yogg (OP)
Legendary
Offline
Activity: 2464
Merit: 3158
|
https://ledger-donjon.github.io/Unfixable-Key-Extraction-Attack-on-Trezor/Comme ils disent, je vais juste rapidement traduire le TL;DR : TL;DR
An attacker with a stolen device can extract the seed from the device. It takes less than 5 minutes and the necessary materials cost around 100$. This vulnerability affects Trezor One, Trezor T, Keepkey and all other Trezor clones. Unfortunately, this vulnerability cannot be patched and, for this reason, we decided not to give technical details about the attack to mitigate a possible exploitation in the field. However SatoshiLabs and Keepkey suggested users to either exclude physical attacks from their threat model, or to use a passphrase. Un attaquant avec un appareil dérobé peut extraire la seed de l'appareil. Ca prend moins de 5 minutes et le matériel nécessaire coute environ 100$. Cette vulnérabilité affecte les Trezor One, Trezor T, Keepkey et tout les autres clones de Trezor. Malheureusement, cette vulnérabilité ne peut pas être patchée et pour cette raison, nous avons décidé de ne pas donner de détails techniques à propos de l'attaque, pour mitiger le risque réel d'une exploitation de cette attaque. Toutefois, SatoshiLabs et Keepkey suggèrent à leur utilisateurs d'exclure les attaques physiques de leur modèle de menaces, ou d'utiliser une passphrase. ![Roll Eyes](https://bitcointalk.org/Smileys/default/rolleyes.gif) ![](https://ip.bitcointalk.org/?u=https%3A%2F%2Fi.imgur.com%2FZoOTbgK.png&t=665&c=vfzProdeNtQspA) De toute façon, tant que votre modèle de menace inclut le risque physique, que vous ayez un Trezor ou n'importe quoi .. C'est un peu compliqué quoi. ![Undecided](https://bitcointalk.org/Smileys/default/undecided.gif)
|
|
|
|
GrosWesh
Legendary
Offline
Activity: 2366
Merit: 1442
|
J'ai l'impression qu'il y a longtemps qu'on trouve des hacks reussis sur ces wallets physique. Un gamin de 15 ans avait fait parler de lui à ce sujet si je ne raconte pas de bétises. En dehors de ça,ce qui me fait marrer, c'est la façon d'agir de Ledger, via son Ledger Donjon : disséquer les produits de la concurrence pour mieux pointer du doigt les problèmes. (J'en avait déja parlé vite fait ici : https://bitcointalk.org/index.php?topic=5121448.0). Ils ont intérêt à être irréprochables, car le retour du baton sera violent... Perso j'utilise un Nano x et le moins que je puisse en dire c'est que c'est encore largement perfectible ne serait ce qu'au niveau compatibilité/accessibilité. Chez moi, seul brave (qui gère parfaitement le u2f) m'a permit d'accéder à mes fonds via mew/mycrypto. Exit firefox, Opera, Chrome rien n'a marché, des heures de prise de chou .... Je m'éloigne un peu du sujet, mais je voulais juste souligner qu'avant d'aller pointer du doigt les problèmes chez les autres, Ledger ferait mieux de se concentrer sur ses produits imo...
