Bài viết này mô tả quy trình kiểm toán hệ điều hành Ledger OS, giải thích cách xác minh tính xác thực của các báo cáo bảo mật do phòng thí nghiệm độc lập cung cấp, và liệt kê các phiên bản Ledger OS cùng báo cáo đánh giá bảo mật tương ứng.
Quy trình kiểm toán Ledger OS là gì?
Với mỗi bản phát hành Ledger OS, đội ngũ chuyên gia an ninh mạng của Ledger – Donjon team – sẽ tiến hành kiểm toán bảo mật nội bộ trước khi bản cập nhật được đưa vào sản xuất.
Quy trình kiểm toán bao gồm rà soát mã nguồn của Secure Element để đảm bảo không có lỗ hổng có thể bị khai thác qua các hình thức tấn công như side-channel attacks, fault attacks, hay software attacks.
Bên cạnh đó, Ledger còn hợp tác với phòng thí nghiệm bảo mật bên thứ ba trong quy trình phát hành Ledger OS. Theo thỏa thuận NDA (Non-Disclosure Agreement), nhóm chuyên gia bên ngoài được cấp quyền truy cập vào mã nguồn Ledger OS và môi trường build, cho phép họ thực hiện đánh giá bảo mật độc lập, toàn diện và minh bạch.
Quy trình kiểm toán Ledger OS luôn được thực hiện trước mỗi lần phát hành phiên bản mới.
Các bước chính bao gồm:
- Phòng thí nghiệm bảo mật bên thứ ba xem xét toàn bộ mã nguồn của Ledger OS, bao gồm cả phần đóng mã nguồn (closed-source).
- Tập trung phân tích cơ chế bảo vệ dữ liệu nhạy cảm và đánh giá khả năng kẻ tấn công có thể vượt qua yêu cầu xác nhận của người dùng để thực hiện hành động trái phép.
- Phòng thí nghiệm sau đó biên soạn báo cáo đánh giá bảo mật (Security Assessment Report), bao gồm bối cảnh kiểm toán, kiến trúc hệ thống, mã hash xác nhận phiên bản mã được kiểm tra, dòng thời gian, lịch sử phiên bản, kết quả và phát hiện chính.
Báo cáo Đánh giá Bảo mật từ Bên thứ Ba (Third-party Security Assessment Reports)
| Thiết bị Ledger | Phiên bản Ledger OS | Báo cáo đánh giá bảo mật | Chữ ký PGP |
| Ledger Nano S Plus | v1.3.1 | Synacktiv report | PGP signature |
| Ledger Nano X | v2.4.1 | ||
| Ledger Flex | v1.2.1 | ||
| Ledger Stax | v1.6.1 |
Xác minh tính xác thực của Báo cáo đánh giá bảo mật
Sau khi hoàn tất kiểm toán Ledger OS, phòng thí nghiệm bảo mật bên thứ ba sẽ gửi báo cáo cho Ledger, được ký bằng khóa GPG (GNU Privacy Guard) để đảm bảo tính xác thực và toàn vẹn dữ liệu. Khóa GPG này được quản lý hoàn toàn bởi phòng thí nghiệm độc lập, và các báo cáo chính thức được công bố trên GitHub của Ledger.
Hướng dẫn xác minh chữ ký PGP
Trước khi bắt đầu:
Cài đặt GPG (GNU Privacy Guard) trên máy tính:
- macOS: Cài đặt qua Homebrew với dòng lệnh
brew install GnuPGcủa chương trình Terminal
- Windows: Tải từ trang chính thức: https://gnupg.org/download/
Các bước thực hiện
Bước 1: Import khóa PGP công khai
- Tải PGP public key của phòng thí nghiệm từ website của họ: Synacktiv.
- Nhập khóa vào hệ thống GPG bằng lệnh:
gpg --import public-key.asc (Thay “public-key.asc” bằng tên thực tế của tệp)
Bước 2: Tải báo cáo và tệp chữ ký tương ứng
- Báo cáo: Tệp PDF của Security Assessment Report
- Chữ ký PGP: Tệp .asc tương ứng
Đặt cả hai tệp trong cùng một thư mục.
Bước 3: Xác minh chữ ký PGP
- Chạy lệnh sau:
gpg --verify DocumentSignature.asc Document.pdf (Thay tên tệp tương ứng với tên thật)
Nếu chữ ký hợp lệ, bạn sẽ thấy thông báo tương tự:
gpg: Good signature from "Synacktiv (key used to sign Synacktiv's reports for Ledger) <contact@synacktiv.com>"
Phạm vi bảo mật của ứng dụng (Application security scope)
Kiểm tra tính toàn vẹn và bảo mật của hệ điều hành Ledger OS là bước đầu tiên và quan trọng nhất trong việc thiết lập môi trường an toàn để chạy các ứng dụng. Sau khi OS được xác thực, trọng tâm tiếp theo là áp dụng các biện pháp bảo mật trong quá trình phát triển và tích hợp ứng dụng.
Các yêu cầu bảo mật cho ứng dụng tích hợp với thiết bị Ledger bao gồm bảo vệ dữ liệu nhạy cảm của người dùng, đảm bảo kênh truyền thông giữa thiết bị và máy chủ an toàn và ngăn ngừa các lỗ hổng hoặc tấn công tiềm ẩn.
Tìm hiểu thêm về quy trình tích hợp ứng dụng và các tiêu chuẩn bảo mật tại đây. Ngoài ra, mọi ứng dụng được phát triển cho thiết bị Ledger đều phải trải qua kiểm toán bảo mật độc lập, nhằm phát hiện và khắc phục rủi ro trước khi phát hành. Tìm hiểu thêm về yêu cầu kiểm toán bảo mật cho ứng dụng Ledger tại đây.
