yarn.lock<\/strong> qui enregistre exactement quelle version de chaque d\u00e9pendance a \u00e9t\u00e9 test\u00e9e et approuv\u00e9e. Rep\u00e9roder cette configuration permet \u00e0 un auditeur de construire l’application avec les m\u00eames versions et de v\u00e9rifier la reproductibilit\u00e9 du r\u00e9sultat.<\/p>\nExamen du code cryptographique et des m\u00e9canismes de communication<\/h2>\n
Les sections critiques du code Trezor Suite sont celles qui traitent la communication avec le mat\u00e9riel, la v\u00e9rification de firmware, et la construction de transactions. Ces zones doivent \u00eatre examin\u00e9es ligne par ligne. La v\u00e9rification de firmware cryptographique est particuli\u00e8rement importante. Quand un utilisateur connecte son mat\u00e9riel Trezor, Trezor Suite v\u00e9rifie que le firmware charg\u00e9 sur l’appareil provient de SatoshiLabs et qu’il n’a pas \u00e9t\u00e9 modifi\u00e9. Cette v\u00e9rification utilise SHA256 et des signatures num\u00e9riques. Si cette v\u00e9rification est contourn\u00e9e ou mal impl\u00e9ment\u00e9e, un attaquant pourrait installer un firmware malveillant qui enregistre les cl\u00e9s priv\u00e9es.<\/p>\n
Un auditeur examinerait le code responsable de cette v\u00e9rification, par exemple dans les fichiers du r\u00e9pertoire packages\/connect<\/strong> ou packages\/transport<\/strong>. Les questions \u00e0 poser sont : la signature est-elle v\u00e9rifi\u00e9e avant d’utiliser le firmware ? Les cl\u00e9s publiques utilis\u00e9es pour la v\u00e9rification sont-elles correctement enregistr\u00e9es et prot\u00e9g\u00e9es ? Y a-t-il un m\u00e9canisme permettant de contourner cette v\u00e9rification en cas d’erreur ? La v\u00e9rification examine-t-elle l’ensemble du firmware ou seulement une partie ?<\/p>\nLa communication USB entre l’application de bureau et le mat\u00e9riel doit aussi \u00eatre examin\u00e9e. Trezor Suite envoie des commandes s\u00e9rialis\u00e9es au mat\u00e9riel et re\u00e7oit des r\u00e9ponses. Si un attaquant peut injecter des commandes malveillantes ou modifier les r\u00e9ponses en transit, le portefeuille pourrait \u00eatre compromis. Heureusement, le mat\u00e9riel Trezor lui-m\u00eame contient une logique de validation qui rejette les commandes non reconnues. Mais l’application de bureau doit aussi valider les r\u00e9ponses re\u00e7ues et ne jamais supposer qu’une r\u00e9ponse est authentique sans v\u00e9rification.<\/p>\n
L’examen du code de construction de transactions est \u00e9galement essentiel. Avant de signer une transaction, l’utilisateur devrait voir exactement ce qu’il signe : l’adresse de destination, le montant, les frais. Si le code qui pr\u00e9pare cette affichage contient une logique de mise en cache incorrecte, une condition de concurrence, ou une injection SQL-like (pour les donn\u00e9es JSON), l’utilisateur pourrait approuver une transaction diff\u00e9rente de celle qu’il croit signer.<\/p>\n
Construction du projet \u00e0 partir des sources et v\u00e9rification de reproductibilit\u00e9<\/h2>\n
