Bu serinin önceki makalelerinde güvenli elemanın kendisine yönelik saldırı kategorileri incelendi: hata enjeksiyonu, çip üzerinde invaziv analiz ve yan kanal teknikleri. Bunlar gerçek tehditlerdir; ancak önemli kaynaklar, özel ekipman ve bireysel hedefleme gerektirirler. Çoğu kullanıcı bu tür saldırılarla asla karşılaşmaz.
Supply chain attacks ise farklıdır. Laboratuvar ortamına veya cihaza fiziksel erişime gerek duymazlar. Güvenli elemanı aşmaları gerekmez; çünkü çipin üstündeki kod katmanlarında çalışırlar. Tek bir başarılı supply chain saldırısı, aynı anda binlerce veya milyonlarca kullanıcıyı etkileyebilir. Ekonomik açıdan bakıldığında, donanım seviyesindeki tekniklerden çok daha geniş bir saldırgan kitlesi için cazip hale gelirler.
Bu makalede, dünyanın en yaygın kullanılan donanım cüzdanı üreticilerinden birini içeren iki belgelenmiş olay üzerinden yazılım bağlamında supply chain riskleri ele alınmaktadır.
Supply chain saldırısı gerçekte ne anlama gelir?
Saldırganlar, doğrudan son kullanıcıyı hedeflemek yerine supply chain saldırısında güvenilir bir ilişkiyi istismar ederler. Bu, son kullanıcının güvendiği bir bileşenin — bir yazılım kütüphanesi, firmware güncelleme mekanizması veya dağıtım kanalı gibi — ele geçirilmesini içerir.
Donanım cüzdanlarında en kritik supply chain vektörleri şunlardır:
Havadan iletilen cihaz firmware’i: Üreticinin tüm cihazlara otomatik veya kullanıcı onayıyla gönderdiği güncellemeler.
Companion uygulama kütüphaneleri: Cüzdanın masaüstü veya mobil yazılımına entegre edilen kod.
Üçüncü parti JavaScript kütüphaneleri: Üreticinin web tabanlı hizmetlerinin, NPM gibi herkese açık paket depolarından aldığı kodlar.
Dağıtım ve lojistik: Cihazların son kullanıcıya ulaşmadan önce fiziksel olarak ele geçirilmesi.
Bu vektörleri tehlikeli kılan, ölçekleridir. Saldırgan bir kez yatırım yapar ve tespit edilip yamalanana kadar etkilenen bileşenle temas eden herkesten fayda sağlar.
Güvenli eleman, bu vektörlere karşı hiçbir koruma sağlamaz; çünkü bu saldırılar çipin kendisine ulaşmayı gerektirmez. Saldırı, çipin öncesinde gerçekleşir. Anahtar hâlâ güvenli elemanın içinde kalırken, çevresindeki her şey manipüle edilebilir.
Supply chain saldırısı: Connect Kit (Aralık 2023)
14 Aralık 2023'te, Ledger'ın Connect Kit adlı, merkeziyetsiz uygulamaların Ledger donanım cüzdanlarıyla bağlantı kurmasını sağlayan bir JavaScript kütüphanesine yönelik bir supply chain saldırısı gerçekleşti. Sonuç olarak 484.000 ila 600.000 dolar arasında varlık çalındı. Saldırı yaklaşık beş saat sürdü; aktif fon boşaltma ise iki saatlik bir zaman diliminde yoğunlaştı. Aynı anda onlarca büyük DeFi protokolü etkilendi.
Bu olayın gerçekleşme şekli, donanım cüzdanı güvenliğinin pratikte nerede başarısız olabileceğine dair önemli ipuçları sunuyor.
Saldırı nasıl gerçekleştirildi?
Ledger Connect Kit, NPM, yani Node Package Manager kayıt sistemi üzerinden yayımlanan açık kaynaklı bir JavaScript kütüphanesidir. Yüzlerce merkeziyetsiz uygulama, kullanıcılarının Ledger donanım cüzdanlarını arayüzlerine bağlayabilmesi için bu kütüphaneyi entegre etti.
