CTO Ledger: уязвимость Coldcard раскрывает ограничения верификации открытого кода
Пятилетний баг в общедоступном коде Coldcard оставался незамеченным до целенаправленных атак, подрывая предположение о том, что «открытый исходный код означает проверенный», говорит главный технический директор Ledger Шарль Гийоме. Он указывает на аппаратную генерацию энтропии в Ledger как на более безопасную альтернативу.
Главный технический директор Ledger Шарль Гийоме указал на давно скрытую уязвимость в аппаратном кошельке Coldcard как на предостерегающий пример. Уязвимость пролежала в общедоступном репозитории GitHub компании Coldcard более пяти лет, но привлекла внимание лишь тогда, когда злоумышленники начали её эксплуатировать. По словам Гийоме, это ставит под сомнение распространённое мнение о том, что код с открытым исходным кодом по своей сути безопасен, поскольку его может проверить любой.
Он противопоставил этому архитектуру Ledger: защищённый элемент устройства генерирует 256 бит энтропии непосредственно аппаратно, без использования программного запасного пути, подобного тому, что вызвал проблему Coldcard. Такой подход, по утверждению Гийоме, предотвращает длительное нахождение подобных «спящих» ошибок в кодовой базе.
Компания также прокомментировала растущую роль искусственного интеллекта в обеспечении безопасности. Инструменты на базе ИИ могут ускорить обнаружение уязвимостей как для хакеров, так и для защитников. Однако в Ledger отметили, что в настоящее время нет прямых свидетельств того, что злоумышленники, эксплуатировавшие Coldcard, применяли методы ИИ.
Source: ForkLog