Depuis le lancement du BitBox02, nous recevons des demandes pour prendre en charge un fonctionnement en airgap : utiliser le portefeuille matériel sans le brancher à un ordinateur ou à un téléphone. Les appareils en airgap ont fait la une, mais nous voulions comprendre les bénéfices réels en matière de sécurité et avons étudié le sujet en détail. Notre conclusion : la communication en airgap n’apporte que peu, voire pas du tout, de sécurité supplémentaire pour un portefeuille matériel, tout en dégradant l’expérience utilisateur. Dans cet article, nous présentons nos conclusions et confrontons les promesses de sécurité de l’airgap aux vulnérabilités publiées.

Table des matières

Que signifie airgap ? Le mythe de la sécurité airgap imbattable Vérification des faits sur l’airgap depuis 2020 Pourtant, l’airgap peut être utile La facilité d’utilisation est un pilier de la sécurité Conclusion

Que signifie airgap ?

L’airgap est une mesure de sécurité qui isole physiquement un appareil d’un réseau non fiable, comme internet, en supprimant toutes les interfaces réseau. On utilise par exemple des ordinateurs en airgap dans des infrastructures critiques. C’est un principe puissant de manière générale, mais, dans la pratique, il faut quand même échanger des données avec des appareils connectés au réseau pour les opérations courantes. Ces données, qui franchissent le « trou d’air », sont généralement transférées via des clés USB. La sécurité d’un système en airgap repose entièrement sur le fait que les données échangées ne soient ni malveillantes ni modifiées de manière malveillante pendant le transfert. Comme l’a montré de manière célèbre le malware Stuxnet, qui a saboté une installation iranienne d’enrichissement d’uranium, ne pas inspecter soigneusement les données échangées peut annuler les bénéfices de sécurité, qu’il s’agisse d’usines nucléaires ou de portefeuilles matériels de cryptomonnaies.

En ce qui concerne les portefeuilles de cryptomonnaies, le terme airgap en est venu à désigner le fait qu’un appareil de signature comme un portefeuille matériel (qui protège les clés privées de signature) et un ordinateur connecté au réseau potentiellement peu sûr (utilisé pour créer des transactions non signées puis diffuser les transactions signées) soient physiquement isolés et non directement connectés l’un à l’autre. Toute communication entre les deux appareils doit franchir le « trou d’air », généralement en échangeant physiquement une carte SD ou en scannant des QR codes. Il est important de noter que cette communication existe et doit exister. Elle inclut les transactions mentionnées plus haut, mais aussi des quantités relativement importantes de données pour mettre à jour le firmware du portefeuille matériel ou des informations sur le portefeuille lui-même (par exemple les clés publiques, autrement dit les adresses, pour recevoir des fonds).

Au lieu de brancher un portefeuille matériel à un ordinateur, un portefeuille matériel en airgap utilise une application compagnon installée sur votre ordinateur qui prend en charge les PSBT (Partially Signed Bitcoin Transactions). Vous créez une transaction non signée dans l’application, qui est soit encodée dans un QR code que vous pouvez scanner avec votre portefeuille matériel, soit enregistrée sous forme de fichier ensuite lu par votre portefeuille matériel, généralement depuis une carte microSD.

Après que le portefeuille matériel a signé la transaction avec les clés privées, il renvoie la transaction signée à l’ordinateur soit en l’affichant sous forme de QR code sur son écran, soit en écrivant un autre fichier sur la carte microSD. L’application compagnon sur l’ordinateur importe alors la transaction signée et peut ensuite la diffuser sur le réseau.

Pour remettre les choses en perspective, même si cet article se concentre sur les risques de sécurité et les vulnérabilités des portefeuilles matériels, il est important de noter que les portefeuilles matériels sont largement considérés comme la manière la plus sûre d’effectuer des transactions en cryptomonnaies. En effet, les clés privées, qui permettent d’accéder à vos fonds et de les déverrouiller, restent protégées à l’intérieur du matériel et n’ont pas besoin d’en sortir. À l’inverse, les portefeuilles logiciels sont bien plus exposés au vol par des malwares, tandis que conserver des fonds sur des plateformes d’échange présente ses propres risques. Transformer un ordinateur de bureau existant en appareil dédié en airgap, bien que parfois recommandé, est par ailleurs difficile à sécuriser et exposé à de nombreux vecteurs d’attaque.

