Charles Guillemet, directeur technique de Ledger, a déclaré que la société avait corrigé une vulnérabilité affectant les processus de signature transparents dans son application Ethereum.
Selon Guillemet, l'équipe de recherche interne en sécurité de Ledger Donjon a découvert le bug à l'aide d'un système d'analyse des vulnérabilités basé sur l'intelligence artificielle. Le correctif a été effectué en deux semaines environ.
Il a confirmé que les utilisateurs disposant du micrologiciel actuel et des applications Ledger sont protégés.
La signature en texte clair est conçue pour afficher les détails de la transaction dans un format lisible sur l'appareil Ledger avant que l'utilisateur ne les confirme. Il permet de vérifier les montants, les adresses et les actions des contrats intelligents au lieu d'autoriser un hachage de transaction illisible.
TestMachine, le développeur de l'outil d'intelligence artificielle pour la recherche Azimuth, a déclaré que la vulnérabilité identifiée pourrait compromettre le processus de vérification. Plus précisément, l’application malveillante aurait pu envoyer une commande concurrente pendant que l’utilisateur vérifiait la transaction initiale.
Dans ce cas, l'appareil peut afficher une transaction tout en en préparant une autre pour la signature.
Ledger a reconnu une faille dans « certains processus de signature transparents », mais n'a pas publié de liste des versions concernées ni d'avis de sécurité expliquant toutes les conditions de l'attaque.
À l’heure actuelle, les utilisateurs de Ledger doivent mettre à jour le logiciel Ledger Wallet, le micrologiciel de leur appareil et l’application Ethereum installée. La mise à jour uniquement de l'interface de bureau ou mobile ne remplacera pas une application obsolète exécutée sur un périphérique matériel.
Les utilisateurs doivent également vérifier les détails de la transaction sur l'écran sécurisé de l'appareil. Le manuel Ledger prévient que la signature aveugle reste risquée car l'appareil ne peut pas afficher chaque action de contrat intelligent dans un format lisible.
Les informations présentes sur le site sont uniquement à des fins informatives et éducatives et ne constituent pas un conseil en investissement ou un conseil financier. Les crypto-monnaies et les actifs numériques comportent un niveau de risque élevé, y compris une éventuelle perte de capital. Les éditeurs ne sont pas responsables des décisions prises sur la base des documents publiés. Il est recommandé d'effectuer vos propres recherches (DYOR) avant de prendre des décisions d'investissement. Lire la politique éditoriale https://happycoin.news/about/
Voir l’article original en russe
