في تريزور، الشفافية هي أساس الأمن. وانطلاقًا من قيمنا في مجال المصادر المفتوحة، يُعدّ الأمن رحلةً مستمرة، ونرحب بأي بحث أمني مفتوح يُسهم في تعزيز منتجاتنا وحماية مستخدمينا.
قامت Ledger Donjon مؤخرًا بتقييم عائلة Trezor Safe الخاصة بنا، ونجحت في إعادة استخدام هجوم معروف سابقًا لإثبات كيفية تجاوز بعض الإجراءات المضادة لهجمات سلسلة التوريد في Trezor Safe 3. لم يتأثر Trezor Safe 5 لأنه يستخدم متحكمًا دقيقًا أحدث مصممًا ليكون أكثر مقاومة لهجمات مماثلة.
الأهم من ذلك، أن أموالك، ونسخة محفظتك الاحتياطية، ورقم التعريف الشخصي (PIN) الخاص بك تبقى آمنة تمامًا. شاركتنا ليدجر دونجون نتائجها من خلال برنامج الإفصاح المسؤول لدينا. نُقدّر جهودهم المبذولة لرفع مستوى الأمان في مجال محافظ الأجهزة. في مجال الأمن السيبراني، القاعدة الذهبية بسيطة: لا شيء مُحصّن تمامًا. لهذا السبب، طبّقت تريزور طبقات حماية متعددة على مر الزمن.
نطمئن مستخدمينا بأن جميع أجهزة Trezor مصممة للحفاظ على أمان مفاتيحكم الخاصة. يتمتع جهازا Trezor Model One وTrezor Model T بأمان عالٍ، خاصةً عند استخدامهما مع أفضل الممارسات، مثل تفعيل عبارة مرور قوية. يعتمد Trezor Safe 3 وTrezor Safe 5 على هذا الأساس من خلال دمج عنصر الأمان، مما يضيف طبقة حماية إضافية ضد الهجمات المادية في حالة السرقة أو الضياع.
النقاط الرئيسية:
- أموالك ستظل آمنة، ولا داعي لأي إجراء من جانبك.
- شهد Trezor Safe 3 وTrezor Safe 5 اعتماد عنصر آمن خالٍ من اتفاقيات عدم الإفصاح، مما يوفر حماية معززة ضد الهجمات المادية.
- لم يستخرج باحثو Ledger Donjon مفتاحًا خاصًا أو رقم تعريف شخصيًا من الجهاز الذي تم اختباره.
- ومع ذلك، فقد أظهروا طريقة لتجاوز فحص الأصالة، وفحص تجزئة البرامج الثابتة في Trezor Safe 3 باستخدام أدوات متقدمة ومستوى عالٍ من الخبرة في الأجهزة.
- تطبق Trezor طبقات متعددة من الدفاع، مما يجعل هجمات سلسلة التوريد في العالم الحقيقي غير عملية للغاية.
- يتضمن Trezor Suite تدابير مضادة قوية للكشف عن الأجهزة التي تم التلاعب بها.
- يظل المستخدمون الذين يشترون من مصادر رسمية آمنين تمامًا.
محتويات
- تطور أمان Trezor: اعتماد العناصر الآمنة
- كيف يعزز Secure Element أمان Trezor
- فهم أمن سلسلة التوريد
- فحوصات أمان البرامج الثابتة
- حماية التكامل
- الحماية المادية - نتائج ليدجر دونجون
- مسائل الحضانة الذاتية
- هل يجب أن تشعر بالقلق بشأن جهاز Trezor Safe 3 الخاص بك؟
- النتيجة: الأمن عملية مستمرة
تطور أمان Trezor: اعتماد العناصر الآمنة
في تريزور، أطلقنا أول محفظة إلكترونية على الإطلاق عام ٢٠١٣ بهدف واضح: توفير أداة آمنة وسهلة الاستخدام لإدارة بيتكوين والعملات المشفرة. صُممت محافظ الأجهزة للحفاظ على المفاتيح الخاصة في وضع عدم الاتصال، وحمايتها من الهجمات عن بُعد - وهي مهمة لطالما تميزت بها نماذجنا السابقة.
