获取扩展程序 Locker Protocol 威胁模型
我们能防御什么、不能防御什么，以及我们为何选择可验证性而非可信硬件。
三条原则
隔离源自结构，而非政策
签名设备没有 USB、没有蓝牙、没有网络。请求与签名以你能亲眼看到的二维码传递。由物理定律保证的属性不需要承诺。
可验证胜过有认证
合约，也就是你的资金真正所在之处，在全部 9 条网络上公开并经过链上验证。认证要求你信任；经过验证的合约不需要。
无需账户，无需邮寄
无需注册，无需邮寄，所以我们不掌握你的姓名或住址。扩展的使用统计默认开启，可在设置中关闭。
诚实面对每一种威胁
远程恶意软件与钱包盗币程序
密钥保存在一台没有网络连接的设备上。你电脑上的恶意软件可以提出一笔交易，但只有离线保险库能签名，而且是在你读过之后。
盲签与钓鱼
签名前，保险库把每个请求解码为可读字段，显示在可信屏幕上。你签的就是你看到的。
厂商或供应链被入侵
不出售任何硬件，因此没有东西可被拦截。更新只通过浏览器商店送达，而保管你资金的合约已在链上验证。
设备丢失或损毁
纸质备份是一个加密二维码。打印、收好，凭密码即可在任何手机上恢复。
携实验室设备的物理盗窃
保险库在静态时以你的密码加密。但手机没有认证安全芯片：面对手握设备、装备精良的攻击者，硬件钱包的芯片抵抗力更强。在这一点上，Ledger 胜出，我们如实承认。
胁迫（五美元扳手）
没有任何钱包能抵抗人身胁迫。结构性的答案是 M-of-N 多签：任何单独一人，无论是否被胁迫，都无法转移资金。
安全芯片胜出的场景
认证安全芯片（CC EAL5+）能抵御物理密钥提取：开盖、电压毛刺、侧信道。如果你的主要风险是被高水平攻击者物理夺取签名设备，专用芯片在这一场景下确实比手机防御得更好。我们发布这个页面，是为了让你清醒地做出取舍，而不是事后才发现。
为什么仍然选择软件
2023 年，Ledger Recover 证明了：安全芯片做什么，由固件说了算。芯片保护助记词，直到厂商发布了一条出口。你无法检视的组件，只在厂商愿意时才保护你。比起必须相信的承诺，我们更青睐可以亲自检验的属性。