Portefeuilles matériels : ce contre quoi ils protègent, et comment on perd quand même ses fonds
Un portefeuille matériel résout un problème extrêmement bien et plusieurs problèmes voisins pas du tout. Savoir lequel est lequel fait la différence entre la sécurité et son illusion.
On décrit souvent un portefeuille matériel comme ce qui met vos cryptos en sécurité. Il fait quelque chose de nettement plus précis, et c’est dans l’écart entre ce quelque chose de précis et cette affirmation générale que les gens perdent de l’argent en se croyant protégés.
Le seul problème qu’il résout
Un portefeuille matériel génère et conserve votre clé privée à l’intérieur d’un appareil dédié, et y effectue la signature. La clé n’existe jamais sous forme lisible sur votre ordinateur ou votre téléphone.
Cela met en échec toute une catégorie d’attaques. Un logiciel malveillant qui lit des fichiers, enregistre les frappes ou fouille la mémoire de votre ordinateur ne peut pas obtenir une clé qui ne s’y est jamais trouvée. Même sur une machine entièrement compromise, l’attaquant voit ce que vous faites mais ne peut pas signer de transaction sans l’appareil, et l’appareil exige une confirmation physique.
C’est une amélioration réellement importante, et c’est tout ce que le matériel apporte.
Ce qu’il ne résout pas : approuver la mauvaise chose
L’appareil signe ce que vous confirmez. Si vous confirmez une transaction qui envoie vos fonds à un attaquant, le portefeuille matériel en produira fidèlement une signature valide.
C’est le mode de défaillance dominant et il n’a rien à voir avec la sécurité de la clé. Une interface convaincante vous demande d’approuver quelque chose, l’écran affiche une transaction que vous ne comprenez pas entièrement, et vous appuyez sur le bouton. L’appareil a parfaitement fait son travail. Lire ce qui s’affiche réellement sur l’écran de l’appareil — et non ce que le site web prétend — est la seule défense, et c’est l’étape que l’on saute parce que le site a déjà annoncé ce à quoi s’attendre.
Ce qu’il ne résout pas : les autorisations de jetons
Sur les réseaux qui les prennent en charge, une autorisation accorde à un contrat la permission de déplacer un jeton en votre nom, parfois sans plafond et parfois sans limite de durée. Cette permission persiste après la transaction qui l’a accordée.
Un portefeuille matériel signera sans broncher une autorisation illimitée, parce que signer est ce qu’il fait. Les fonds peuvent ensuite être déplacés sans aucune autre interaction de votre part ni de celle de l’appareil. Passer en revue et révoquer les autorisations est une hygiène distincte que le matériel n’assure pas.
Ce qu’il ne résout pas : la phrase de récupération
L’appareil protège la clé de votre ordinateur. Il ne protège pas la phrase de récupération de vous.
La phrase est générée lors de la configuration et notée à la main, et à partir de cet instant elle est une copie en clair de toutes les clés que l’appareil détient. La photographier, la saisir quelque part ou la stocker dans un service en nuage transforme un portefeuille protégé par le matériel en portefeuille protégé par un logiciel, sans rien changer à l’appareil. Toute demande de saisir la phrase sur un site ou dans une application est une tentative de faire exactement cela, et il n’existe aucune version légitime de cette demande. Notre entrée de glossaire explique pourquoi la phrase prime sur n’importe quelle clé isolée.
Ce qu’il ne résout pas : la perte
L’auto-conservation supprime le conservateur, ce qui supprime à la fois son risque et sa procédure de récupération. Un appareil perdu avec une phrase conservée en lieu sûr est un désagrément. Un appareil perdu avec une phrase perdue est une perte définitive, sans recours, sans service client et sans mécanisme d’aucune sorte.
C’est un arbitrage réel, à assumer délibérément plutôt qu’à absorber comme effet secondaire d’un conseil suivi. Notre comparaison de qui détient réellement vos cryptos traite le versant avec conservation de la même décision.
Le résumé exact
Un portefeuille matériel met votre clé privée hors de portée des logiciels de votre ordinateur. Il ne vérifie pas qu’une transaction est celle que vous vouliez faire, ne gère pas les permissions permanentes que vous avez accordées, ne protège pas une phrase que vous avez manipulée sans soin, et n’offre aucune récupération si vous perdez les deux. C’est une solution solide à un problème et aucune solution aux quatre façons les plus courantes dont les gens sont réellement séparés de leurs fonds.
La chaîne d’approvisionnement fait partie du modèle de menace
Un portefeuille matériel n’est digne de confiance que s’il est bien l’appareil construit par le fabricant. Acheter sur une place de marché tierce ou accepter un appareil non sollicité ouvre la possibilité d’une altération, et l’attaque ne demande aucune sophistication : un appareil qui arrive avec une phrase de récupération déjà écrite dans la boîte est un appareil dont quelqu’un d’autre a généré les clés.
Les règles qui en découlent sont brèves. Achetez directement auprès du fabricant. Générez la graine sur l’appareil vous-même lors de la configuration plutôt que d’en accepter une fournie avec. Vérifiez l’appareil au moyen de l’attestation que propose le fabricant. Un appareil livré avec une phrase est compromis, quelle que soit la qualité de l’emballage.
La signature à l’aveugle est la brèche qui subsiste
L’écran de l’appareil est votre défense, et sur des transactions complexes il peut être incapable d’afficher en termes utiles ce que vous approuvez. Certaines interactions se présentent comme une charge opaque que l’appareil montre comme des données plutôt que comme une action lisible.
Approuver ce que vous ne pouvez pas lire est l’équivalent crypto de signer un contrat en blanc. Là où un appareil ou une interface sait décoder une transaction en termes clairs, cette capacité vaut plus que n’importe quelle spécification sur la boîte. Là où elle ne le peut pas, la réponse honnête est de traiter l’interaction comme à haut risque plutôt que de cliquer pour passer — soit l’inverse de ce qu’encourage une invite bien conçue.
Que faire de la phrase, concrètement
Le conseil s’arrête généralement à « conservez-la en lieu sûr », ce qui n’est pas actionnable. Deux propriétés comptent vraiment et elles s’opposent : la phrase doit survivre à la perte de votre domicile, et elle ne doit pas être lisible par qui la trouverait.
La redondance répond à la première — plus d’une copie, en plus d’un lieu physique, sur un support qui résiste à l’eau et au feu. La dissimulation répond à la seconde, et une copie rangée là où un cambrioleur regarderait n’est pas une sauvegarde, c’est un délai. Répartir une phrase entre plusieurs lieux est parfois suggéré et facile à rater : une répartition naïve peut réduire l’espace de recherche pour un attaquant détenant une partie tout en ajoutant une nouvelle façon de perdre définitivement l’accès.
Quel que soit le dispositif choisi, testez la récupération avant qu’elle ne compte. Une sauvegarde jamais restaurée est une hypothèse, pas une sauvegarde.
