Trezor: Vaše klíče má vždy někdo v držení. Měli byste to být vy.

Pokud vlastníte hardwarovou peněženku a posledních pár dní jste prožili v obavách, naprosto vás chápu. Nedávný incident s Coldcardem byl závažný a skuteční lidé přišli o skutečné peníze, což se nikdy nesmí bagatelizovat. Jedna společnost udělala závažnou chybu v jedné z klíčových funkcí hardwarové peněženky, a to při generování spolehlivé náhodnosti pro seed, což poškodilo mnoho skutečných lidí. Zároveň to však neznamená, že by byla zpochybněna myšlenka vlastní správy aktiv, ani že by hardwarovým peněženkám obecně již nebylo možné důvěřovat.

Stojí za to si ujasnit, co se vlastně stalo, bez zbytečného rozruchu. Peněženky, z nichž byly prostředky odcizeny, byly v okamžiku svého vytvoření postaveny na slabé náhodnosti. Jedná se o konkrétní chybu v produktu konkrétní společnosti a nemá to žádný vliv na to, jak zařízení jiných výrobců generují své klíče. Pokud byla vaše peněženka od počátku vyrobena správně, tento incident se vás nijak nedotýká. Vaše prostředky jsou přesně tam, kde byly před týdnem, chráněny přesně tím, čím byly chráněny předtím.

První věc, kterou bych tedy řekl, je tato: Nenechte strach, aby vám změnil nastavení. Strach je špatný inženýr. Tlačí lidi k zavádění složitosti, které nerozumí, a složitost, které nerozumíte, představuje sama o sobě určitý druh rizika.

V současné době se hodně mluví o peněženkách s více podpisy (multisig), tedy o těch, které k převodu prostředků vyžadují několik klíčů. Multisig je skutečně dobrý nástroj a pro někoho, kdo drží velmi velké množství bitcoinů, může dávat skutečný smysl, protože to znamená, že žádné jednotlivé zařízení ani žádný jednotlivý dodavatel nemůže ohrozit vše. Trezor podporuje multisig již od roku 2014 a je jedním z nejčastěji používaných zařízení v těchto konfiguracích. Pro mnoho lidí je to však více, než potřebují. Ne všechny bitcoiny mají být navždy uzamčeny, a u mincí, které skutečně používáte, se multisig rychle stává spíše přítěží než pomocí. Pro mnoho lidí stačí jednoduché nastavení s jedním podpisem. Jedno seedové slovo, správně zapsané a bezpečně uložené. Přehledné a snadno zvládnutelné. Multisig s sebou nese i skutečná úskalí, od poklesu pod požadovanou prahovou hodnotu nebo nesprávné konfigurace až po skutečné potíže se zálohováním a správnou obnovou, a u snadno spravovatelných verzí se navíc platí roční poplatek. Prostě to není pro každého.

A pokud jste v tomhle všem nováčky, nenechte se prosím odradit jedním špatným týdnem ještě předtím, než vůbec začnete. Správa vlastních klíčů je dovednost a jako každá dovednost odměňuje spíše praxi než paniku. Začněte v malém.

Někdo vždy drží vaše klíče

Existuje ještě jedna reakce na tento incident, kterou chápu, ale proti které bych chtěl jemně namítnout. V dnech od zveřejnění této zprávy se část bitcoinů přesunula zpět na burzy a do produktů s úschovou, protože lidé usoudili, že nechat společnost starat se o jejich coiny je jednodušší a bezpečnější. Je to lidský instinkt. Myslím si však, že to znamená pochopit poučení opačně.

Tady je věc, která nezmizí, ať už to zařídíte jakkoli. Klíče k vašim bitcoinům vždy drží někdo jiný. Jedinou otázkou je, kdo. Pokud to nejste vy, pak je to společnost, a vy této společnosti důvěřujete, že bude čestná, kompetentní a že tu zítra ještě bude.

