ฮาร์ดแวร์ของ Ledger ใหม่ เพื่อกู้คืนคีย์ส่วนตัวของอุปกรณ์แบ็คดอร์ Rashid ยังสามารถใช้ประโยชน์จากข้อบกพร่องของกระเป๋า Trezor เมื่อปีก่อน https://ciphertrace.com/ledger-bitcoin-wallet-hacked/ 

การละเมิดข้อมูลบัญชีแยกประเภทในปี 2020 เปิดเผยที่อยู่อีเมลและอื่น ๆ PII ของผู้ใช้มากกว่า 270,000 ราย ส่งผลให้ลูกค้าของ Ledger จำนวนมากตกเป็นเหยื่อของการโจมตีแบบฟิชชิงและแรนซัมแวร์ซึ่งรวมถึงการคุกคามด้วยความรุนแรง แม้ว่าการแฮ็กไม่ได้ส่งผลโดยตรงต่อเงินทุนของลูกค้า แต่ชื่อเสียงของพวกเขาในอุตสาหกรรมกลับเพิ่มขึ้นs ถูกบุกรุก ทำให้หลายคนตั้งคำถามถึงอนาคตของการรักษาความปลอดภัยกระเป๋าเงินฮาร์ดแวร์ บางทีบริษัทฮาร์ดแวร์เหล่านี้อาจควรทบทวนการสนับสนุนของ IronKey ในการรักษาความปลอดภัยการเข้ารหัสลับ ด้วยเจตนารมณ์ของการกระจายอำนาจ ความรับผิดชอบยังคงเป็นของผู้ใช้ในการรักษาความปลอดภัยคีย์ส่วนตัวของตน เพื่อไม่ให้พวกเขาต้องตกอยู่ในสถานการณ์ที่เลวร้ายของโธมัสซึ่งเงินหลายร้อยล้านดอลลาร์ไม่สามารถเข้าถึงได้ 

ที่มา: https://ciphertrace.com/220m-in-bitcoin-encrypted-forever-on-ironkey/

ประทับเวลา:

เพิ่มเติมจาก ไซเฟอร์เทรซ