Le mythe de la sécurité airgap imbattable

L’absence de connexion physique entre les deux appareils rend plus facile la perception d’une connexion comme « sûre ». Dans le même temps, brancher un portefeuille matériel à votre ordinateur comme vous le feriez avec une clé USB peut ne pas « sembler » aussi sûr.

Cependant, nous en sommes arrivés à la conclusion que le bénéfice de sécurité perçu, et la manière dont il est présenté comme une solution miracle, dépassent largement la réalité et peuvent créer un faux sentiment de sécurité.

Voici les trois principales raisons pour lesquelles l’airgap n’apporte pas grand-chose à la sécurité dans la pratique :

1. Il y a toujours de la communication

Même s’il n’y a pas de connexion physique sous la forme d’un câble USB, le portefeuille et l’ordinateur hôte échangent toujours des informations. La différence entre une connexion filaire et une connexion en airgap se situe surtout au niveau de la bande passante. Les QR codes transportent beaucoup moins de données qu’une connexion USB. Cependant, nous avons constaté que la bande passante est pertinente pour l’UX, mais pas pour la sécurité, comme expliqué ci-dessous.

Comme les transactions Bitcoin sont très petites, n’importe lequel de ces canaux de communication suffit à les transmettre. Comme l’enseigne l’exemple de Stuxnet ci-dessus, aucun canal de communication, à lui seul, n’empêche l’envoi ou la réception de données différentes des données attendues d’une transaction Bitcoin. Ces données peuvent donc être potentiellement malveillantes. Il reste donc de la responsabilité du portefeuille matériel d’inspecter soigneusement et d’assainir toutes les données qu’il reçoit.

Si le portefeuille matériel reçoit des données falsifiées et ne les vérifie pas correctement, le fait d’être en airgap ou non n’a alors aucune importance. Si un attaquant trouvait un exploit, celui-ci pourrait être transmis via un QR code malveillant, un fichier de transaction, des données envoyées par une connexion USB ou via Bluetooth.

La transmission en airgap n’est en réalité qu’un autre canal de communication, même si l’utilisateur y participe davantage de manière manuelle. Chaque canal a ses propres vecteurs d’attaque et, tant que des informations sont échangées, c’est toujours au portefeuille matériel de faire son travail et de les assainir. Plus précisément, le modèle de menace d’un portefeuille matériel doit supposer que l’ordinateur ou le téléphone avec lequel il communique est compromis. Par conséquent, faire confiance à autre chose qu’à ce qui est affiché directement sur le portefeuille matériel est une mauvaise idée.

2. La communication peut toujours être compromise

Un vecteur d’attaque important est le malware qui peut manipuler la communication et la modifier sans être détecté. Par exemple, il pourrait modifier une adresse de réception ou de change, ou remplacer des cosignataires dans une configuration multisignature. Là encore, le firmware du portefeuille matériel doit être conçu pour le détecter, mais l’airgap en soi n’aide pas :

  • Les QR codes peuvent être modifiés de manière malveillante à plusieurs niveaux, notamment via des portes dérobées introduites dans une bibliothèque externe qui contrôle les images de la caméra ou le rendu des QR codes, via le firmware de la caméra, ou via un malware exécuté sur l’hôte.
  • Avec une carte microSD, d’autres programmes pourraient, par exemple, surveiller son contenu, modifier des fichiers PSBT ou écrire des données supplémentaires sur la carte sans que l’utilisateur ne s’en aperçoive. Les privilèges d’accès exacts dépendent du système d’exploitation utilisé.
  • La communication USB en elle-même ne permet pas non plus d’atténuer ce vecteur d’attaque.

Une manière courante de détecter et d’éviter les données falsifiées consiste à chiffrer toute la communication entre l’application compagnon exécutée sur un ordinateur et le firmware (le BitBox02 le fait à l’aide du Noise Protocol Framework). Même dans ce cas, cela ne fournit toujours pas un canal de communication entièrement sûr si l’ordinateur hôte qui exécute l’application est compromis (c’est pourquoi vous devez toujours vérifier les détails de la transaction sur l’écran intégré du portefeuille matériel), mais cela rend beaucoup plus difficile pour un attaquant d’écouter ou de modifier les informations.