|
|
|
|
Hypolite
Legendary
Offline
Activity: 1245
Merit: 1027
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
July 05, 2019, 10:40:23 AM |
|
J'ai l'impression qu'il y a longtemps qu'on trouve des hacks reussis sur ces wallets physique. Un gamin de 15 ans avait fait parler de lui à ce sujet si je ne raconte pas de bétises. En dehors de ça,ce qui me fait marrer, c'est la façon d'agir de Ledger, via son Ledger Donjon : disséquer les produits de la concurrence pour mieux pointer du doigt les problèmes. (J'en avait déja parlé vite fait ici : https://bitcointalk.org/index.php?topic=5121448.0). Ils ont intérêt à être irréprochables, car le retour du baton sera violent... Perso j'utilise un Nano x et le moins que je puisse en dire c'est que c'est encore largement perfectible ne serait ce qu'au niveau compatibilité/accessibilité. Chez moi, seul brave (qui gère parfaitement le u2f) m'a permit d'accéder à mes fonds via mew/mycrypto. Exit firefox, Opera, Chrome rien n'a marché, des heures de prise de chou .... Je m'éloigne un peu du sujet, mais je voulais juste souligner qu'avant d'aller pointer du doigt les problèmes chez les autres, Ledger ferait mieux de se concentrer sur ses produits imo... Je suis resté bau Nano S, qui a fait largement ses preuves 😁 de plus je ne suis pas fan du bluetooth 😅
|
|
|
|
GrosWesh
Legendary
Offline
Activity: 2366
Merit: 1442
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
July 05, 2019, 10:57:48 AM |
|
Je suis resté bau Nano S, qui a fait largement ses preuves 😁 de plus je ne suis pas fan du bluetooth 😅
Ben tu sais quoi ?? je n'ai même pas testé la fonction bluetooth ![Tongue](https://bitcointalk.org/Smileys/default/tongue.gif) Le produit marche pas mal sinon, mais cette histoire d'u2f m'a vraiment saoulé. ![Cheesy](https://bitcointalk.org/Smileys/default/cheesy.gif)
|
|
|
|
asche
Legendary
Offline
Activity: 1484
Merit: 1491
I forgot more than you will ever know.
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
July 07, 2019, 12:53:09 PM |
|
Ils ont intérêt à être irréprochables, car le retour du baton sera violent... Perso j'utilise un Nano x et le moins que je puisse en dire c'est que c'est encore largement perfectible ne serait ce qu'au niveau compatibilité/accessibilité. Chez moi, seul brave (qui gère parfaitement le u2f) m'a permit d'accéder à mes fonds via mew/mycrypto. Exit firefox, Opera, Chrome rien n'a marché, des heures de prise de chou .... Je m'éloigne un peu du sujet, mais je voulais juste souligner qu'avant d'aller pointer du doigt les problèmes chez les autres, Ledger ferait mieux de se concentrer sur ses produits imo...
C'est quand même bizarre. Je n'ai aucun soucis sous chrome avec le nano S. Après c'est vrai qu'il faut parfois être rapide. Il ne faut pas compter vérifier les détails quand tu interagis avec MTM par exemple. Si dans les 2 sec tu ne valides pas, tu vas finir en time out.
|
|
|
|
GrosWesh
Legendary
Offline
Activity: 2366
Merit: 1442
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
July 07, 2019, 07:57:55 PM |
|
Ils ont intérêt à être irréprochables, car le retour du baton sera violent... Perso j'utilise un Nano x et le moins que je puisse en dire c'est que c'est encore largement perfectible ne serait ce qu'au niveau compatibilité/accessibilité. Chez moi, seul brave (qui gère parfaitement le u2f) m'a permit d'accéder à mes fonds via mew/mycrypto. Exit firefox, Opera, Chrome rien n'a marché, des heures de prise de chou .... Je m'éloigne un peu du sujet, mais je voulais juste souligner qu'avant d'aller pointer du doigt les problèmes chez les autres, Ledger ferait mieux de se concentrer sur ses produits imo...
C'est quand même bizarre. Je n'ai aucun soucis sous chrome avec le nano S. Après c'est vrai qu'il faut parfois être rapide. Il ne faut pas compter vérifier les détails quand tu interagis avec MTM par exemple. Si dans les 2 sec tu ne valides pas, tu vas finir en time out. Non il ne s'agit pas d'une fenêtre d'action trop courte, enfin pas dans mon cas. Juste une question de setup. Et a en croire différents forums (reddit, github etc) je suis loin d'être le seul. Pas grave maintenant que je sais que brave fait tourner la bête je suis paré, mais pour le novice en crypto, pour peu qu'il le soit aussi en informatique, alors l'expérience va être douloureuse https://github.com/LedgerHQ/ledger-live-desktop/issues/2045https://github.com/LedgerHQ/ledgerjs/issues/306Ha j'oubliais : le problème peut concerner les pilotes usb ! (pas dans mon cas malheureusement).
|
|
|
|
GrosWesh
Legendary
Offline
Activity: 2366
Merit: 1442
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 08, 2019, 10:13:08 PM |
|
Rien de très alarmant, mais la preuve est faite une fois de plus que rien n'est sûr à 100% : Le 7 Aout, Trezor et Ledger ont chacun de leur côté communiqué au sujet d'une vulnérabilité en rapport avec le fonctionnement des écrans oled intégrés dans certains de leurs produits. Concernant Trezor, la société a publié un article relatant la découverte de cette vulnérabilité ainsi que la méthode qu'ils ont utilisé pour la contourner et rendre leur wallet safe à nouveau. https://blog.trezor.io/details-of-the-oled-vulnerability-and-its-mitigation-d331c4e2001aTout d'abord, seuls les appareils 'One' sont concernés chez Trezor. Le modèle 'T' est sauf, du fait de sa conception différente. Du côté de Ledger, l'information a été transmise via leur 'Ledger Donjon' et y est qualifiée de mineure. Les nano s sont concernés, tout autant que les x. https://ledger-donjon.github.io/oled-vuln/. Il est vrai que n'importe quel amateur ne pourrait pas si simplement exploiter la faille : la vulnérabilité permet en effet de récupérer partiellement les informations confidentielles affichées sur l'écran OLED de l'appareil en en mesurant la consommation d'énergie. Ensuite avec des techniques de 'catégorisation' de mots de portefeuille ,en fonction de la consommation que leur affichage demande, il serait possible d'isoler de précieuses infos (pin ou seed). Pour ce faire les pré-requis sont assez précis : le cable usb utilisé durant l'accès au wallet (pour son utilisateur 'légitime') doit avoir été modifié physiquement et le 'hackeur' doit avoir accès à du matériel d'analyse très pointu type oscilloscope ou matériel informatique spécifique. Les deux sociétés ont trouvé le moyen de contourner le problème en modifiant le code des appareils de sorte à ce que la consommation d'énergie liée à l'écran oled ne varie plus ou presque en fonction de ce qui y est affiché. Ledger : ![](https://ip.bitcointalk.org/?u=https%3A%2F%2Fnsa40.casimages.com%2Fimg%2F2019%2F08%2F09%2Fmini_190809121134295455.jpg&t=665&c=oznW-YLt0zoM1g) Trezor : ![](https://ip.bitcointalk.org/?u=https%3A%2F%2Fnsa40.casimages.com%2Fimg%2F2019%2F08%2F08%2Fmini_190808115922439394.jpg&t=665&c=ez_Ib9SHSi1Xow) Notons que Ledger minimise encore un peu plus la 'faille' en précisant qu'il est plus dur de l'exploiter que de directement installer une camera dans la pièce de l'utilisateur afin de lui voler ses infos ![Cheesy](https://bitcointalk.org/Smileys/default/cheesy.gif) . Concernant les firmwares contenant les correctifs : Ledger les annonce pour Q4 (fin d'année) 2019. Trezor de son côté propose déja le firmware 1.8.2. Plus d'infos à ce sujet dans l'article pré-cité. ( Attention à tester la fonction "recory seed' avant d'appliquer un nouveau firmware qui peut effacer la mémoire de l'appareil !) Enfin, il est peut être opportun de préciser que les données ne peuvent pas être modifiées via cette vulnérabilité et que l'intégrité des informations affichées n'est donc pas affectée.
