Получить расширение Модель угроз Locker Protocol
От чего мы защищаем, от чего нет, и почему мы выбрали проверяемость вместо доверенного железа.
Три принципа
Воздушный зазор по построению, а не по политике
У подписывающего устройства нет ни USB, ни Bluetooth, ни сети. Запросы и подписи передаются QR-кодами, которые вы видите. Свойству, которое обеспечивает физика, не нужны обещания.
Проверяемое сильнее сертифицированного
Контракты, где на самом деле лежат ваши средства, опубликованы и верифицированы on-chain во всех 9 сетях. Сертификация требует доверия; верифицированному контракту оно не нужно.
Ни аккаунта, ни доставки
Нечего регистрировать и нечего доставлять, поэтому у нас нет ни вашего имени, ни домашнего адреса. Измерение использования расширения включено по умолчанию и отключается в настройках.
Честно об угрозах
Удалённое вредоносное ПО и дрейнеры кошельков
Ключи живут на устройстве без подключения к сети. Вредонос на вашем компьютере может предложить транзакцию, но подписать её способен только офлайн-сейф, после того как вы её прочли.
Слепая подпись и фишинг
Перед подписью сейф разбирает каждый запрос на читаемые поля на доверенном экране. Вы подписываете именно то, что видели.
Компрометация поставщика или цепочки поставок
Железо не продаётся, значит, его нельзя перехватить. Обновления приходят только через магазины браузеров, а контракты с вашими средствами верифицированы on-chain.
Потеря или уничтожение устройства
Бумажная резервная копия представляет собой зашифрованный QR-код. Распечатайте, сохраните, восстановите на любом телефоне со своим паролем.
Физическая кража с лабораторным оборудованием
Сейф зашифрован в состоянии покоя за вашим паролем. Но в телефоне нет сертифицированного защищённого чипа: против оснащённого лабораторией злоумышленника с устройством в руках чип аппаратного кошелька держится лучше. Именно в этой точке Ledger выигрывает, и мы это говорим.
Принуждение (гаечный ключ за 5 $)
Ни один кошелёк не устоит перед физическим принуждением. Структурным ответом служит мультисиг M-из-N: никто, под принуждением или нет, не может переместить средства в одиночку.
Где выигрывает защищённый чип
Сертифицированный защищённый чип (CC EAL5+) противостоит физическому извлечению ключей: вскрытию корпуса, глитчингу, побочным каналам. Если ваш главный риск в том, что искушённый злоумышленник физически завладеет подписывающим устройством, выделенный чип защищает этот сценарий лучше телефона. Мы публикуем эту страницу, чтобы вы сделали выбор осознанно, а не обнаружили его позже.
Почему всё-таки софт
В 2023 году Ledger Recover доказал: что делает защищённый чип, решает прошивка. Чип защищал сид-фразу ровно до дня, когда его поставщик выпустил выход наружу. Компонент, который нельзя инспектировать, защищает вас лишь до тех пор, пока этого хочет его поставщик. Мы предпочитаем свойства, которые можно проверить, обещаниям, в которые нужно верить.
Не верьте и нам: проверьте
2000+
автотестов, выполняются при каждом изменении
7
смарт-контрактов, развёрнуты в 9 сетях
0
замечаний статического анализа, конфигурация опубликована
100 %
контрактов опубликовано и верифицировано on-chain