3. L’airgap n’est pas plus transparent au quotidien

Une autre promesse souvent avancée à propos des portefeuilles en airgap est que les données échangées entre appareils seraient plus transparentes et plus vérifiables qu’avec une connexion USB.

« Ce modèle de sécurité plus robuste garantit que vous savez exactement quelles informations sont reçues » -- Foundation Devices
« En utilisant des transmissions par QR code, nous avons éliminé les risques potentiels d’infiltration de malwares et fourni un niveau de transparence tout simplement impossible avec le Bluetooth ou l’USB. » -- Keystone
« Seuls des QR codes sont utilisés pour transférer des données depuis le cold wallet, le format des QR codes est contrôlé, vérifiable et transparent. » -- Ellipal

Pour évaluer l’intérêt de cette affirmation, examinons une transaction Bitcoin simple créée avec Sparrow wallet : elle contient une entrée, un destinataire et une adresse de change.

Exemple de transaction Bitcoin

Le portefeuille permet d’exporter la transaction non signée de deux façons :

  1. Les fichiers PSBT sont stockés dans un format binaire qui n’est pas lisible par un humain. Vous ne pouvez pas les ouvrir et vérifier leur contenu. La seule façon de le faire est de les charger dans un portefeuille Bitcoin. Le portefeuille a donc, là encore, la responsabilité d’assainir les données.

Contenu binaire d’un fichier PSBT

  1. Les QR codes permettent de représenter visuellement les mêmes informations. Comme la transaction est trop volumineuse pour tenir dans un seul QR code, un code animé est utilisé. Là encore, l’information n’est pas lisible par un humain, et un autre portefeuille est nécessaire pour vérifier les données.

QR code animé contenant des données binaires de transaction

Si vous essayez simplement de lire les données avec un scanner de QR code classique, vous ne serez pas plus avancé :

Une partie du QR code lue avec un scanner de QR code générique

Avec les deux méthodes, il est possible de vérifier les données non seulement sur le portefeuille matériel prévu, mais aussi avec un autre portefeuille. À notre avis, il est douteux que cela apporte un véritable bénéfice de sécurité (le travail principal d’un portefeuille matériel est d’assainir les données et de vous permettre de les vérifier sur son écran intégré), et il n’est pas réaliste de penser que les utilisateurs le feront régulièrement.

Autres éléments à prendre en compte

Chaque canal de communication a ses avantages et ses inconvénients. Voici quelques considérations supplémentaires sur les méthodes de communication des portefeuilles matériels :

  • Les cartes microSD contiennent un mini-ordinateur (c’est-à-dire un microcontrôleur) qui exécute un firmware pouvant être piraté. Est-ce vraiment de l’airgap si vous devez brancher un mini-ordinateur dans un portefeuille matériel pour l’utiliser ?
  • Il faut minimiser les dépendances à des bibliothèques logicielles externes pour réduire la surface d’attaque. Cela vaut pour les pilotes logiciels USB, mais aussi pour les pilotes des lecteurs de cartes microSD et des caméras embarquées.
  • Le regard indiscret par-dessus l’épaule et les caméras de surveillance qui voient des QR codes ou du texte dans une application ont un impact sur la vie privée.
  • Les modes de communication sans fil comme Bluetooth et NFC diffusent des informations d’identification qui peuvent poser des problèmes de confidentialité.

Comme pour la plupart des choses dans la vie, il n’existe pas de « meilleure option unique ».

Vérification des faits sur l’airgap depuis 2020

Examinons toutes les vulnérabilités depuis le début de 2020 dont nous avons connaissance, en limitant le périmètre aux problèmes liés à Bitcoin. L’objectif de cette liste est simplement de vérifier si la communication en airgap aurait empêché la vulnérabilité.

Dans l’ensemble, aucune des vulnérabilités que nous avons examinées ne repose sur la couche de transport des données, là où les informations sont échangées entre un portefeuille matériel et un ordinateur ou un téléphone. Cela signifie que tous ces exploits peuvent fonctionner qu’un appareil soit en airgap ou non.