Une fois que l’auditeur a examin\u00e9 le code source et les d\u00e9pendances, l’\u00e9tape suivante est de compiler le projet. Trezor Suite utilise typiquement Node.js et npm pour les builds. Les instructions de compilation sont document\u00e9es dans le fichier README.md<\/strong> ou dans un guide de contribution. Un build typique ressemble \u00e0 : npm install<\/strong>, suivi par npm run build<\/strong> ou npm run build:desktop<\/strong> pour la version desktop.<\/p>\nLa construction du projet g\u00e9n\u00e8re g\u00e9n\u00e9ralement un r\u00e9pertoire de distribution contenant les fichiers compil\u00e9s, les assets, et d’autres fichiers n\u00e9cessaires pour la distribution. Pour la version desktop, cela inclut un fichier d’installation ex\u00e9cutable (par exemple, un fichier .exe pour Windows ou un .dmg pour macOS). Pour la version web, cela produit des fichiers HTML, JavaScript et CSS optimis\u00e9s.<\/p>\n
La reproductibilit\u00e9 exige que deux compilations ind\u00e9pendantes du m\u00eame code source, sur des machines diff\u00e9rentes ou \u00e0 des moments diff\u00e9rents, produisent des binaires identiques. Sur Linux, cela est plus r\u00e9alisable car l’environnement est plus contr\u00f4lable. Sur Windows ou macOS, les outils de construction inclus et les versions des d\u00e9pendances syst\u00e8mes peuvent introduire des variations. Pour Trezor Suite, SatoshiLabs pourrait publier des instructions de compilation reproductible exactes, y compris les versions exactes de Node.js, npm, et tout autre outil requis. Un auditeur testerait ces instructions et comparerait le hash SHA256 du binaire obtenu avec le hash officiel.<\/p>\n
Si les hashes correspondent, c’est une indication forte que le code source public et le binaire distribu\u00e9 sont sinc\u00e8res. Si les hashes diff\u00e8rent, cela signifie soit que la compilation n’est pas reproductible (un probl\u00e8me d’ing\u00e9nierie, mais pas n\u00e9cessairement de s\u00e9curit\u00e9), soit que le code source public et le binaire officiels ne correspondent pas (un probl\u00e8me de s\u00e9curit\u00e9 grave). Dans ce dernier cas, l’auditeur doit enqu\u00eater sur la source de la divergence.<\/p>\n
V\u00e9rification des certifications SSL et des canaux de distribution s\u00e9curis\u00e9s<\/h2>\n
Trezor Suite, en tant que logiciel wallet officiel, emp\u00eache les attaques de phishing par v\u00e9rification de certificat SSL. Quand l’application web acc\u00e8de \u00e0 trezor.io ou \u00e0 d’autres domaines de confiance, elle v\u00e9rifie que le certificat pr\u00e9sent\u00e9 par le serveur est valide et \u00e9mis pour le bon domaine. Un certificat expir\u00e9, auto-sign\u00e9, ou \u00e9mis pour un domaine diff\u00e9rent d\u00e9clencherait une erreur de v\u00e9rification, et la connexion serait rejet\u00e9e.<\/p>\n
Un auditeur peut v\u00e9rifier cela en examinant le code qui effectue les appels HTTPS et en confirmant que la v\u00e9rification du certificat n’est pas d\u00e9sactiv\u00e9e (par exemple, par un flag insecureHTTPParser: true<\/strong> ou un param\u00e8tre rejectUnauthorized: false<\/strong> en production). Il faut aussi s’assurer que toutes les donn\u00e9es sensibles transmises sur le r\u00e9seau utilisent HTTPS et jamais HTTP en clair.<\/p>\nLa distribution du logiciel Trezor Suite doit se faire exclusivement via trezor.io. Un fichier d’installation t\u00e9l\u00e9charg\u00e9 \u00e0 partir de tout autre endroit est potentiellement compromis. Les utilisateurs re\u00e7oivent souvent des conseils qui recommandent de toujours v\u00e9rifier l’URL, de mettre en favori le site officiel, et de se m\u00e9fier des emails ou de liens sociaux qui pr\u00e9tendent mener au t\u00e9l\u00e9chargement. Techniquement, cela signifie aussi que Trezor Suite doit enregistrer le domaine trezor.io sur un registre DNSSEC et utiliser une politique HSTS (HTTP Strict-Transport-Security) pour forcer les connexions HTTPS futures.<\/p>\n
