Trezoria markkinoidaan luotettavana, turvallisena, rautapohjaisena Bitcoin-lompakkona, joka suojelee käyttäjän Bitcoineja huomattavasti tehokkaammin kuin mikään "softapohjainen" (ts. Windows tms.) lompakko voisi koskaan suojata. Sitä myös käytetään laajalti Bitcoin-piireissä juuri sen vuoksi.
Kuitenkin siitä on nyt löytynyt perustavaa laatua oleva suunniteluvirhe ja tietoturvabugi, jonka vuoksi Trezor sylkee ulos salaiset Bitcoin-avaimet aivan simppelillä kikalla hetkessä. Koko juttu vie alle puoli minuuttia toteuttaa, eikä jätä käyttäjälle mitään tietoa edes siitä, että avaimet ja sitä kautta kohta Bitcoinitkin on viety. Firmwarepäivitys on saatavilla joka tukkii tämän reiän, mutta siinäkin on vastaavanlaisia tietoturvaongelmia, eikä siis pahemmin itse asiaa auta, vaikka juuri tämän kyseisen häkin torjuukin.
Myöskään päivitys ei muuta mihinkään sitä faktaa, että tuo alkuperäinen häkki on osoitus täydestä ammattitaidottomuudesta ja kyvyttömyydestä tehdä turvallista rautapohjaista lompakkoa! Trezorin tekijöillä ei ole hajuakaan tietoturvasta, kun ovat noin lapsellisen tietoturvasysteemin alunperinkin saaneet kyhättyä, joten enpä usko, että uusikaan firmware suojaa tuhannelta muulta yhtä tyhmältä ja helpota häkiltä, mitä noihin voisi tehdä. Ja luottamus on mennyt, koska näin helppoa häkkiä ei alunperinkään pitäisi turvalliseen rautaan voida tehdä!
Rautapohjaisen lompakon pitää olla rakenteeltaan tietenkin sellainen, että sen sisältämät salaiset avaimet eivät missään tilanteessa siirry tietokoneelle tai usb-väylään tms. mitenkään koskaan. Lisäksi rautapohjainen lompakko pitää olla rakenteeltaan sellainen, että sen peukalointi fyysisesti ei anna pääsyä avaimiin, vaan avaimet säilytetään aina fyysisen turvapiirin sisällä salattuna suojassa ja ne puretaan selkokielisiksi laitteen turvalliseen ja suojattuun muistiin vain ja ainoastaan (toisen) turvapiirin jemmaamalla salausavaimella oikean PIN-koodin jälkeen. Ja tietenkin turvapiirien pitää olla sellaiset, että jos niitä fyysisesti yritetään peukaloida, ne lukitsevat tai pyyhkivät itsensä, jotta tärkeät tiedot eivät siinäkään tapauksessa pääse hyökkääjän käsiin, vaikka hyökkääjällä olisi kehittyneetkin peukalointityökalut käytössään. Kaikessa tässä Trezor-lompakko on nyt pettänyt käyttäjänsä, eikä ole mitään syytä uskoa, etteikö se tekisi sitä jatkossakin, koska näin perustavaa laatua oleva tietoturvaongelma on alunperinkin luotu idioottien suunnittelijoiden toimesta ko. laitteisiin.
Onneksi on sentään vielä Ledger-lompakot jne. :) joita tämä häkki ei koske ja joiden olettaisi olevan turvallisempia.
Ei kommentteja:
Lähetä kommentti