Les deux modes maintiennent votre clé privée à l’intérieur de l’appareil de signature. Ni
l’un ni l’autre ne confie la clé à votre ordinateur. Ce qui change, c’est le nombre de
façons dont une machine compromise peut interagir avec cet appareil, et la part de
l’échange que vous pouvez observer.
Ce qu’est réellement une liaison USB
Un câble est un chemin de données bidirectionnel. Votre ordinateur parle un protocole à
l’appareil, lui demande des clés publiques, lui envoie une transaction à signer et reçoit la
signature en retour. Ce chemin est exactement ce qui rend l’expérience agréable : Sparrow
découvre vos comptes, lit la clé publique étendue et transmet une transaction en un clic.
C’est aussi un canal permanent entre une machine reliée à Internet et l’objet qui détient
vos clés.
La menace contre laquelle ce dispositif protège est simple, et il s’en défend très bien :
même un ordinateur totalement compromis ne peut pas extraire la clé, puisque l’appareil ne
l’envoie jamais. Ce que l’USB n’élimine pas, c’est tout ce qui se joue autour de la
signature. Un logiciel malveillant sur l’hôte peut remplacer l’adresse de destination avant
votre approbation, annoncer un montant erroné, ou réclamer sans fin des signatures pour des
transactions que vous n’avez pas construites. C’est la raison d’être de l’écran de
l’appareil, et pourquoi il n’est pas facultatif.
Ce que la coupure hors ligne supprime
Un appareil air-gapped, c’est-à-dire physiquement coupé du réseau, ne se connecte jamais à
l’ordinateur. Sparrow écrit une transaction non signée sur une carte SD, ou la rend sous
forme de codes QR à l’écran ; l’appareil la lit, affiche ce qu’il est sur le point de
signer, produit une signature et la renvoie par la même voie. Aucun pilote, aucune
négociation de protocole, aucune session vivante. La seule chose qui franchit la coupure,
ce sont des données de transaction que vous pourriez imprimer et lire.
Cela referme une classe entière de problèmes : les attaques au niveau du micrologiciel
livrées par le câble, un logiciel constructeur que vous n’aviez pas l’intention
d’installer, un contrôleur USB hostile, ou un appareil qui accepte en silence une commande
que vous n’avez jamais émise. Cela rend aussi la frontière vérifiable : vous pouvez regarder
la carte SD et savoir exactement ce qui a quitté la machine.
Quand la contrainte supplémentaire en vaut la peine
La signature hors ligne est plus lente. Chaque dépense devient un petit rituel : exporter,
porter la carte ou le flux de QR jusqu’à l’appareil, vérifier dessus, rapporter la
signature, finaliser, diffuser. Pour un portefeuille dont vous dépensez chaque semaine,
cette friction est réelle, et elle pousse à remettre à plus tard ce qu’il ne faut pas
remettre — comme sortir ses pièces d’une plateforme d’échange.
Découpez donc la décision selon l’usage que vous faites de l’argent. Pour un portefeuille de
dépense dont la perte vous contrarierait sans vous ruiner, l’USB convient, à condition de
vérifier les adresses sur l’écran de l’appareil. Pour un portefeuille d’épargne que vous
touchez quelques fois par an et dont le montant changerait votre vie, coupez-le du réseau :
les vingt minutes annuelles supplémentaires ne vous coûtent rien, et la surface d’attaque
que vous retirez est celle que vous ne pouvez pas inspecter. Si vous faites tourner
un multisig 2-sur-3, mélanger les deux est
également raisonnable : un signataire connecté, les autres hors ligne, de sorte qu’aucun
chemin de compromission unique n’atteigne le quorum.