Absence de demande de phrase de r\u00e9cup\u00e9ration et validation des promesses de s\u00e9curit\u00e9<\/h2>\n
Une promesse fondamentale d’un portefeuille mat\u00e9riel est que la phrase de r\u00e9cup\u00e9ration (seed phrase), qui permet de reconstruire les cl\u00e9s priv\u00e9es, ne doit jamais \u00eatre affich\u00e9e ou demand\u00e9e par le logiciel sur un ordinateur. Trezor Suite respecte cette promesse en n’affichant jamais de champ de saisie texte demandant la phrase de r\u00e9cup\u00e9ration. Si une application pr\u00e9tend \u00eatre Trezor Suite et affiche un champ demandant la phrase, c’est une tentative de phishing. Un auditeur confirme cette promesse en recherchant dans le code source tous les emplacements o\u00f9 une phrase de r\u00e9cup\u00e9ration pourrait \u00eatre saisie ou affich\u00e9e. Il ne devrait y en avoir aucun dans l’interface graphique de l’application desktop.<\/p>\n
Au lieu de cela, quand un utilisateur doit restaurer un portefeuille, il utilise le mat\u00e9riel Trezor lui-m\u00eame. L’appareil affiche une invitation \u00e0 saisir la phrase sur son petit \u00e9cran. Le mat\u00e9riel valide que la phrase est correcte et restaure les cl\u00e9s priv\u00e9es en interne, sans jamais les exposer \u00e0 l’ordinateur. Trezor Suite re\u00e7oit ensuite l’information que la restauration a r\u00e9ussi, mais il ne voit jamais la phrase elle-m\u00eame.<\/p>\n
Cette s\u00e9paration entre la gestion de la phrase (mat\u00e9riel) et la gestion des comptes (logiciel) est une architecture de s\u00e9curit\u00e9 fondamentale. Un auditeur doit v\u00e9rifier que Trezor Suite ne contient aucun code qui pourrait contourner cette s\u00e9paration, par exemple en tentant de saisir la phrase automatiquement ou en l’enregistrant quelque part. Une recherche de mots-cl\u00e9s comme „recovery“, „seed“, „mnemonic“ suivi d’une inspection du contexte devrait donner des r\u00e9sultats qui confirment que ces donn\u00e9es ne sont jamais trait\u00e9es de mani\u00e8re dangereuse.<\/p>\n
Audit continu et mise \u00e0 jour de la m\u00e9thodologie<\/h2>\n
L’audit d’une application n’est pas un \u00e9v\u00e9nement ponctuel. Trezor Suite re\u00e7oit des mises \u00e0 jour r\u00e9guli\u00e8res pour corriger des bugs, ajouter des fonctionnalit\u00e9s, et patcher des vuln\u00e9rabilit\u00e9s. Chaque nouvelle version doit \u00eatre audit\u00e9e selon la m\u00eame m\u00e9thodologie. Les changements cl\u00e9s \u00e0 examiner lors d’une mise \u00e0 jour incluent : quelles d\u00e9pendances ont chang\u00e9, quelles fonctions cryptographiques ont \u00e9t\u00e9 modifi\u00e9es, et si de nouveaux serveurs ou domaines sont contact\u00e9s.<\/p>\n
Un audit continu peut \u00eatre partiellement automatis\u00e9. Les outils d’analyse statique comme eslint<\/strong>, sonarqube<\/strong>, et les scanners de d\u00e9pendances vuln\u00e9rables peuvent fournir des alertes. Cependant, aucun outil automatis\u00e9 ne peut d\u00e9tecter une intention malveillante subtile. Un attaquant sophistiqu\u00e9 cacherait une porte d\u00e9rob\u00e9e derri\u00e8re du code qui, pris isol\u00e9ment, semble l\u00e9gitime. L’inspection humaine reste irrempla\u00e7able.<\/p>\nPour les organismes qui d\u00e9pendent fortement de Trezor Suite, une bonne pratique est de maintenir une liste de contr\u00f4le d’audit personnalis\u00e9e bas\u00e9e sur les risques sp\u00e9cifiques. Cette liste capture les \u00e9l\u00e9ments critiques pour votre contexte : avez-vous besoin de compiler vous-m\u00eame le logiciel ? Avez-vous besoin que toutes les d\u00e9pendances proviennent de mainteneurs connus ? Y a-t-il des pays ou des juridictions o\u00f9 vous ne pouvez pas faire confiance aux certificats SSL ? La r\u00e9ponse \u00e0 ces questions affine la m\u00e9thodologie g\u00e9n\u00e9rale pour votre situation.<\/p>\n
