Ví phần cứng được giải thích: ký trên thiết bị, màn hình an toàn và bảo mật cấp chip
Ví phần cứng được giải thích: chúng là thiết bị ký kết được thiết kế riêng để tạo ra và lưu giữ các khóa riêng của bạn và chỉ xuất ra các giao dịch đã ký, vì vậy một máy tính bị xâm phạm không thể đơn giản sao chép các khóa của bạn. Kết quả bảo mật phụ thuộc vào hai điều mà bạn có thể xác minh: liệu các khóa có bao giờ rời khỏi thiết bị hay không và liệu màn hình và kiến trúc chip của thiết bị có ngăn chặn cả việc lừa đảo và trích xuất hay không.
Điểm chính
- Một ví phần cứng không lưu trữ tài sản tiền điện tử trên thiết bị. Nó lưu trữ các khóa riêng điều khiển các quỹ trên chuỗi.Bảo vệ cốt lõi là ký giao dịch trên thiết bị, nơi chỉ có giao dịch đã ký rời khỏi thiết bị và khóa riêng không bao giờ chạm vào máy tính hoặc điện thoại kết nối.Bảo mật ví phần cứng thay đổi theo thiết kế chip, với Ledger nhóm các thiết kế phổ biến thành các MCU chung, "bộ nhớ an toàn" và các Phần tử Bảo mật với sự đảm bảo Tiêu chí Chung.Màn hình thiết bị là điểm kiểm tra thực thi: "những gì bạn thấy là những gì bạn ký" là sự khác biệt giữa việc chặn phần mềm độc hại của máy chủ và phê duyệt giao dịch sai.Cách mà ví phần cứng bảo vệ các khóa tiền điện tử
- Quyền sở hữu trong tiền điện tử là kiểm soát một khóa riêng, không phải sở hữu một thiết bị. Nhiệm vụ của thiết bị là giữ cho khóa riêng đó không bao giờ bị lộ ra môi trường kết nối internet, nơi mà hầu hết các vụ trộm thực sự xảy ra: trình duyệt, tiện ích mở rộng, ứng dụng di động và hệ điều hành bên dưới chúng. Đó là lý do tại sao mô hình tâm lý sạch là "máy ký", không phải "két". Các tài sản sống trên chuỗi, và ví phần cứng giữ bí mật có thể ủy quyền cho việc di chuyển.
- Sự phân biệt đó quan trọng vì nó thay đổi ý nghĩa thực sự của "lưu trữ lạnh" trên màn hình. Một ví phần cứng có thể được cắm vào một máy tính xách tay và vẫn an toàn hơn một "ví nóng", vì máy tính xách tay không bao giờ nhận được khóa riêng. So sánh của Coin Bureau khung sự khác biệt chính xác ở đó: ví phần cứng giữ các khóa trên một thiết bị riêng biệt và ký nội bộ, chỉ trả lại giao dịch đã ký để phát sóng.
- Bảo vệ thứ hai là xác minh, không phải cách ly. Mô hình bảo mật của Ledger dựa nhiều vào màn hình an toàn được điều khiển bởi cùng một ranh giới bảo mật giữ các khóa, vì vậy thiết bị có thể hiển thị địa chỉ đích thực sự và các chi tiết giao dịch khác ngay cả khi máy chủ bị nhiễm. Đó là thuộc tính "những gì bạn thấy là những gì bạn ký".
- Đối xử với máy tính hoặc điện thoại như một địa điểm không đáng tin cậy, và coi màn hình ví phần cứng như xác nhận thực thi cuối cùng.
Đây cũng là nơi mà bối cảnh rộng hơn của các loại ví tiền điện tử được giải thích trở nên hữu ích. "Ví" là ngôn ngữ quá tải. Sự phân chia có ý nghĩa là liệu khóa riêng có bao giờ tồn tại trong một môi trường đa mục đích (nóng) hay vẫn nằm trong một thiết bị được thiết kế riêng để chống lại việc trích xuất và thao tác (phần cứng).
Luồng ký giao dịch trên thiết bị
Luồng này đơn giản trên bề mặt, nhưng bảo mật đến từ nơi mà mỗi bước xảy ra. