ארנקי חומרה ואלמנטים מאובטחים: במי אתה באמת בוטח?

ארנק חומרה הוא כלי סטנדרטי לשמירת אבטחת מטבעות דיגיטליים, ורובם מסתמכים על שבב ייעודי המכונה רכיב מאובטח; אותו סוג שנמצא בכרטיסי אשראי ודרכונים.

אבל הנה מה שחשוב יותר: איך ארנק משתמש בשבב הזה. הבחירה הזו מגדירה על מה בסופו של דבר תתבקשו להאמין, והיא מפצלת את התעשייה לשני פילוסופיות שונות ביסודן.

למה חומרה ‘מאובטחת’ אינה אמינה

רכיב מאובטח סטנדרטי פועל על עקרון הסודיות. יצרנים מחצינים את הפעול הפנימי של השבב שלהם עם הסכמי סודיות (NDAs).

זה הופך את סקירת האבטחה העצמאית לבלתי אפשרית. משתמשים ויוצרים כאחד חייבים לקחת את המילה של היצרן על כך. חוקרים ויצרני ארנקי חומרה אינם יכולים לבדוק באופן חופשי או לדון ציבורית במה שהם מוצאים. אפילו אם מתגלה פגם קריטי, ה-NDA יכול למנוע את חשיפתו מבחינה חוקית, ומשאיר את המשתמשים באפלה.

למדנו זאת בדרך הקשה. לפני שנים, Trezor העריכה רכיב מאובטח מוביל תחת NDA עבור פרוטוטיפ. הבדיקות שלנו גילו בעיות שלא יכולנו לדון בפומבי, כיוון שה-NDA מנע שקיפות.

הניסיון הזה הבהיר את דרכנו. החלטנו שלא נרצה שהמפתחות הפרטיים שלכם יתלו בשבב סגור ולא ניתן לביקורת. במקום לחפש שבב שנוכל להאמין בו לחלוטין, בנינו ארכיטקטורה שבה הרכיב המאובטח לעולם לא מחזיק במפתחות שלכם. גם כשהתפתחנו בהמשך לרכיב מאובטח שכולו ניתן לביקורת (TROPIC01), שמרנו על עיצוב זה. אנחנו לא מבקשים שתאמינו בנו. אנחנו אפילו לא מאמינים בעצמנו. הארכיטקטורה היא ללא נאמנות כברירת מחדל.

שני עיצובים, הבדל קריטי אחד

כאן עיצובי ארנקי החומרה מתפצלים. כולם משתמשים ברכיב מאובטח להגנה, אך המקום שבו מאוחסנים המפתחות הפרטיים שלכם משנה את הכל.

עיצוב 1: השבב מחזיק במפתחות שלכם

כאן, המפתחות הפרטיים שלכם נמצאים בתוך הרכיב המאובטח. הוא מייצר, מאחסן ומשתמש בהם בסביבה סגורה ומאושרת.

• הלוגיקה: להכיל את כל הפעולות הרגישות בקופסה חסינה מפני שינוי.
• על מה אתה מאמין: על המוניטין של יצרן השבב, על קוד הפנימי הסודי שלהם, ועל התקווה כי האישורים שלהם תואמים את האיומים האמיתיים שלך.
• המציאות: אתה מקבל הגנה פיזית חזקה אך עליך לקבל את העובדה שהתהליכים הקריטיים ביותר הם בלתי נראים ולא ניתנים לביקורת.

עיצוב 2: השבב פותח את המפתחות שלכם

כאן, המפתחות הפרטיים שלכם מוצפנים במעבד הראשי. ללא מפתח הפענוח, המידע המוצפן הזה חסר ערך לחלוטין לתוקף. הרכיב המאובטח מחזיק רק במפתח הפענוח הזה, מוגן על ידי ה-PIN שלכם. הוא לעולם לא רואה את המפתחות הפרטיים שלכם בפועל.

המפתחות שלכם מוגנים על ידי הצפנה בלתי ניתנת לפיצוה; אותה כוח הצפנה שמאבטח את רשתות הביטקוין ומטבעות דיגיטליים אחרים. כל המערכת פועלת על קושחה בקוד פתוח שכל אחד יכול לבדוק.

• הלוגיקה: הצפנה חזקה וניתנת לביקורת מנצחת סודות מוסתרים. עם קוד שניתן לבדוק, אתם יכולים להוכיח כיצד המפתחות שלכם מוגנים. עם חומרה סגורה, ניתן רק להאמין לטענות.
• על מה אתה מאמין: על הקריפטוגרפיה והקוד הציבורי. הרכיב המאובטח מטפל רק בפיקוד הגישה כמו אימות ה-PIN.
• המציאות: שקיפות מוחלטת. השבב מספק הגנה חומרתית מבלי להפוך לנקודת אמון לא ניתנת לביקורת.

למה בנינו עבור שקיפות

Trezor בנוי על דגם העיצוב השני. המפתחות הפרטיים שלכם נשארים מוצפנים מחוץ לרכיב המאובטח, מוגנים על ידי הצפנה ומערכת הפעלה שכל אחד יכול לבדוק.

זה מתואם עם העיקרון המייסד שלנו: אבטחה אמיתית דורשת שקיפות, לא הסתרה. אתם לא צריכים להאמין לנו; אתם צריכים להיות מסוגלים לאמת כיצד הארנק שלכם פועל.

ההתחייבות הזו לבדיקה מדריכה את כל הגישה שלנו. אנחנו מאמינים שעליכם לקבל אבטחת חומרה ללא פשרות, ולכן אנחנו תומכים ומפתחים כלים לאבטחה פתוחה שבהם כל שכבת הגנה יכולה להיבדק.

התמצית

רכיב מאובטח הוא לא ערובה לאבטחה בפני עצמו. זהו רכיב שערכו תלוי לחלוטין באיך שהוא מיושם.

הבחירה המכרעת היא האם המפתחות הפרטיים שלכם תלויים בקוד או בחומרה שאי אפשר לבדוק.

 

_________________________________________________________________________

Bitcoin.com לא נושאת באחריות או באחריות כלשהי, ולא תשא באחריות, בין אם במישרין או בעקיפין, לכל אובדן, נזק, תביעה, עלות או הוצאה מכל סוג, בין אם בפועל, לכאורה או תוצאתית, הנובעים או קשורים לשימוש או להסתמכות על כל תוכן, סחורה או שירותים הנזכרים במאמר זה. כל הסתמכות המונחת על מידע כזה היא על אחריות הקורא בלבד.