[UPGRADE] v 1.4.2 firmware ledger nano s

[Andrea.the.miner]

Sto cercando di aggiornare il firmware del ledger nano s, ma mi da questo errore: “UNABLE TO INSTALL OS UPDATER” Qualcuno di voi sa come aiutarmi? grazie
Ho seguito la guida ufficiale:

https://support.ledgerwallet.com/…/en…/articles/360001340473

[babo]

Sto cercando di aggiornare il firmware del ledger nano s, ma mi da questo errore: “UNABLE TO INSTALL OS UPDATER” Qualcuno di voi sa come aiutarmi? grazie
Ho seguito la guida ufficiale:

https://support.ledgerwallet.com/…/en…/articles/360001340473

ti consiglio di dare una occhiata al subreddit

https://www.reddit.com/r/ledgerwallet/

se non trovi risposta apri un thread agli sviluppatori, é la soluzione migliore

a me upgrade di 3 ledger non ho avuto problemi
eccolo
https://www.reddit.com/r/ledgerwallet/comments/85mk04/stuck_on_unable_to_install_os_updater_trying_to/

[acquafredda]

Oggi tra l'inutile fiorire di thread a vari livelli uno dei pochi dove ottenere le info migliori è il Wall Observer thread da cui ho preso questa info.
https://saleemrashid.com/2018/03/20/breaking-ledger-security-model/
un ragazzo di 15 anni che ha messo sotto scacco la sicurezza del ledger......

[babo]

Oggi tra l'inutile fiorire di thread a vari livelli uno dei pochi dove ottenere le info migliori è il Wall Observer thread da cui ho preso questa info.
https://saleemrashid.com/2018/03/20/breaking-ledger-security-model/
un ragazzo di 15 anni che ha messo sotto scacco la sicurezza del ledger......

sotto scacco mi pare un po' esagerato
sono cmq attacchi molto complessi e difficili da realizzare
ha fatto bene a segnalare e questo gli fara sicuramente CV (e non poco) ma in ogni caso ricordiamoci che sono si metodi per attaccare ledger, ma che necessitano di preparazione e di skills molto elevate

ergo, non ci perdi tempo se devi fotterti 0.2 btc

[acquafredda]

Sì ma serve a far capire che gli hardware wallet non so così invulnerabili come si ritiene normalmente; soprattutto non banalizzerei dicendo che sono attacchi complessi e difficili da realizzare. Ti ricordo che stiamo parlando di un ragazzo di 15 anni 

[Jack Liver]

vedo che è stato di parola rilasciando i dettagli, fortunatamente non era roba da tutti ed avrebbe richiesto anche una certa oraganizzazione nel preparare vari device e poi venderli cosa che avrebbe potuto fare solo un distributore non ufficiale.

[Daviderigo]

Il rilascio del nuovo firmware va a correggere i problemi nello specifico trovati dal ragazzo nel ledger o devono ancora essere fissati?

[Jack Liver]

Il fix coregge già quei problemi la disclosure che include anche i tool per sfruttare la vulnerabilità è stata fatta settimane dopo apposta per dare tempo atutti di aggiornare.

[babo]

Il fix coregge già quei problemi la disclosure che include anche i tool per sfruttare la vulnerabilità è stata fatta settimane dopo apposta per dare tempo atutti di aggiornare.

Quando s fa una disclosure d sicurezza fatta in modo serio si fa così
In genere andrebbe un premio in denaro al ricercatore di sicurezza
O un posto se sei una ditta molto quotata

[Jack Liver]

non so nel caso specifico se quelli di ledger lo abbiano premiato, quelli di trezor lo fanno c'è una piccola lederboard coi punteggi nella loro pagina https://trezor.io/security/ e Rashid è a pari merito col primo subito dietro lui c'è Bacca che è il dev di Ledger  

[Grafschmidt]

Oggi tra l'inutile fiorire di thread a vari livelli uno dei pochi dove ottenere le info migliori è il Wall Observer thread da cui ho preso questa info.
https://saleemrashid.com/2018/03/20/breaking-ledger-security-model/
un ragazzo di 15 anni che ha messo sotto scacco la sicurezza del ledger......

Non ho ancora capito se il vecchio seed è a rischio, ma a guardare a occhio direi di no.

[Jack Liver]

Non sembra essere a rischio, fortunatamente non era un problema riguardante la fase di generazione.

[babo]

update di sicurezza alla 1.4.2 (6h fa)

sono state aggiunte piccole features che danno piu sicurezza (leggere primo post)

ovviamente l'aggiornamento é CALDAMENTE consigliato

[thetigcoder]

importante la feutures che a ogni reset la prima parola del menmonic cambia

[stefy77]

update di sicurezza alla 1.4.2 (6h fa)

sono state aggiunte piccole features che danno piu sicurezza (leggere primo post)

ovviamente l'aggiornamento é CALDAMENTE consigliato

prima o dopo dovro' decidermi a comperarlo anche io anche se o poco da metterci su'. Ma se lo ordinassi adesso dal sito ledger me lo invierebbero gia' con l'ultima versione?

