Téléchargez la dernière version de BitBoxApp ici : https://bitbox.swiss/download

La sécurité avant tout

Que s’est-il passé ?

Le 21 mai 2022, Dmitry Zemlyakov a signalé de manière responsable, via notre programme de bug bounty, une vulnérabilité dans l’installateur Windows de BitBoxApp qui pouvait permettre à un attaquant d’exécuter un logiciel malveillant avec des privilèges administrateur pendant le processus d’installation. Ce problème est corrigé dans cette mise à jour.

Nous n’avons trouvé aucun élément indiquant que cette vulnérabilité ait été exploitée. Nous remercions Dmitry Zemlyakov pour son aide dans l’amélioration de la sécurité de nos produits.

Détails techniques

L’installateur Windows de BitBoxApp appelle la commande système Windows « taskkill » pour fermer un processus BitBoxApp en cours d’exécution afin de pouvoir mettre à jour l’exécutable de BitBoxApp. Si un attaquant parvient à placer un exécutable nommé « taskkill » dans le même dossier que l’installateur de BitBoxApp (généralement le dossier Téléchargements) avant que vous n’exécutiez l’installateur, cet exécutable serait lancé à la place de la commande système, ce qui pourrait exécuter un logiciel malveillant.

Cette mise à jour élimine ce risque en n’appelant plus « taskkill ».

Suis-je exposé à un risque ?

Aucune action n’est requise : cette version améliore simplement la sécurité globale de votre système pour cette mise à jour et les suivantes. De manière générale, le portefeuille matériel BitBox02 est conçu pour vous protéger contre d’éventuels logiciels malveillants s’exécutant sur votre ordinateur ou votre téléphone mobile et tentant d’accéder à vos fonds crypto, y compris si le logiciel concerné est BitBoxApp lui-même. Cette vulnérabilité n’ajoute aucun risque supplémentaire à cet égard. En vérifiant les adresses de réception et les transactions sur le BitBox02, vous réduisez fortement le risque qu’un logiciel malveillant présent sur l’ordinateur puisse accéder à vos fonds. Veillez toujours à vérifier correctement chaque action sur le BitBox02.

EIP-712 : données structurées typées d’Ethereum

EIP signifie « Ethereum Improvement Proposal ». Comme Ethereum est un protocole ouvert, n’importe qui peut soumettre une proposition, et elle peut être mise en œuvre si la communauté parvient à un consensus.

EIP-712 est une norme de signature de messages qui permet d’afficher les données dans un format lisible par l’humain, afin que l’utilisateur puisse vérifier ce qu’il signe, ce qui améliore la sécurité et l’ergonomie. Avant EIP-712, un utilisateur ne pouvait pas vérifier facilement ce qu’il signait, car cela était affiché uniquement sous la forme d’une chaîne hexadécimale plutôt que dans un format lisible par l’humain.

À gauche : signature de données de contrat non compatibles avec EIP-712. À droite : données de contrat conformes à EIP-712, lisibles par l’humain et plus faciles à vérifier.

Bien que cette norme ait été proposée en 2017, elle n’a gagné en popularité que récemment, en particulier avec les smart contracts permettant de mettre en vente des NFT sur des plateformes comme OpenSea, entre autres. Cette mise à jour du firmware permet désormais aux utilisateurs de BitBox d’utiliser ces services de manière plus transparente et plus sûre.

Diverses petites améliorations

Nous continuons à améliorer l’interface utilisateur de BitBoxApp et à appliquer les bonnes pratiques. La vue du portefeuille en est un exemple : elle affiche désormais des espaces réservés en taille réelle indiquant que les données sont en cours de chargement, ce qui évite que le reste du contenu ne se déplace une fois le graphique affiché.

Un autre exemple vient d’un contributeur externe, qui a mis à jour l’icône macOS de BitBoxApp conformément aux nouvelles directives de conception d’Apple. Merci beaucoup, Valid Block !

Consultez le journal technique des modifications de BitBoxApp et du firmware BitBox02 pour obtenir la liste complète des changements.

Comment rester à jour ?

Nous vous encourageons à vous inscrire aux actualités BitBox pour rester informé de nos dernières nouveautés, y compris les release notes et les correctifs de bugs.

Merci de faire partie de la famille BitBox !

Shift Crypto est une entreprise privée basée à Zurich, en Suisse. Notre équipe, composée de contributeurs Bitcoin, d’experts crypto et d’ingénieurs en sécurité, crée des produits qui permettent à nos clients de suivre sereinement un parcours allant du niveau débutant jusqu’à la maîtrise de la gestion des cryptomonnaies. Le BitBox02, notre portefeuille matériel de deuxième génération, permet aux utilisateurs de stocker, protéger et effectuer facilement des transactions en Bitcoin et autres cryptomonnaies, avec son compagnon logiciel, BitBoxApp.

This post was translated with the help of AI