Už vícekrát jsme byli svědky toho, co se stane, když je tato důvěra neopodstatněná. Burzy byly napadeny hackery. Správci aktiv zkrachovali. Lidé, kteří věřili, že jejich bitcoiny jsou u někoho jiného v bezpečí, zjistili příliš pozdě, že ty bitcoiny ve skutečnosti nikdy neměli ve svých rukou. Jediným důvodem existence bitcoinu je to, aby vaše peníze byly skutečně vaše, a ne jen zůstatek, který vám nějaká společnost ukazuje a slibuje, že je v bezpečí. Mít své vlastní klíče znamená jednoduše vzít tento slib do vlastních rukou.

V tomto bodě by se objektivní čtenář mohl zeptat: „Ale já mám přece důvěřovat společnosti poskytující peněženku místo burze, tak v čem je vlastně ten rozdíl?“ Je to dobrá otázka a odpověď na ni je důležitá. Když svěřujete své coiny správci, předáváte mu samotné coiny. Věříte, že tato společnost zůstane solventní, poctivá a bude tu i zítra, a pokud selže, vaše peníze s ní zmizí. Když používáte hardwarovou peněženku, mince nikomu nepředáváte. Držíte je sami. Spoléháte se na něco užšího, a to že byl nástroj správně vytvořen. A protože náš kód je otevřený a kdokoli si ho může prohlédnout, je to něco, co můžete vy nebo nezávislý odborník skutečně ověřit, namísto slepé důvěry. Jeden druh důvěry je ověřitelný. U toho druhého prostě musíte doufat, že je dobře vložená.

Tím nechceme tvrdit, že vlastní správa s sebou nenese žádnou odpovědnost. To samozřejmě ano. Ale tato odpovědnost je cenou za to, že něco skutečně vlastníte, a je to cena, kterou podle nás stojí za to zaplatit. Předání vašich klíčů správci riziko neodstraňuje. Pouze ho přesouvá někam, kde ho nevidíte a nemůžete ho kontrolovat, a vrací vás zpět do toho samého systému, kterému měl Bitcoin původně pomoci uniknout.

Naším úkolem je, aby se vlastnictví jevilo jako jednoduché

Pokud je odpovědnost upřímným háčkem u vlastní správy, pak stojí za to pracovat na tom, aby se tato odpovědnost jevila jako lehká. To je část, na které mi záleží nejvíce, a je to důvod, proč tuto práci dělám.

Dlouhou dobu se v tomto odvětví tiše přijímalo, že vlastní správa je obtížná, mírně zastrašující volba a že pohodlí bude vždy patřit burzám. Dospěl jsem k přesvědčení, které je opakem toho, co tento předpoklad naznačuje. Pohodlí mělo na to, kde lidé své bitcoiny uchovávají, větší vliv než jakákoli obtížnost. Většina lidí nenechává své coiny na burze proto, že zvážila riziko krachu dané burzy a rozhodla se, že to stojí za to. Nechávají je tam, protože to trvalo třicet sekund a připadalo jim to známé. Pokud chceme, aby více lidí vlastnilo své klíče, řešením není poučovat je o tom, proč by to měli dělat. Jde o to, aby se vlastnictví klíčů jevilo stejně přirozené a snadné jako aplikace, které již každý den používají.

To je standard, který si klademe za cíl v celém odvětví. Nejde o vlastní správu, která je dostupná jen pro technicky zdatnou menšinu, ale o vlastní správu, která je pro kohokoli samozřejmá a snadná. Bezpečnost nikdy nespočívala v tom, jak „hardcore“ nebo propracované nastavení vypadá, v házení kostkou, vzduchových mezerách a podobných věcech. Tyto věci mohou poskytovat pocit bezpečí, který ne vždy odpovídá realitě. Důležité je správně nastavit každodenní verzi vlastní správy klíčů, protože právě tu bude většina lidí skutečně používat. Spolehlivá peněženka s jedním podpisem je naprosto dostačujícím základem a kdokoli, kdo chce, může odtud dále rozšiřovat své možnosti.