Si la vulnérabilité elle-même vous intéresse, nous fournissons des liens avec davantage de détails afin que vous ayez une vue d’ensemble. Aucune des vulnérabilités suivantes n’est connue pour avoir été exploitée dans des attaques réelles, et certaines sont plus théoriques et impraticables pour d’autres raisons.

  • Vulnérabilité de chaîne d’approvisionnement avec un firmware contrôlé par un attaquant (Coldcard, 2020/03) Permet de flasher un firmware malveillant et de réinitialiser l’appareil dans un état « usine » compromis Pour en savoir plus : rapporteur, éditeur L’airgap n’aide pas : vecteur d’attaque physique
  • OP_RETURN traité comme sortie de change (Trezor, 2020/03) Permet de contourner la confirmation de l’utilisateur, pourrait affecter des protocoles de niveau 2 (p. ex. Omni layer) Pour en savoir plus : éditeur L’airgap n’aide pas : problème de validation de transaction
  • Change malveillant dans des transactions mixtes (Trezor, 2020/03) Le change pouvait être envoyé vers une adresse multisig 1of2, partiellement contrôlée par un attaquant Pour en savoir plus : rapporteur (Shift Crypto), deuxième rapport (2020/03), éditeur L’airgap n’aide pas : problème de validation de transaction
  • Vérification insuffisante de la taille d’un champ (Trezor, 2020/03) Une transaction contenant un prevhash dépassant les 32 octets attendus pouvait contenir une sortie cachée envoyant des fonds à l’attaquant Pour en savoir plus : éditeur L’airgap n’aide pas : problème de validation de transaction
  • Assainissement incohérent des entrées de transaction (Trezor, 2020/03) Une transaction avec une entrée single-sig et une sortie multisig 1of2 (partiellement contrôlée par un attaquant) était acceptée sans la vérification utilisateur appropriée. Pour en savoir plus : éditeur L’airgap n’aide pas : problème de validation de transaction
  • Frais de transaction élevés via deux transactions Segwit (tous les éditeurs, 2020/03) Un portefeuille malveillant pouvait amener l’utilisateur à signer deux fois une transaction Bitcoin, par exemple en simulant une erreur après la première signature, en demandant à l’utilisateur de réessayer, puis en créant une transaction avec des frais de minage énormes. Une collaboration avec un mineur pouvait permettre d’accéder à ces frais. Pour en savoir plus : Shift Crypto, Ledger, Trezor, Coinkite L’airgap n’aide pas : problème général de conception de vérification dans le BIP-143
  • JTAG/SWD activé sur un processeur non sécurisé (Ledger, 2020/06) Le MCU du Ledger Nano X avait ses interfaces de débogage activées. Cela pouvait effectivement permettre une attaque de chaîne d’approvisionnement, mais pas l’accès aux secrets internes. Pour en savoir plus : rapporteur, éditeur L’airgap n’aide pas : vecteur d’attaque physique
  • Signature croisée entre comptes pour des forks/altcoins dérivés de Bitcoin (Ledger / Trezor / Keepkey, 2020/08) L’utilisateur peut être amené à signer une transaction Bitcoin alors que l’appareil affiche à l’écran des détails de testnet ou d’altcoin. Pour en savoir plus : rapporteur, Ledger, Trezor L’airgap n’aide pas : problème de validation de transaction
  • Signature croisée entre comptes Bitcoin mainnet/testnet (Coldcard, 2020/08) L’utilisateur peut être amené à signer une transaction Bitcoin sur le mainnet alors que l’appareil affiche à l’écran des détails du testnet. Pour en savoir plus : rapporteur (Shift Crypto), éditeur L’airgap n’aide pas : problème de validation de transaction
  • Attaque de rançon sur la gestion de la passphrase (Trezor/Keepkey, 2020/08) Un portefeuille créé avec une passphrase sur l’ordinateur hôte permet à un malware d’utiliser une passphrase différente sur le portefeuille matériel et de prendre en otage tous les fonds futurs. Pour en savoir plus : rapporteur (Shift Crypto), éditeur L’airgap n’aide pas : la passphrase doit être saisie ou vérifiée directement sur l’appareil, quel que soit le canal de communication
  • Attaque de vol multisig à distance (Coldcard, 2020/11) L’appareil ne vérifiait pas s’il faisait partie d’un portefeuille multisig nouvellement créé, ce qui permettait à un attaquant d’amener l’utilisateur à créer un portefeuille multisig contrôlé par l’attaquant. Pour en savoir plus : rapporteur (Shift Crypto), éditeur Il s’agit d’un problème général de vérification du portefeuille lors de la réception de données malveillantes depuis un coordinateur externe ou un participant tiers :
  • Cette vulnérabilité peut être atténuée si vous configurez entièrement vous-même le portefeuille multisig, simplement en faisant passer une carte microSD d’un portefeuille matériel à l’autre. Cela reste vrai si les appareils communiquent entre eux via QR codes ou USB (même si personne ne l’a encore implémenté).
  • L’airgap n’aide pas si le portefeuille multisig est configuré avec un coordinateur externe ou avec une autre personne (malveillante) faisant office de cosignataire, même si l’appareil est entièrement en airgap.
  • Attaque par extension de longueur sur SCP (Ledger, 2021/05) Permet à un attaquant de déchiffrer un bloc de données d’application et de mises à jour du firmware, sans impact sur la sécurité (les données ne sont pas secrètes et sont publiquement disponibles). Pour en savoir plus : éditeur L’airgap n’aide pas : les données peuvent être lues n’importe où lors du téléchargement d’un nouveau firmware