|
|
|
|
Saint-loup
Legendary
Offline
Activity: 2716
Merit: 2410
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 09, 2019, 06:13:20 AM |
|
C'est un anti compteur Linky le mec qui a trouvé cette faille ou quoi? ![Cheesy](https://bitcointalk.org/Smileys/default/cheesy.gif) Blague à part merci pour cet article fort interessant, mais je note quand même qu'ils connaissaient la faille depuis début Avril ![Shocked](https://bitcointalk.org/Smileys/default/shocked.gif) Ont-ils prévenu les exchanges et autres fournisseurs de custodial wallets susceptibles d'utiliser leur materiel? ![Huh](https://bitcointalk.org/Smileys/default/huh.gif) J'en doute fortement, en tous cas ils n'en disent rien ![Sad](https://bitcointalk.org/Smileys/default/sad.gif) Un comportement honnête et transparent aurait été de dire, nous venons d'apprendre l'existence de cette faille, en attendant que nous mettions en place une maj, soyez vigilants, n'utilisez pas de cable usb dont vous ne connaissez pas la provenance, n'utilisez pas votre wallet sur du materiel douteux ou inconnu, et si vous avez déjà noté votre seed quelque part, évitez de la réafficher. Avec cette nouvelle faille type "supply chain/evil maid attack" et sa gestion par les fabricants, etc.etc. va pouvoir bien rigoler. ![Roll Eyes](https://bitcointalk.org/Smileys/default/rolleyes.gif)
|
|
|
|
GrosWesh
Legendary
Offline
Activity: 2366
Merit: 1442
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 09, 2019, 09:14:48 AM Last edit: August 09, 2019, 09:53:35 AM by GrosWesh |
|
Oui ça donne à réfléchir... d'autant plus que ça s'ajoute à la vulnérabilité 'non patchable' décrite par Yogg en op de ce thread. Quand à leur com, j'ajouterai que certaines parties des articles se ressemblant très clairement, parfois au mot près, on peut penser que Ledger et Trezor travaillent main dans la main lors de ce genre d'affaire. Après on peut aussi comprendre qu'ils prennent le temps de trouver des contre mesures avant de communiquer ![Wink](https://bitcointalk.org/Smileys/default/wink.gif) C'est un anti compteur Linky le mec qui a trouvé cette faille ou quoi? ![Cheesy](https://bitcointalk.org/Smileys/default/cheesy.gif) Mdr, oui il faut être sacrément déterminé pour trouver ça ![Shocked](https://bitcointalk.org/Smileys/default/shocked.gif) Malgré tout, si les deux sociétés ont décidé d'instaurer des mesures pour contrer cette possibilité c'est qu'elle reste envisageable. A noter que d'autres matériels non cités ici sont forcément touchés, comme suggéré dans l'article de Trezor. Ha, et voici un lien vers le thread en partie anglophone --> https://bitcointalk.org/index.php?topic=5173591.0Et enfin, j'en profite pour reposter ici le lien vers un article pas récent du tout mais qui m'avait passionné --> https://www.wired.com/story/i-forgot-my-pin-an-epic-tale-of-losing-dollar30000-in-bitcoin/?verso=true. "‘I Forgot My PIN’: An Epic Tale of Losing $30,000 in Bitcoin A veteran tech journalist tries everything, including hypnosis, to recover a small fortune from a locked bitcoin device." (J'ai oublié mon code pin : L'épique histoire de la perte de 30k $ en bitcoin. Un journaliste déploie tous les moyens, même l'hypnose, pour récupérer une petite fortune bloquée dans son portefeuille physique.)
|
|
|
|
Saint-loup
Legendary
Offline
Activity: 2716
Merit: 2410
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 09, 2019, 09:49:31 AM |
|
Oui ça donne à réfléchir... d'autant plus que ça s'ajoute à la vulnérabilité 'non patchable' décrite par Yogg en op de ce thread. Quand à leur com, j'ajouterai que certaines parties des articles se ressemblant très clairement, parfois au mot près, on peut penser que Ledger et Trezor travaillent main dans la main lors de ce genre d'affaire. Après on peut aussi comprendre qu'ils prennent le temps de trouver des contre mesures avant de communiquer ![Wink](https://bitcointalk.org/Smileys/default/wink.gif) C'est un anti compteur Linky le mec qui a trouvé cette faille ou quoi? ![Cheesy](https://bitcointalk.org/Smileys/default/cheesy.gif) Mdr, oui il faut être sacrément déterminé pour trouver ça ![Shocked](https://bitcointalk.org/Smileys/default/shocked.gif) Malgré tout, si les deux sociétés ont décidé d'instaurer des mesures pour contrer cette possibilité c'est qu'elle reste envisageable. A noter que d'autres matériels non cités ici sont forcément touchés, comme suggéré dans l'article de Trezor. Ha, et voici un lien vers le thread en partie anglophone --> https://bitcointalk.org/index.php?topic=5173591.0Oui enfin Ledger n'a pas encore pris les contre-mesures nécessaires comme tu dis, puisqu'ils ne sortiront pas leur patch avant le mois de septembre, ils parlent même de "Q4 2019" donc finalement leur communiqué tardif ne sert pas à grand chose, à part montrer leur manque de transparence. D'après ce qu'on lit dans l'article de trezor, un calendrier de disclosure avait été négocié, et visiblement ledger n'a pas réussi à sortir son patch avant cette deadline... ![Roll Eyes](https://bitcointalk.org/Smileys/default/rolleyes.gif) Sinon moi aussi j'ai été un peu choqué de retrouver les mêmes passages dans les 2 articles, on sent bien le communiqué et les éléments de langage décidés en amont, pas très reluisant tout ça. En tous cas je ne sais pas qui est ce mec mais il a l'air de bien connaître le milieu pour réussir à organiser tout ça, je serais curieux de savoir combien il a réussi à monnayer sa découverte à chaque société impliquée...