Ledger, kütüphaneyi yalnızca NPM’in standart sürüm sabitleme mekanizmasıyla değil, aynı zamanda bir CDN (İçerik Dağıtım Ağı) yükleyicisiyle de dağıttı. Bu, bağımlı uygulamaların kütüphanenin en güncel sürümünü çalışma anında otomatik olarak çekmesine neden oldu; sabitlenmiş bir sürüm kullanılmadı.
Bu nedenle, NPM’de yeni bir sürüm yayınlandığı anda CDN yükleyicisini kullanan tüm uygulamalar, herhangi bir inceleme, manuel güncelleme veya güvenlik tamponu olmadan yeni kodu hemen çalıştırdı.
API anahtarları, NPM’in iki faktörlü kimlik doğrulama gereksinimlerini atlar; yani saldırganın yalnızca anahtara ihtiyacı vardı, ek bir doğrulama gerekmedi.
Yayınlama erişimini elde eden saldırgan, Connect Kit’in üç kötü amaçlı sürümünü (1.1.5, 1.1.6 ve 1.1.7) Angel Drainer malware (kötü amaçlı işlem onay talepleri oluşturan ve kullanıcı tarafından imzalandığında varlıkları saldırganın cüzdanına aktaran bir yazılım) ile birlikte yayımladı.
CDN yükleyici en güncel sürümü otomatik olarak çektiğinde, etkilenen dApp’ler yayınlandıktan dakikalar sonra kullanıcılarına kötü amaçlı kod sunmaya başladı; uygulama geliştiricilerinin herhangi bir işlem yapmasına gerek kalmadı.
Ledger hızlı yanıt verdi; 40 dakika içinde yamanmış bir sürüm yayımladı ve çalınan fonların dondurulması için Tether ile koordinasyon sağladı. Bu analizde önemli olan, saldırı vektörünün mevcut olması ve istismar edilmiş olmasıdır.
Yükseltilebilir firmware bir supply chain riski olarak
Ledger Recover tartışması (Mayıs 2023), yükseltilebilir firmware’e sahip tüm donanım cüzdanlarında doğası gereği bulunan supply chain riskini ortaya çıkardı. Ledger’ın isteğe bağlı seed yedekleme hizmeti, seed phrase parçalarını firmware üzerinden üç saklayıcıya şifreleyip iletti; bu bir saldırı değildi, ancak endişe verici bir yeteneğin varlığını kanıtladı.
Üretici tarafından imzalanıp cihaza gönderilen bir firmware güncellemesi, güvenli elemanın seed materyalini işleyip iletmesini sağlayabilir. Ledger Recover incelememizde de ele aldığımız gibi, secure boot yalnızca üçüncü taraf firmware’e karşı koruma sağlar; üreticinin dağıttığı yazılımı ise kısıtlamaz. Bu güncelleme kanalı başlı başına bir supply chain vektörüdür.
Üreticinin imzalama altyapısı ele geçirilirse veya güncelleme yoluyla devlet zoruyla arka kapı eklenirse, kullanıcıların bunu önceden tespit etme şansı olmaz.
Yükseltilebilir firmware’e sahip bir cihazda ne olur?
Üretici tarafından kontrol edilen firmware güncellemelerine sahip bir donanım cüzdanı kullandığınızda şunlara güvenirsiniz:
Üreticinin niyetleri: Şirketin, ticari baskılar, yasal talepler veya mülkiyet değişiklikleri ne olursa olsun, kullanıcı güvenliğini tehlikeye atacak firmware’i bilerek yayımlamayacağına.
Üreticinin imzalama anahtarı altyapısı: Firmware’i imzalamak için kullanılan özel anahtarların güvenli şekilde korunduğuna ve asla ele geçirilmediğine. Çalınan bir imzalama anahtarı, saldırgana tüm cihazlara üretici onaylı firmware göndermesine olanak tanır.
