Nhà nghiên cứu bảo mật Joe Grand cho rằng không thực tế khi kỳ vọng phần lớn người nắm giữ tiền mã hóa có thể phát hiện những hành vi can thiệp tinh vi vào ví phần cứng — đặc biệt là khi kẻ tấn công có thể xâm nhập thiết bị thông qua chuỗi cung ứng. Trong cuộc phỏng vấn với Cointelegraph hôm thứ Ba, Grand kể rằng công việc trước đây của ông bao gồm khôi phục tiền từ các ví bị khóa, cũng như phân tích những phương thức vượt qua các biện pháp bảo vệ phần cứng và trích xuất dữ liệu từ chip nhớ được sử dụng trong các thiết bị do Trezor và KeepKey sản xuất.
Những bình luận này được đưa ra trong bối cảnh việc phân phối ví phần cứng đang chịu sự giám sát chặt chẽ trở lại, sau khi Ledger báo cáo phát hiện thiết bị cấy ghép trái phép trong ít nhất một thiết bị bị ảnh hưởng được bán thông qua CryptoBilis, một nhà bán lẻ mà Ledger mô tả là đại lý được ủy quyền tại Indonesia, Malaysia và Philippines. Hôm thứ Bảy, Ledger xác nhận một thiết bị có chứa phần cấy ghép trái phép, đồng thời cho biết phần cứng độc hại này đã thu thập cụm từ khôi phục của người dùng và truyền chúng qua mạng di động.
Những điểm chính cần nhớ
Grand cho rằng ngay cả những người dùng có kinh nghiệm cũng không thể thực tế phát hiện mọi trường hợp can thiệp vật lý tinh vi trên từng thiết bị họ mua.
Ledger cho biết các thiết bị cấy ghép có kết nối di động đã ghi lại cụm từ khôi phục từ những thiết bị bị xâm phạm được bán qua CryptoBilis.
Trezor cho biết các thiết bị của họ có cơ chế kiểm tra tính xác thực và phần mềm cơ sở được ký số, nhưng thừa nhận những biện pháp này không thể loại bỏ hoàn toàn nguy cơ thiết bị bị can thiệp vật lý.
Các chuyên gia bảo mật nhấn mạnh rằng cải tiến thiết kế thiết bị có thể khiến việc tấn công khó hơn, nhưng không thể xóa bỏ hoàn toàn nhu cầu tin cậy vào chuỗi cung ứng.
Có vẻ như các công ty đang ứng phó bằng cách thu hẹp mạng lưới đại lý bán lại và xem xét lại các biện pháp kiểm soát phân phối.
Vì sao người dùng thông thường không thể chỉ “kiểm tra là ngăn được” các cuộc tấn công chuỗi cung ứng
Ví phần cứng thường được quảng bá như một lá chắn trước những mối đe dọa trực tuyến phổ biến nhất, vì khóa riêng được lưu ngoại tuyến. Nhưng mức độ rủi ro sẽ thay đổi khi xét đến cách thiết bị đến tay người tiêu dùng. Grand nêu bật một vấn đề căn bản: hầu hết người sở hữu không thể phát hiện một cách đáng tin cậy các hành vi can thiệp tinh vi, ngay cả khi họ có năng lực kỹ thuật.
Grand nói với Cointelegraph: “Thật sự rất khó giải thích cho mọi người cách họ nên kiểm tra thiết bị của mình, bởi ngay cả những người có chuyên môn kỹ thuật như tôi cũng không thể kiểm tra từng thiết bị để xem nó có bị can thiệp hay không.”
Cách nhìn nhận này rất quan trọng vì sự cố của Ledger xoay quanh việc xâm phạm vật lý, chứ không phải lỗ hổng chỉ liên quan đến phần mềm. Nếu kẻ tấn công có thể sửa đổi hoặc gắn thêm linh kiện sau khi sản xuất—dù là trong quá trình lưu kho, vận chuyển hay bàn giao tại cửa hàng—thì các bước kiểm tra bên ngoài có thể không đủ để loại trừ khả năng thiết bị đã bị xâm phạm.
Có thể phân tán quyền kiểm soát, nhưng không thể phân tán niềm tin
Ví phần cứng có thể giảm nguy cơ bị mã độc và lừa đảo, nhưng rốt cuộc, tính bảo mật của chúng phụ thuộc vào nhiều bên: nhà sản xuất, mạng lưới nhà cung cấp, và đại lý bán lại hoặc những người xử lý thiết bị trước khi nó đến tay người dùng.
Nhà phân tích tiền mã hóa Mati Greenspan nói với Cointelegraph rằng ông chưa bao giờ tự mình sử dụng ví phần cứng, dù đã tham gia ngành từ năm 2013. Lý do của ông không hẳn xuất phát từ sự thiếu tin tưởng vào mật mã, mà chủ yếu là hoài nghi về việc bổ sung thêm một “chuỗi tin cậy” nữa.
Greenspan cho biết: “Khi mua ví phần cứng, bạn đang tạo thêm một chuỗi tin cậy hoàn toàn mới, từ nhà sản xuất đến nhà cung cấp, rồi bất kỳ ai đã xử lý thiết bị trước khi nó đến tay bạn.”
CEO của Casa, Nick Neuman, cũng nhấn mạnh quan điểm tương tự: không thể hoàn toàn tránh các bên trung gian. Ông nói: “Luôn có một bên trung gian mà bạn sẽ cần phải tin cậy.” Theo ông, cách tiếp cận thực tế là giảm sự phụ thuộc vào một điểm duy nhất—phân tán rủi ro thay vì dựa vào một nhà cung cấp hoặc một kênh duy nhất.
Kiểm tra tính xác thực và phần mềm cơ sở được ký số không phải là giải pháp toàn diện
Trezor—một trong những đối thủ nổi bật của Ledger—cho biết các thiết bị của họ trải qua quy trình kiểm tra tính xác thực và chỉ chấp nhận phần mềm cơ sở được ký số. Tuy nhiên, công ty thừa nhận những bước này không thể đảm bảo thiết bị không bị can thiệp vật lý.
Người phát ngôn của Trezor nói với Cointelegraph rằng người dùng có thể kiểm tra tình trạng nguyên vẹn của bao bì, tem hologram và tìm các dấu hiệu bất thường trên thiết bị, nhưng “chỉ những bước kiểm tra này thì không thể đảm bảo thiết bị chưa bị can thiệp”.
Trong vụ việc của Ledger, mối đe dọa cụ thể mà công ty mô tả không chỉ đơn thuần là thay đổi phần mềm cơ sở. Ledger cho biết các thiết bị cấy ghép được phát hiện trong những thiết bị bị xâm phạm có thể ghi lại thông tin hiển thị trên màn hình, đồng thời hoạt động mà không cần sửa đổi phần mềm cơ sở—kiểu sửa đổi mà các quy trình cập nhật có chữ ký số thông thường có thể phát hiện.
Trezor cũng cho biết họ chưa ghi nhận kiểu tấn công này trên các thiết bị của mình. Dù vậy, có vẻ công ty đang chủ động phòng ngừa: hôm thứ Ba, Trezor thông báo sẽ giảm số lượng đại lý bán lại như một bước đi “phòng ngừa”.
Điều này cho thấy một lỗ hổng đáng lo ngại trong mô hình phòng thủ dành cho người dùng. Nhiều người tiêu dùng cho rằng ví phần cứng “an toàn vì phần mềm cơ sở đã được xác minh”. Tuy nhiên, nếu đường tấn công bao gồm việc gắn thêm các linh kiện có thể theo dõi hoặc đánh cắp dữ liệu, thì riêng việc xác minh bằng mật mã có thể không giải quyết được mối đe dọa.
Những thay đổi trong thiết kế thiết bị có thể làm được gì—và không thể làm được gì
Grand cho rằng các nhà sản xuất ví phần cứng có thể khiến một số phương thức can thiệp khó thực hiện hơn đáng kể. Trong số các ý tưởng ông đề cập có những thay đổi thiết kế giúp phần bên trong dễ quan sát hơn khi kiểm tra; hoặc ngược lại, sử dụng vỏ chống can thiệp, buộc kẻ tấn công phải tái tạo lớp vỏ vật lý để che giấu các sửa đổi.
Grand nói: “Kẻ tấn công sẽ khó đưa thêm phần cứng vào thiết bị hơn nhiều, vì họ sẽ phải tái tạo toàn bộ lớp vỏ.”
Grand cũng đề cập đến hướng dẫn chống can thiệp của kỹ sư điện tử Dave Jones, đồng thời cảnh báo rằng ngay cả các biện pháp bảo vệ vật lý mạnh hơn cũng không nên được xem là bảo đảm tuyệt đối. Theo ông, những cải tiến này có thể khiến các cuộc tấn công chuỗi cung ứng khó thực hiện và tốn kém hơn, nhưng không thể loại bỏ hoàn toàn rủi ro.
Sự khác biệt này rất quan trọng đối với các nhà đầu tư và nhà phát triển đang theo dõi bức tranh rộng hơn về bảo mật phần cứng. Mục tiêu có lẽ không phải là khả năng miễn nhiễm tuyệt đối, mà là giảm tính khả thi của những cuộc tấn công chỉ hiệu quả khi thiết bị có thể bị âm thầm sửa đổi trong quá trình lưu thông.
Trong khi đó, phản ứng từ các đại lý bán lại và khâu phân phối dường như đang song hành với việc xem xét bảo mật thiết bị. Trước đó, Cointelegraph đưa tin Ledger đã yêu cầu các đại lý bán lại tại một số khu vực ở Đông Nam Á và Hồng Kông tạm ngừng bán hàng sau khi phát hiện các thiết bị cấy ghép trái phép.
Điều cần theo dõi tiếp theo
Khi các sự cố liên quan đến ví phần cứng chuyển từ những báo cáo riêng lẻ sang các câu hỏi rộng hơn về kiểm soát phân phối, người dùng nên theo dõi cả những thay đổi trong quy trình vận hành—như sàng lọc đại lý bán lại và siết chặt phân phối—lẫn các bản cập nhật kỹ thuật xử lý nguy cơ xâm phạm vật lý, chứ không chỉ tính toàn vẹn của phần mềm cơ sở. Điều chưa rõ là liệu các sự cố trong tương lai có lặp lại kiểu hoạt động của thiết bị cấy ghép di động mà Ledger mô tả hay các phương thức tấn công khác sẽ xuất hiện khi nhà sản xuất và đại lý bán lại có biện pháp ứng phó.
Bài viết này ban đầu được đăng với tiêu đề Người dùng tiền mã hóa có thể xác minh chuỗi cung ứng ví phần cứng không? trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và các cập nhật blockchain.