Ce sont toutes les vulnérabilités pertinentes et publiquement divulguées des portefeuilles matériels dont nous avons connaissance. Sources (couvrant aussi des vulnérabilités plus anciennes) : Shift Crypto, Ledger, Trezor, List of Hardware Wallet Hacks.

Parmi les attaques plus anciennes, l’exemple pertinent le plus proche que nous ayons trouvé a été signalé en 2018 comme une fuite potentielle de données lors de l’utilisation de U2F (universal second-factor authentication). Cependant, cet exemple ne concerne pas non plus la couche de transport USB, mais la façon dont les données U2F sont encodées (c’est-à-dire analysées) avant d’être transmises via USB.

En dehors des attaques invasives nécessitant la possession physique d’un portefeuille matériel, les vulnérabilités exploitent généralement la couche logique, là où le portefeuille matériel ne parvient pas à vérifier ou à analyser correctement les détails d’une transaction.

De plus, il est important de comprendre que l’airgap ne peut pas vous protéger contre un firmware malveillant. Il existe d’innombrables façons de faire fuiter des clés privées si le portefeuille matériel lui-même est compromis (par exemple via des signatures Bitcoin).

Pourtant, l’airgap peut être utile

Intégrations airgap

Des méthodes de communication comme les QR codes ou les cartes microSD peuvent être utiles pour d’autres raisons, comme la commodité et l’UX, selon les appareils impliqués :

  • Lorsqu’elles utilisent les QR codes ou les cartes microSD avec le standard PSBT, les applications tierces peuvent être plus facilement intégrées et combinées avec des portefeuilles matériels.
  • Les QR codes sont un choix de communication pratique pour du matériel généraliste pouvant tirer parti d’un module caméra facile à connecter, comme Seedsigner ou Specter DIY, par exemple.
  • Les QR codes sont utiles pour communiquer avec un appareil qui limite l’usage de la connectivité USB, comme l’Apple iPhone.

Notez que, même si « PSBT » est parfois utilisé comme synonyme de « airgap », il s’agit en réalité d’un standard permettant de déplacer des transactions non signées vers un autre appareil pour signature, indépendamment de la méthode de communication utilisée. Cela permet l’interopérabilité entre plusieurs appareils et portefeuilles logiciels, ce qui constitue une raison convaincante de prendre PSBT en charge nativement.

Sécurité « sans communication »

Du point de vue de la sécurité, le seul bon cas d’usage que nous ayons identifié est l’utilisation du portefeuille matériel dans un airgap « complet », sans recevoir de communication externe. Il est important de noter qu’il ne s’agit pas de « communication en airgap » telle qu’elle est habituellement définie dans l’univers des portefeuilles matériels, mais bien de « l’absence de communication » avec un appareil non fiable. Même si cela paraît évident en théorie, un exemple pratique est l’« attaque de vol multisig à distance » expliquée plus haut. Cependant, l’« absence de communication » n’est pas possible en permanence : pour préparer puis diffuser une transaction, vous avez besoin de données externes sur le nombre de fonds que vous possédez actuellement et sur l’endroit où les envoyer.