على الرغم من أن محافظ الأجهزة توفر أمانًا قويًا، إلا أنه لا يوجد نظام محصن تمامًا ضد الهجمات المادية. إذا توفر الوقت والخبرة والموارد الكافية، يمكن نظريًا لمهاجم مُصمم أن يحاول استخراج مفاتيح خاصة من جهاز مسروق. وللتخفيف من هذا الخطر، قدمنا عبارة المرور - وهي طبقة أمان إضافية يُحددها المستخدم لنسخة احتياطية من محفظتك. على عكس نسخة المحفظة الاحتياطية، لا تُخزّن عبارة المرور على الجهاز، مما يجعل استخراجها مستحيلًا حتى في حالة التعرض لهجوم مادي.
من أبرز الفروقات بين عائلة Trezor Safe (التي طُرحت مع إطلاق Trezor Safe 3 عام 2023) إضافة عنصر أمان مخصص. وقد طُرح هذا العنصر استجابةً لملاحظات المستخدمين لتعزيز الحماية في حالة سرقة الجهاز أو فقدانه. أما العنصر الآمن المستخدم في Trezor Safe 5 وTrezor Safe 3 فهو OPTIGA™ Trust M (الإصدار 3). وهو في الواقع شريحة مصممة لحماية المعلومات شديدة الحساسية من هجمات البرامج والأجهزة.
في حين تظل جميع طرازات Trezor آمنة ضد الهجمات عن بعد، فإن العنصر الآمن في Trezor Safe 3 وTrezor Safe 5 يضيف طبقة إضافية من الأمان المادي - على سبيل المثال، في حالة فقدان جهاز Trezor أو سرقته.
كيف يعزز Secure Element أمان Trezor
يوفر العنصر الآمن في Trezor Safe 3 وTrezor Safe 5 ضمانات في:
- حماية معززة لرقم التعريف الشخصي (PIN): منع الوصول غير المصرح به في حالة السرقة.
- يمنع استخراج البذور عن طريق هجمات حقن الخطأ (خلل الجهد): مشكلة معروفة سابقًا مع Trezor Model One وTrezor Model T.
- التحقق من صحة الأجهزة: تعزيز المقاومة ضد هجمات سلسلة التوريد.
فهم أمن سلسلة التوريد
يحدث هجوم سلسلة التوريد عندما يتم التلاعب بجهاز قبل وصوله إلى العميل. قد يتضمن ذلك قيام المهاجم بتعديل جهاز شرعي وإعادة بيعه.
لمحاربة مخاطر سلسلة التوريد، نفذت Trezor طبقات دفاعية متعددة:
-
فحوصات أمان البرامج الثابتة
أ. التحقق من معرف إصدار البرنامج الثابت
ب. فحص تجزئة البرامج الثابتة -
حماية التكامل
أ. الكشف عن البرامج الثابتة المثبتة مسبقًا
ب. سير عمل فحص الإنتروبيا
ج. ترقية البرامج الثابتة
د. التحقق من مصادقة الجهاز -
فحوصات أمان البرامج الثابتة
أ. التحقق من معرف إصدار البرنامج الثابت
1. فحوصات أمان البرامج الثابتة
تتضمن حزمة Trezor طبقات تحقق متعددة للكشف عن أي تلاعب محتمل. وتشمل هذه الطبقات:
أ. التحقق من معرف إصدار البرنامج الثابت
إصدار البرنامج الثابت هو مُعرِّف فريد مُخصَّص لكل إصدار. في كل مرة يتم فيها توصيل جهاز Trezor، يتحقق Trezor Suite من إصدار البرنامج الثابت من خلال قاعدة بيانات الإصدارات الرسمية. إليك كيفية عمله:
- إذا لم يتطابق إصدار البرنامج الثابت، فإن Trezor Suite يضع علامة على الجهاز باعتباره مزيفًا.
- يُعد هذا الفحص فعالاً بشكل خاص ضد هجمات سلسلة التوريد التي تتطلب وقتًا طويلاً للتحضير، نظرًا للوقت الذي يستغرقه تعديل وتوزيع الأجهزة المُتلاعب بها.
- نظرًا لأن Trezor تصدر بانتظام تحديثات جديدة للبرامج الثابتة، ويطالب Trezor Suite المستخدمين بتحديث البرامج الثابتة الخاصة بهم قبل الإعداد، فمن المرجح أن يفشل الجهاز الذي يقوم بتشغيل البرامج الثابتة غير المصرح بها في اجتياز هذا الاختبار.
هام: ننصحك دائمًا بتحديث البرامج الثابتة لجهازك بانتظام. هذا ضروري لتوسيع وظائف جهاز Trezor، وتطبيق إجراءات أمان جديدة، وتفعيل الميزات المُطوّرة حديثًا.