Tüm güncelleme dağıtım zinciri: Firmware’in geliştirmeden cihaza ulaşmasına kadar geçen tüm dağıtım kanallarına.
Üreticinin iç süreçleri: Çalışan erişim kontrolleri, işten ayrılma prosedürleri, kod inceleme gereklilikleri ve güvenli derleme sistemlerine.
Yasal ortam: Üreticiler, bulundukları ülkenin yasalarına tabidir. Devlet, üretici üzerinde yetki sahibiyse, devlet çıkarlarına hizmet eden firmware’in gönderilmesini zorunlu kılabilir.
Tüm bunlar, yükseltilebilir firmware’in savunulamaz olduğu anlamına gelmez. Ancak savunmanın, çoğu kullanıcının farkında olmadığı daha geniş ve karmaşık bir güven zincirine dağıldığı anlamına gelir.
Alternatif: değiştirilemeyen (immütabl) firmware
Bazı donanım cüzdanları, örneğin Tangem, üretim sırasında cihaza kalıcı olarak yüklenen ve cihaz fabrikadan çıktıktan sonra kimse tarafından güncellenemeyen firmware kullanır. Bu yaklaşım, temelde farklı bir güvenlik tercihi sunar.
Avantajları oldukça nettir: firmware supply chain saldırı yüzeyi ortadan kalkar. Ele geçirilebilecek bir güncelleme mekanizması, çalınabilecek bir imzalama anahtarı, zehirlenebilecek bir dağıtım hattı yoktur. Üretim sırasında hangi firmware yüklendiyse, cihaz ömrü boyunca yalnızca onu çalıştırır.
Üretici, cihazın davranışı üzerinde dağıtımdan sonra hiçbir kontrole sahip değildir; bu da, ister gönüllü ister zorunlu olsun, cihazın işlevini değiştirecek bir kanal bulunmadığı anlamına gelir.
Kudelski Security, Kudelski Security, Riscure ve SlowMist gibi bağımsız firmalar tarafından yapılan firmware denetimleri, yazılımın gerçekten güvenilir ve değiştirilemez olduğunu doğrulayabilir. Değiştirilemeyen cihaz kullanıcıları, ilk denetimin kalitesine güvenmek zorundadır ve büyük protokol değişikliklerinde donanımı yenilemeleri gerekebilir.
Son düşünceler
Bir supply chain saldırısı, laboratuvar ekipmanı, yan kanal analizi veya cihaza fiziksel erişim gerektirmez.
Bu saldırılar, etkilenen her ürünün tüm kullanıcılarına doğal olarak ve kolayca yayılabilir. Saldırganlar, çoğu kullanıcının asla incelemediği katmanlarda, görünmez veya güvenilir olduğu varsayılan mekanizmalar üzerinden hareket eder.
Cüzdanınızı ilk kurulumda mutlaka doğrulayın, doğrudan üreticiden veya onaylı satıcılardan satın alın ve tanımadığınız bir işlemi onaylamanızı isteyen uygulamalara karşı şüpheci olun.
Tangem'in ihtiyaçlarınıza uygun olup olmadığını yapay zekâya sorun
Güvenliğimizin ve kullanım kolaylığımızın benzersiz kullanım senaryolarınıza uygun olup olmadığını öğrenmek için Tangem cüzdanını yapay zekâ ile araştırın
Tangem'in ihtiyaçlarınıza uygun olup olmadığını yapay zekâya sorun
Güvenliğimizin ve kullanım kolaylığımızın benzersiz kullanım senaryolarınıza uygun olup olmadığını öğrenmek için Tangem cüzdanını yapay zekâ ile araştırın
Or open it in
Still deciding?
Explore the basics, compare your options, or save when you’re ready to get Tangem.