|
|
|
|
yogg (OP)
Legendary
Offline
Activity: 2464
Merit: 3158
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 09, 2019, 10:18:46 AM |
|
Oui enfin Ledger n'a pas encore pris les contre-mesures nécessaires comme tu dis, puisqu'ils ne sortiront pas leur patch avant le mois de septembre, ils parlent même de "Q4 2019" donc finalement leur communiqué tardif ne sert pas à grand chose, à part montrer leur manque de transparence. D'après ce qu'on lit dans l'article de trezor, un calendrier de disclosure avait été négocié, et visiblement ledger n'a pas réussi à sortir son patch avant cette deadline... ![Roll Eyes](https://bitcointalk.org/Smileys/default/rolleyes.gif) Sinon moi aussi j'ai été un peu choqué de retrouver les mêmes passages dans les 2 articles, on sent bien le communiqué et les éléments de langage décidés en amont, pas très reluisant tout ça. En tous cas je ne sais pas qui est ce mec mais il a l'air de bien connaître le milieu pour réussir à organiser tout ça, je serais curieux de savoir combien il a réussi à monnayer sa découverte à chaque société impliquée... Mouais. Effectivement c'est une faille, mais bon elle ne me paraît pas très critique. Celle postée dans l'OP est beaucoup plus critique. ![Lips sealed](https://bitcointalk.org/Smileys/default/lipsrsealed.gif) (Et je ne sais toujours pas si à ce jour elle a été résolue) Sur cette dernière faille découverte, je note ceci : An attacker with the ability to perform a power consumption analysis of the device while it is displaying secrets on the screen can conceivably use this partial information of the pixel distribution of each row to recover confidential information via statistical analysis. In particular, this is relevant for the seed words or PIN combination. ( https://blog.trezor.io/details-of-the-oled-vulnerability-and-its-mitigation-d331c4e2001a) Donc en gros, pour exploiter la faille, faut que le pirate fasse une analyse de ce que l'écran du Trezor reçoit comme courant pendant qu'il affiche la seed. ![Tongue](https://bitcointalk.org/Smileys/default/tongue.gif) Merci les gars. J'ai même une plus grosse faille. ![Tongue](https://bitcointalk.org/Smileys/default/tongue.gif) Si un pirate est avec toi dans la pièce pendant que tu initialises la seed de ton Trezor, il n'a même pas besoin d'analyser la consommation electrique de l'écran. Il ne lui faut qu'une paire d'yeux pas trop mauvais, et un peu de mémoire. Ou même, si tu l'init à un endroit avec une caméra... ![Roll Eyes](https://bitcointalk.org/Smileys/default/rolleyes.gif) C'est encore pire.