ب. فحص تجزئة البرامج الثابتة
فحص تجزئة البرامج الثابتة هو عملية تحقق تشفيرية تضمن سلامة البرامج الثابتة التي تعمل على جهاز Trezor الخاص بك. إليك كيفية عملها:
- عند كل اتصال بجهاز، يصدر Trezor Suite تحديًا تشفيريًا عشوائيًا للجهاز.
- يقوم الجهاز بعد ذلك بحساب تجزئة البرنامج الثابت، والتي تتم مقارنتها بالتجزئة المتوقعة من ملف البرنامج الثابت الثنائي الرسمي المخزن في Trezor Suite.
- إذا لم تتطابق النتائج، يقوم Trezor Suite بتصنيف الجهاز على أنه مزيف.
يرجى ملاحظة أن هذا الفحص لا يكون فعالاً إلا إذا كان الجهاز يعمل بأحدث إصدار من البرامج الثابتة. لذلك، تشجع Trezor Suite المستخدمين بشدة على تحديث البرامج الثابتة بانتظام.
2. حماية التوجيه
تخضع جميع أجهزة Trezor لفحوصات أمنية إضافية أثناء الإعداد الأولي:
أ. الكشف عن البرامج الثابتة المثبتة مسبقًا
- إذا تم اكتشاف جهاز يحتوي على برامج ثابتة مثبتة مسبقًا، فسيتم مطالبة المستخدم بتأكيد ما إذا كان قد استخدم الجهاز من قبل.
- إذا لم يستخدم المستخدمون الجهاز من قبل، فقد يتعرض الجهاز للخطر، ويتم تحذير المستخدمين وفقًا لذلك.
ب. سير عمل فحص الإنتروبيا
أثناء إنشاء المحفظة، يقوم Trezor بإنشاء محفظة باستخدام بيانات عشوائية (إنتروبيا) من مصدرين،
- جهاز تريزور : المصدر الداخلي.
- تطبيق مصاحب: عادةً ما يكون Trezor Suite، ولكن يمكن أن يكون أيضًا تطبيقًا متوافقًا آخر مثل trezorctl أو Electrum.
تتجاهل الأجهزة المزيفة أو المخترقة عادةً المدخلات من مصدر الإنتروبيا الخارجي (Trezor Suite)، مما يؤدي إلى إنشاء محافظ بطريقة متوقعة وحتمية، مما يسمح للمهاجمين بإعادة إنشائها والوصول إليها.
تحمي عملية فحص الإنتروبيا المستخدم من هذا السلوك وتصنف الجهاز على أنه مزيف إذا لم يجتاز الفحص.
ج. ترقية البرامج الثابتة
- أثناء عملية التوجيه، يتم تشجيع المستخدمين على الترقية إلى أحدث إصدار من البرامج الثابتة، مما يؤدي إلى تشغيل كل من معرف المراجعة وفحوصات التجزئة، كما هو موضح سابقًا في المقالة.
- على الرغم من أن المستخدمين لديهم خيار إلغاء الاشتراك، فإننا نوصي بعدم القيام بذلك في ضوء المخاطر الأمنية المرتبطة باستخدام البرامج الثابتة القديمة.
د. التحقق من مصادقة الجهاز
في حالة Trezor Safe 3 وTrezor Safe 5، يلعب Secure Element دورًا مهمًا في التحقق من صحة جهازك.
عند إعداد الجهاز:
- يرسل Trezor Suite تحديًا للجهاز.
- يقوم العنصر الآمن بتوقيع التحدي وإعادته مع شهادة جهاز فريدة.
- يتحقق Trezor Suite من كلا التوقيعين للتأكد من صحتهما.
يتم فحص الشهادة محليًا فقط ويتم التخلص منها فورًا، مما يضمن الخصوصية. يمكن للمستخدمين إلغاء عملية مصادقة الجهاز، ولكننا ننصح بشدة بعدم القيام بذلك.
3. الحماية المادية
أ. التغليف المقاوم للتلاعب
يأتي كل جهاز Trezor Safe 3 مزودًا بختم ثلاثي الأبعاد فوق الموصل، مما يضمن عدم تعرض الجهاز لأي تدخل قبل وصوله إلى العميل. يُرجى العلم أن عبوة Trezor Safe 3 لا تحتوي على ختم.