\n
Questions fr\u00e9quemment pos\u00e9es<\/h2>\n\n
Comment puis-je v\u00e9rifier que le fichier t\u00e9l\u00e9charg\u00e9 de Trezor Suite est authentique ?<\/h3>\n
T\u00e9l\u00e9chargez le fichier depuis trezor.io, puis calculez son hash SHA256 avec shasum -a 256<\/strong> ou sha256sum<\/strong>. Comparez le r\u00e9sultat avec le hash officiel publi\u00e9 sur le site. Si les hashes correspondent, le fichier n’a pas \u00e9t\u00e9 modifi\u00e9. Optionnellement, v\u00e9rifiez aussi la signature GPG si elle est fournie, en r\u00e9cup\u00e9rant la cl\u00e9 publique de SatoshiLabs depuis plusieurs sources de confiance.<\/p>\n<\/p><\/div>\n\n
Qu’est-ce que la compilation reproductible et pourquoi est-ce important pour Trezor Suite ?<\/h3>\n
La compilation reproductible signifie que compiler le code source de Trezor Suite deux fois, sur des machines diff\u00e9rentes, produit des binaires identiques (m\u00eame hash). Cela prouve que le code source public et le logiciel distribu\u00e9 correspondent vraiment. Si la compilation n’est pas reproductible ou si les hashes diff\u00e8rent, cela indique une divergence entre le code public et le binaire, un probl\u00e8me de s\u00e9curit\u00e9 grave.<\/p>\n<\/p><\/div>\n
\n
Comment v\u00e9rifier les d\u00e9pendances npm de Trezor Suite pour d\u00e9tecter du code malveillant ?<\/h3>\n
Ex\u00e9cutez npm ls<\/strong> pour voir l’arborescence compl\u00e8te des d\u00e9pendances, et npm audit<\/strong> pour d\u00e9tecter les vuln\u00e9rabilit\u00e9s connues. Examinez manuellement les d\u00e9pendances critiques (cryptographie, USB, signatures) : v\u00e9rifiez l’auteur, la date de la derni\u00e8re mise \u00e0 jour, et la pr\u00e9sence de contributeurs connus. Soyez m\u00e9fiant face aux paquets maintenus par une seule personne inconnue ou aux mises \u00e0 jour volumineuses apr\u00e8s une longue inactivit\u00e9.<\/p>\n<\/p><\/div>\n<\/div>\n<\/p>\n","protected":false},"excerpt":{"rendered":"
Un d\u00e9veloppeur ou un auditeur de s\u00e9curit\u00e9 doit souvent r\u00e9pondre \u00e0 une question fondamentale : comment v\u00e9rifier qu’une application de gestion de portefeuille n’a pas \u00e9t\u00e9 compromis au niveau du code source ? Trezor Suite, le logiciel officiel pour les portefeuilles mat\u00e9riels Trezor, est un projet open-source publi\u00e9 sur GitHub, mais la publication du code […]<\/p>\n","protected":false},"author":9,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-8324","post","type-post","status-publish","format-standard","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/posts\/8324","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/comments?post=8324"}],"version-history":[{"count":1,"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/posts\/8324\/revisions"}],"predecessor-version":[{"id":8325,"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/posts\/8324\/revisions\/8325"}],"wp:attachment":[{"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/media?parent=8324"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/categories?post=8324"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ratexpert.de\/wordpress\/index.php\/wp-json\/wp\/v2\/tags?post=8324"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}