Nevěřte nám. Ověřte si to sami.

Celou touto diskuzí se táhne ještě jedna myšlenka, která po incidentu, jako je tento, nabývá na významu, nikoli naopak. Pokud si chcete spravovat vlastní klíče, zasloužíte si vědět, že nástroj, kterému důvěřujete, skutečně dělá to, co slibuje. A poctivý způsob, jak si tuto důvěru zasloužit, není o ni žádat. Je to umožnit lidem, aby si to ověřili.

Proto je náš firmware i design našich zařízení open source. Kdokoli si může přesně přečíst, jak Trezor funguje, včetně toho, jak přesně vytváří náhodnost, která chrání vaše prostředky. Otevřenost sama o sobě není kouzelným štítem a já bych se měl na pozoru před kýmkoli, kdo vám tvrdí, že jím je. Otevřený kód pomáhá pouze tehdy, pokud se na něj lidé skutečně podívají a pokud na něm ostatní staví, což přitahuje k kódu ještě více pozornosti. Proto děláme vše, co je v našich silách, abychom zajistili, že se tak stane.

Provozujeme program odměn za nalezení chyb (bug bounty), v rámci kterého platíme nezávislým výzkumníkům za to, že najdou chyby a nahlásí je, což promění pouhé „někdo by to mohl zkontrolovat“ v reálný důvod, proč to zkusit. A protože je kód veřejný, dveře k jeho prověřování jsou otevřené každý den, ne jen v případech, kdy se společnost rozhodne někoho pozvat dovnitř.

Transparentnost není něco, co přidáváme až na konci. Utváří to, jak vyvíjíme, už od samého začátku. Smyslem bitcoinu nikdy nebylo, abyste museli důvěřovat nové skupině institucí namísto těch starých. Šlo o to, abyste vůbec nemuseli slepě důvěřovat. Měli byste mít možnost si to ověřit. Společnost provozující peněženku, která žádá o vaši důvěru a zároveň skrývá své fungování, tento smysl zcela minula.

Jde o odpovědnost

Takže ne, tento náročný týden neznamená, že hardwarové peněženky nefungují, a neznamená to ani, že vlastní správa byla chybou. Znamená to to, co to vždy znamenalo. Vlastnit své vlastní peníze od vás něco vyžaduje. To není slabina této myšlenky. Je to prostě podstata vlastnictví. A těžký týden, jako je tento, nepřináší jen bolest. Nutí celé odvětví provádět důkladnější audity a klást náročnější otázky, přičemž kód je podroben pečlivější kontrole než kdykoli předtím – ze strany výzkumníků, nových nástrojů i širší komunity. Dnes to tak možná nevypadá, ale vlastní správa se tiše posiluje, a to rychleji než téměř jakákoli jiná část tohoto odvětví.

Někdo bude mít klíče k vašim bitcoinům. Je příznačné, že za uplynulý týden jsme v Trezoru přivítali mnoho nových lidí, z nichž značná část přišla z Coldcard – jsou to lidé, kterým na vlastní správě záleží a nemají v úmyslu se jí vzdát. Budeme se o ně starat stejně, jako jsme se posledních dvanáct let starali o všechny ostatní – tím, že zajistíme jejich bezpečnost. Po všem, co jsme všichni zažili, stále věřím, že nejbezpečnější místo pro vaše bitcoiny jsou vaše vlastní ruce. Vaše peníze, konečně a plně vaše.

_________________________________________________________________________

Bitcoin.com nepřijímá žádnou odpovědnost ani záruku a nenese žádnou odpovědnost, ať už přímo či nepřímo, za jakékoli ztráty, škody, nároky, náklady nebo výdaje jakéhokoli druhu, ať už skutečné, domnělé nebo následné, vyplývající z nebo související s používáním nebo spoléháním se na jakýkoli obsah, zboží nebo služby zmíněné v tomto článku. Jakékoli spoléhání se na tyto informace je výhradně na vlastní riziko čtenáře.