|
|
|
|
GrosWesh
Legendary
Offline
Activity: 2366
Merit: 1442
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 09, 2019, 12:55:17 PM |
|
J'ai même une plus grosse faille. ![Tongue](https://bitcointalk.org/Smileys/default/tongue.gif) Si un pirate est avec toi dans la pièce pendant que tu initialises la seed de ton Trezor, il n'a même pas besoin d'analyser la consommation electrique de l'écran. Haha ! Tellement vrai ![Smiley](https://bitcointalk.org/Smileys/default/smiley.gif) C'est pour ça que mon poste commence par 'rien d'alarmant' ![Wink](https://bitcointalk.org/Smileys/default/wink.gif) Yogg, j'aime ton pragmatisme ![Cheesy](https://bitcointalk.org/Smileys/default/cheesy.gif) Sur le thread anglais, un mec dit qu'il y a autant de chance de se faire hacker via cette methode que de se faire shooter par une météorite en marchant dans la rue ![Tongue](https://bitcointalk.org/Smileys/default/tongue.gif) Pas faux, mais le fait que cette vulnérabilité soit identifiée fermera la porte à des versions plus évoluées (transmission à distance ou que sais je ? Quand des millions sont en jeux, l'ingéniosité humaine n'a pas de limites ![Roll Eyes](https://bitcointalk.org/Smileys/default/rolleyes.gif) )
|
|
|
|
Saint-loup
Legendary
Offline
Activity: 2716
Merit: 2410
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 09, 2019, 04:21:51 PM |
|
... à moins qu'on apprenne que "finalement" ça passe avec bon nombre de cables USB qu'on trouve dans le commerce sans avoir besoin de virer de résistance... puis finalement que sur certaines cartes mères il n'y pas besoin d'oscilloscope ou de software-defined radio pour réussir à capter le signal. Je ne veux pas faire le rabat-joie, mais ça m'étonne que Trezor enlaidisse son affichage de la sorte pour une attaque aussi anodine en apparence.... ![Undecided](https://bitcointalk.org/Smileys/default/undecided.gif)
|
|
|
|
GrosWesh
Legendary
Offline
Activity: 2366
Merit: 1442
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 09, 2019, 10:26:37 PM |
|
Je pose ça là, ne trouvant pas de sujet 'récent' plus adapté concernant Trezor : Si vous êtes intéressé pour devenir 'beta testeur' pour Trezor, c'est par ici : https://blog.trezor.io/join-the-trezor-beta-testers-community-b19761f4960a" As a reward for becoming an active part of our beta testing community, you will: - Have the opportunity to shape how our new products look and work - Gain early access to new features and products - Be blessed by the eternal love of the whole Trezor team" Pour vous remercier de devenir membre de notre communauté de beta testeurs , vous allez: - Avoir l'opportunité de participer à l'élaboration de nos nouveaux produits (Dans leur aspect et fonctionnement) - Obtenir un accès rapide aux nouvelles fonctionnalités et produits - Etre redevable d'un amour éternel de toute l'équipe de TrezorRien que pour ça, ça vaut le coup ![Cheesy](https://bitcointalk.org/Smileys/default/cheesy.gif)
|
|
|
|
yogg (OP)
Legendary
Offline
Activity: 2464
Merit: 3158
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 10, 2019, 11:29:19 AM |
|
... à moins qu'on apprenne que "finalement" ça passe avec bon nombre de cables USB qu'on trouve dans le commerce sans avoir besoin de virer de résistance... puis finalement que sur certaines cartes mères il n'y pas besoin d'oscilloscope ou de software-defined radio pour réussir à capter le signal. Je ne veux pas faire le rabat-joie, mais ça m'étonne que Trezor enlaidisse son affichage de la sorte pour une attaque aussi anodine en apparence.... ![Undecided](https://bitcointalk.org/Smileys/default/undecided.gif) Faut partir du principe que dans l'absolu, rien n'est safe. Si les Trezor peuvent être victimes de cette faille, alors ils n'échappent pas à ça : Keystrokes can be recovered remotelyIl est possible que les conséquences de cette faille permette d'écouter la seed à distance, grâce à un mécanisme electro-magnétique. (En théorie c'est jouable, mais en pratique j'en sais rien) Ca expliquerait peut être pourquoi ils ont changés leur affichage ? Je ne trouve pas ça forcément plus laid, si c'est plus safe, c'est plus sexy. ![Wink](https://bitcointalk.org/Smileys/default/wink.gif)
|
|
|
|
asche
Legendary
Offline
Activity: 1484
Merit: 1491
I forgot more than you will ever know.
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 10, 2019, 01:16:44 PM |
|
Le propos c'est que justement ce n'est pas plus safe.