[babo]

prima o dopo dovro' decidermi a comperarlo anche io anche se o poco da metterci su'. Ma se lo ordinassi adesso dal sito ledger me lo invierebbero gia' con l'ultima versione?

ovviamente si
e compralo solo ed esclusivamente dal sito originale, occhio.. se non lo compri dal sito originale o dai rivenditori autorizzati.. rischi che sia manomesso

e per cosa, risparmiare 10 euri? no, te lo sconsiglio

se vuoi comprarlo poi inviami un PM

[matipoto]

prima o dopo dovro' decidermi a comperarlo anche io anche se o poco da metterci su'. Ma se lo ordinassi adesso dal sito ledger me lo invierebbero gia' con l'ultima versione?

ovviamente si
e compralo solo ed esclusivamente dal sito originale, occhio.. se non lo compri dal sito originale o dai rivenditori autorizzati.. rischi che sia manomesso

e per cosa, risparmiare 10 euri? no, te lo sconsiglio

se vuoi comprarlo poi inviami un PM

Io l'ho comprato da Amazon, perchè mi arrivava subito e mi è arrivato in scatola cellofanata (ok questo non vuol dire niente...).

Dici che ho fatto una sciocchezza? Al momento l'ho uso da un pò senza problemi. Ho però letto attentamente le istruzioni e non puoi essere fregato, infatti è la Ledger stessa (non io) che dice che non mette un sigillo di garanzia per l'apertura della scatola perchè non serve. Cioè una volta che fai la procedura da zero, mettendo il tuo PIN e in particolare creando il tuo seed di 24 parole (procedura da fare all'inizio obbligatoriamente), questo è resettato ex-novo a livello hardware nel chip. Se qualcuno lo avesse manomesso non ti farebbe fare la procedura di generazione seed.

Spulciando in internet, infatti ho visto che sono stati fregati gli utenti solo in questo modo: comprando da ebay, arrivava la scatola pronta e chiusa, da persone che l'avevano già presa in precedenza, con un foglio sul modello gratta e vinci da grattare le parole con il seed già preimpostato (da genio del crimine, non c'è che dire questa strategia!!!), quindi i ladri avendo anche loro il seed, hanno potuto rubare quando volevano indisturbati tutto il malloppo!

[stefy77]

Spulciando in internet, infatti ho visto che sono stati fregati gli utenti solo in questo modo: comprando da ebay, arrivava la scatola pronta e chiusa, da persone che l'avevano già presa in precedenza, con un foglio sul modello gratta e vinci da grattare le parole con il seed già preimpostato (da genio del crimine, non c'è che dire questa strategia!!!), quindi i ladri avendo anche loro il seed, hanno potuto rubare quando volevano indisturbati tutto il malloppo!

si esatto, avevo letto anch'io che usavano questo stratagemma per fregare le crypomonete con ledger nano s gia' predisposto. Come sempre bisogna dubitare di tutto.

[S3rj0]

Spulciando in internet, infatti ho visto che sono stati fregati gli utenti solo in questo modo: comprando da ebay, arrivava la scatola pronta e chiusa, da persone che l'avevano già presa in precedenza, con un foglio sul modello gratta e vinci da grattare le parole con il seed già preimpostato (da genio del crimine, non c'è che dire questa strategia!!!), quindi i ladri avendo anche loro il seed, hanno potuto rubare quando volevano indisturbati tutto il malloppo!

si esatto, avevo letto anch'io che usavano questo stratagemma per fregare le crypomonete con ledger nano s gia' predisposto. Come sempre bisogna dubitare di tutto.

Geni del male ! Per evitare fregature è sempre meglio controllare che arrivi tutto ben sigillato e ordinare il prodotto direttamente dal sito. Qualcuno ha avuto modo di aggiornarlo usando OSX?

[CryptoHunters]

Io l'ho comprato da Amazon, perchè mi arrivava subito e mi è arrivato in scatola cellofanata (ok questo non vuol dire niente...).

Dici che ho fatto una sciocchezza? Al momento l'ho uso da un pò senza problemi. Ho però letto attentamente le istruzioni e non puoi essere fregato, infatti è la Ledger stessa (non io) che dice che non mette un sigillo di garanzia per l'apertura della scatola perchè non serve. Cioè una volta che fai la procedura da zero, mettendo il tuo PIN e in particolare creando il tuo seed di 24 parole (procedura da fare all'inizio obbligatoriamente), questo è resettato ex-novo a livello hardware nel chip. Se qualcuno lo avesse manomesso non ti farebbe fare la procedura di generazione seed.

Io preso direttamente dal sito del produttore. Ho letto la stessa cosa. Tuttavia, non ci sono mai certezze.

Ho trovato un articolo in rete a riguardo (in inglese, se volete posso tradurlo io stesso):

“The vulnerability arose due to Ledger’s use of a custom architecture to work around many of the limitations of their Secure Element,” Rashid explains in a blog post. “An attacker can exploit this vulnerability to compromise the device before the user receives it, or to steal private keys from the device physically or, in some scenarios, remotely.”

La cosa che mi preoccupa e' il riferimento all'attacco remoto.

Il link all'articolo qui

Code:

https://thenextweb.com/hardfork/2018/03/20/ledger-nano-s-hack-cryptocurrency