Les opérations « sans communication » peuvent réduire la surface d’attaque pour les opérations qui ne nécessitent aucune information externe, comme la création ou la récupération d’un seed de portefeuille, la génération d’adresses de réception, l’attribution d’un nom à un portefeuille, l’activation ou la désactivation d’une passphrase optionnelle, etc. Bien sûr, les opérations « sans communication » pourraient être implémentées sur n’importe quel portefeuille matériel, même ceux qui ne sont pas présentés comme étant en airgap, par exemple en les alimentant avec une batterie externe afin d’afficher une adresse de réception sur l’écran du portefeuille matériel.

La communication en airgap peut limiter certaines attaques potentielles qui nécessitent une communication répétée avec le portefeuille matériel, par exemple des attaques qui sondent en continu l’appareil. Un portefeuille matériel est toutefois conçu avec un protocole de communication strict, interrompant simplement toute connexion qui ne respecte pas les règles. Comparé à d’autres défis de sécurité, implémenter un protocole de communication strict est relativement simple, et nous n’avons pas connaissance d’attaques de ce type qui aient été démontrées avec succès.

La facilité d’utilisation est un pilier de la sécurité

Étapes pour signer une transaction

Utiliser un portefeuille matériel en airgap implique des sacrifices importants en matière de facilité d’utilisation. Il faut plus d’étapes, plus d’appuis sur des boutons, plus d’attention mentale et plus de temps pour envoyer une transaction impliquant un PSBT via un canal de communication en airgap.

Étapes pour signer une transaction en mode airgap

L’utilisateur devient une partie du canal de communication ; il est en pratique un man-in-the-middle, sans bon moyen d’auditer les données qu’il relaie. Cela ajoute de la friction sans bénéfice clair pour la sécurité.

Un appareil en airgap doit embarquer une grande partie de l’interface utilisateur dans le firmware. Dès qu’il s’agit de faire autre chose que les opérations les plus basiques, il est plus simple d’utiliser une application externe sur ordinateur ou mobile, avec le portefeuille matériel connecté à celle-ci.

C’est pourquoi nous ne fabriquons pas seulement du matériel : nous avons aussi créé la BitBoxApp, pensée pour les débutants, afin de rendre l’utilisation du BitBox02 très accessible. Grâce à des règles strictes de vérification des transactions, à un protocole de communication USB rigoureux et au chiffrement de bout en bout, le BitBox02 peut sécuriser le canal de communication tout en offrant une expérience utilisateur plus simple.

En outre, d’importants futurs protocoles de sécurité ou de confidentialité peuvent encore compliquer l’UX en airgap. Le protocole « anti-klepto », conçu pour protéger contre la fuite de la clé privée d’un utilisateur et implémenté pour la première fois dans le BitBox02, en est un exemple. Un tour supplémentaire d’échange d’informations entre le portefeuille matériel et l’ordinateur protège contre la manipulation malveillante d’une signature de transaction. Si un appareil en airgap implémentait ce mécanisme de sécurité, le processus d’envoi d’une transaction obligerait l’utilisateur à effectuer un tour supplémentaire de scan manuel de QR codes.

Conclusion

Alors, qu’est-ce que cela signifie pour les fabricants de portefeuilles matériels qui prennent des décisions de conception et pour les utilisateurs qui prennent des décisions d’achat ? À notre avis, choisir un mode de communication est un choix d’UX et d’intégration applicative plutôt qu’une considération de sécurité, du moins d’un point de vue technique.

Bien sûr, si un marché donné a « l’impression » qu’un certain mode de communication est meilleur que les autres, répondre à ce besoin peut avoir du sens d’un point de vue commercial. Cela dit, même si les promesses excessives sont fréquentes en marketing, elles peuvent induire les utilisateurs en erreur et, au final, nuire à la perception globale du secteur. Aider à « se contrôler mutuellement » sur les promesses marketing est donc dans l’intérêt de tous.

