Ledger Donjon czerwona drużyna

Zespół bezpieczeństwa produktów wewnętrznych znany jako Donjon działa za rygorystycznymi kontrolami, aby badać i wzmacniać ekosystemy portfeli sprzętowych, a robi to z spokojnym skupieniem metodycznego obserwatora. Zespół praktykuje ofensywną bezpieczeństwo, symulując rzeczywiste zachowanie atakujących, a celem jest znalezienie luk, zanim zrobią to przestępcy. Łączą wiedzę w analizie sprzętu i przeglądzie oprogramowania, aby testować układy scalone, oprogramowanie układowe i oprogramowanie towarzyszące. Testy obejmują od niskokosztowych wstrzyknięć błędów po techniki elektromagnetyczne i laserowe, a także badają zdalne łańcuchy ataków, które celują w smartfony, aby wydobyć materiały do odzyskiwania. Gdy exploit się powiódł, zespół dokumentuje lukę, ocenia możliwość wykorzystania i wprowadza poprawki, aby usunąć ryzyko. Portfele sprzętowe opierają się na dedykowanych elementach zabezpieczających i wyspecjalizowanych systemach operacyjnych, aby izolować klucze prywatne, a te warstwy zmniejszają powierzchnię ataku, gdy są prawidłowo wdrożone. Mimo to, żadne urządzenie nie jest niewrażliwe, jeśli przeciwnik uzyska długotrwały dostęp fizyczny lub jeśli użytkownik ujawni nieodwracalne sekrety. Phishing i inżynieria społeczna pozostają najpowszechniejszymi sposobami kradzieży, ponieważ celują w ludzkie zaufanie, a nie w chipy. Praca Donjon obejmuje zatem cały cykl życia: przegląd projektów, eksperymenty z wstrzyknięciami błędów, audyty oprogramowania układowego i monitoring po wydaniu. To holistyczne podejście skraca czas, w którym luki mogą zostać wykorzystane. Inżynierowie w zespole uprawiają cierpliwość i wytrwałość, ponieważ wiele udanych ataków wymaga miesięcy studiowania i iteracyjnego testowania. Gdy zademonstrowany zostanie solidny atak, służy on zarówno jako dowód, jak i lekcja na rzecz złagodzenia ryzyka. Demonstracje są wybierane tak, aby były kontrolowane i powtarzalne, aby środki zaradcze mogły być zweryfikowane. Dla użytkowników praktyczne wnioski są jasne: chroń frazy odzyskiwania, weryfikuj transakcje na urządzeniu, utrzymuj oprogramowanie układowe w aktualnym stanie i przechowuj sprzęt w bezpiecznych miejscach. Dla zespołów produktowych implikacje są równie jasne: modele zagrożeń muszą uwzględniać zarówno wektory zdalne, jak i fizyczne, a projekt bezpieczeństwa powinien zakładać, że przeciwnicy będą próbowali stosować wyrafinowane techniki błędów. Działając jako wewnętrzny zespół red, który odzwierciedla rzeczywistych napastników, styl testowania bezpieczeństwa Donjon stara się przesunąć równowagę na stronę obrońców i zmniejszyć szansę na to, że luka zostanie odkryta jako pierwsza przez tych, którzy chcieliby na tym skorzystać.