L'appareil est aussi sur que le maillon le plus faible de la chaine. Là on est loin d'être sur le maillon le plus faible. Le plus faible étant comme tu l'as dit, un observateur externe lors du setup ou lors de la saisie du pin.
|
|
|
|
F2b
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 11, 2019, 06:46:15 AM |
|
Le propos c'est que justement ce n'est pas plus safe.
L'appareil est aussi sur que le maillon le plus faible de la chaine. Là on est loin d'être sur le maillon le plus faible. Le plus faible étant comme tu l'as dit, un observateur externe lors du setup ou lors de la saisie du pin.
Mais dans ce cas que faire pour sécuriser ça ? C'est surtout du comportement de l'utilisateur qu'il s'agit ici, Trezor ne peut probablement pas faire grand chose (si ce n'est peut-être modifier l'écran dans le futurs produits pour que l'angle de vue soit volontairement minuscule (je sais pas si ça a un nom), mais du coup ça rend le produit moins pratique).
|
npub1zc4r69x9nxg7h0qcs705k6c5yt7xaydtjrlsthk99vmgg2t2xgssd7mdde
|
|
|
yogg (OP)
Legendary
Offline
Activity: 2464
Merit: 3158
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 11, 2019, 10:26:05 AM |
|
Le propos c'est que justement ce n'est pas plus safe.
L'appareil est aussi sur que le maillon le plus faible de la chaine. Là on est loin d'être sur le maillon le plus faible. Le plus faible étant comme tu l'as dit, un observateur externe lors du setup ou lors de la saisie du pin.
Mais dans ce cas que faire pour sécuriser ça ? C'est surtout du comportement de l'utilisateur qu'il s'agit ici, Trezor ne peut probablement pas faire grand chose (si ce n'est peut-être modifier l'écran dans le futurs produits pour que l'angle de vue soit volontairement minuscule (je sais pas si ça a un nom), mais du coup ça rend le produit moins pratique). Effectivement, Trezor n'y peut pas grand chose si vous avez laissé quelqu'un d'autre voir votre seed. Que ce soit lors de l'initialisation, visuellement ou en analysant un signal, ou alors quand elle est stockée et gardée quelque part. l'angle de vue soit volontairement minuscule (je sais pas si ça a un nom)
Ca me fait penser à ces protections pour écrans avec des filtres de confidentialité. Je pense que ça peut se trouver pour quelques euros sur Amazon et après on peut le coller sur l'écran du Trezor, éventuellement.
|
|
|
|
asche
Legendary
Offline
Activity: 1484
Merit: 1491
I forgot more than you will ever know.
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 11, 2019, 12:51:13 PM |
|
Mais dans ce cas que faire pour sécuriser ça ? C'est surtout du comportement de l'utilisateur qu'il s'agit ici, Trezor ne peut probablement pas faire grand chose (si ce n'est peut-être modifier l'écran dans le futurs produits pour que l'angle de vue soit volontairement minuscule (je sais pas si ça a un nom), mais du coup ça rend le produit moins pratique).
L'idée en sécurité c'est de dire que l'attaquant va toujours cibler l'approche la plus facile et la sécurité la plus faible. Il ne s'emmerdera pas avec un cable USB sur une attaque super compliquée si avec le même temps/énergie il peut avoir accès a 10 wallets au lieu d'un avec la même méthode. Je ne dis pas qu'une solution existe, je dis juste que ça ne sert a rien de patcher des scénarios complètement improbables.
|
|
|
|
TheWolf666
Full Member
![*](https://bitcointalk.org/Themes/custom1/images/star.gif) ![*](https://bitcointalk.org/Themes/custom1/images/star.gif)
Offline
Activity: 615
Merit: 154
CEO of Metaisland.gg and W.O.K Corp
|
![](https://bitcointalk.org/Themes/custom1/images/post/xx.gif) |
August 27, 2019, 12:39:56 PM |
|
Donc moralité autant utiliser une clef USB, c'est moins cher et c'est aussi sur! ![](https://ip.bitcointalk.org/?u=https%3A%2F%2Fmedia.giphy.com%2Fmedia%2F1d7F9xyq6j7C1ojbC5%2Fgiphy.gif&t=665&c=rlJKteMMy7nsiA)
|
|
|
|
|