On entend souvent dire que « la complexité est l’ennemie de la sécurité ». En d’autres termes, rendre l’UX aussi simple que possible est un bénéfice de sécurité, car cela réduit le risque qu’un utilisateur se tire une balle dans le pied. Lorsque nous avons conçu le BitBox02 il y a deux ans, nous pensions qu’un connecteur USB mâle pouvant être branché directement sur les nouveaux ordinateurs et téléphones mobiles offrirait aux utilisateurs la meilleure expérience sans sacrifier la sécurité. Notre étude de la communication en airgap, présentée dans cet article, montre que nos décisions ont résisté à l’épreuve du temps.

On entend aussi souvent dire qu’« il existe un compromis entre sécurité et facilité d’utilisation ». Nous pensons toutefois qu’il s’agit d’une fausse dichotomie et que la vocation même d’un portefeuille matériel est précisément de rendre la sécurité facile. Notre modèle de sécurité de pointe a été salué par des experts et aide les utilisateurs à ne pas avoir à se demander si quelqu’un d’autre pourrait déverrouiller leurs fonds. Nous avons conçu le BitBox02 et la BitBoxApp de manière à masquer la complexité à l’utilisateur. Nous proposons aussi des options de fonctionnalités avancées, auxquelles la plupart des gens ne s’attendent peut-être pas au début mais qu’ils apprécieront avec le temps, à mesure qu’ils avancent vers l’indépendance financière. Parmi les exemples, on trouve la connexion directe à votre propre nœud complet Bitcoin, une meilleure protection de la vie privée grâce au réseau Tor, le coin control, et bien d’autres encore.

Cet article remet en question l’idée dominante actuelle dans le domaine. Nous comprenons donc qu’il puisse être perçu comme un point de vue controversé. Nous sommes heureux d’entendre des avis différents et nous continuerons à explorer le sujet nous-mêmes à l’avenir. Alors dites-nous ce que vous en pensez.

Foire aux questions (FAQ)

Que signifie « airgap » pour les portefeuilles matériels ? L’airgap est une mesure de sécurité qui isole physiquement un appareil de réseaux non fiables, comme internet. Dans le contexte des portefeuilles de cryptomonnaies, cela signifie que l’appareil de signature et l’ordinateur connecté au réseau ne sont pas directement reliés, et communiquent généralement via des QR codes ou des cartes SD.

Mettre un portefeuille matériel en airgap le rend-il plus sûr ? Même si l’airgap peut offrir certains bénéfices de sécurité, l’article conclut que la communication en airgap apporte peu, voire pas du tout, de sécurité supplémentaire à un portefeuille matériel, tout en pouvant dégrader l’expérience utilisateur.

L’airgap peut-il protéger contre toutes les vulnérabilités ? Non. De nombreuses vulnérabilités exploitent la couche logique des portefeuilles matériels, lorsque l’appareil ne parvient pas à vérifier ou à analyser correctement les détails d’une transaction. Ces vulnérabilités peuvent exister qu’un appareil soit en airgap ou non.

Y a-t-il un avantage à utiliser l’airgap ? L’airgap peut être utile pour certains choix d’UX et d’intégration applicative. Par exemple, les QR codes peuvent être pratiques pour des appareils équipés de modules caméra, et PSBT permet l’interopérabilité entre appareils et portefeuilles logiciels.

Quelle est la principale conclusion concernant l’airgap et les portefeuilles matériels ? Choisir un mode de communication pour un portefeuille matériel relève davantage de l’expérience utilisateur et de l’intégration applicative que de la sécurité. Il est essentiel de s’assurer que la méthode choisie ne compromet pas la sécurité tout en offrant une bonne expérience utilisateur.

Shift Crypto est une entreprise privée basée à Zurich, en Suisse. Notre équipe de contributeurs Bitcoin, d’experts crypto et d’ingénieurs en sécurité conçoit des produits qui permettent aux clients de suivre sereinement leur parcours, du niveau débutant jusqu’à la maîtrise de la gestion des cryptomonnaies. Le BitBox02, notre portefeuille matériel de deuxième génération, permet aux utilisateurs de stocker, protéger et utiliser Bitcoin et d’autres cryptomonnaies en toute simplicité, avec l’aide de son compagnon logiciel, la BitBoxApp.

This post was translated with the help of AI