هذا هو الشكل الذي ينبغي أن يبدو عليه هذا الجهاز، وذلك اعتمادًا على وقت تصنيعه وتعبئته.
أي علامة على وجود كسر أو فقدان للختم تُعدّ مؤشرًا قويًا على تعرض الجهاز للاختراق. في هذه الحالة، ننصحك بالتواصل مع فريق دعم تريزور عبر روبوت المحادثة الخاص بنا، هال.
نتائج ليدجر دونجون
أظهر فريق Ledger Donjon طريقةً لتجاوز فحص الأصالة، وفحص تجزئة البرامج الثابتة تحديدًا في Trezor Safe 3، باستخدام تقنية متقدمة لتعطيل الجهد. لا تزال التدابير الأخرى ضد هجمات سلسلة التوريد دون أي اعتراض. مع ذلك، من المهم ملاحظة ما يلي:
- لا يمكن اختراق أي مفاتيح خاصة أو استخراج رقم التعريف الشخصي (PIN) باستخدام هذا الهجوم.
- يتطلب الهجوم وصولاً ماديًا كاملاً إلى الجهاز. (يشمل ذلك تفكيك الغلاف، وفك لحام الشريحة الدقيقة، وتعديل البيانات أو استخراجها باستخدام أدوات متخصصة، ثم إعادة تجميع الجهاز وتعبئته دون ترك أي آثار ظاهرة للتلاعب).
- إذا تم شراء الجهاز من مصدر رسمي، فمن غير المرجح أن يتم العبث به.
وهذا يسلط الضوء على السبب الذي يجعلنا نوصي دائمًا بالشراء مباشرةً من THIS أو البائعين المعتمدين.
مسائل الحضانة الذاتية
تظل الحراسة الذاتية باستخدام محفظة أجهزة مثل Trezor هي الطريقة الأكثر أمانًا لتخزين العملات المشفرة.
- مع Trezor، يمكنك حمل مفاتيحك الخاصة.
- لا يمكن لأي بورصة تجميد أموالك.
- لا يمكن لأي طرف ثالث الوصول إلى محفظتك.
إن الخطر الحقيقي يكمن في الثقة في أطراف ثالثة؛ في هذه الحالة، شراء محفظة Trezor من مصادر خارج المصادر المدرجة رسميًا لدينا.
حتى في أسوأ سيناريوهات الهجوم على سلسلة التوريد، سيظل المهاجم بحاجة إلى تعديل الأجهزة وتوزيعها على نطاق واسع، وهو ما يظل غير عملي إلى حد كبير.
هل يجب أن تشعر بالقلق بشأن جهاز Trezor Safe 3 الخاص بك؟
لا. إذا اشتريت جهازًا من مصدر رسمي، فمن المستبعد جدًا وجود أي عطل فيه. إذا ظهرت علامات تلاعب عند وصول طلبك، أو اشتريته من بائع غير معتمد، تواصل مع دعم تريزور أو ابدأ نقاشًا في منتدى تريزور وسنرشدك إلى كيفية التحقق من وجود أي اختراق.
النتيجة: الأمن عملية مستمرة
- أموالك ستظل آمنة، ولا داعي لأي إجراء من جانبك.
- توفر العناصر الآمنة مستوى إضافيًا من الحماية ضد الهجمات المادية.
- تتضمن دفاعات سلسلة التوريد المدمجة لدينا طبقات أمان متعددة.
- تجعل Trezor Suite توزيع الأجهزة التي تم العبث بها على نطاق واسع أمرًا مستحيلًا تقريبًا.
الأمان ليس ثابتًا، ونحن في Trezor نتخذ خطواتٍ مستمرة لتحسين أجهزتنا وبرامجنا. وقد سلّط بحث Ledger Donjon الضوء على أحد ناقلات الهجوم المحتملة. ومع ذلك، فهو لا يُقوّض الأمن الأساسي لعائلة Trezor Safe.
في تريزور، نتبنى تمامًا أبحاث الأمن هذه لأنها تُعزز منظومتنا. سنواصل تحسين إجراءاتنا الأمنية ونلتزم بالشفافية التامة بشأن المخاطر المحتملة.
أخيرًا، نوصي بشراء محفظة Trezor أو الملحقات الخاصة بك مباشرةً من THIS أو البائعين المعتمدين المدرجين، كأفضل ممارسة لأمنك.
كما هو الحال دائمًا، ابقَ على اطلاع وابقَ آمنًا!
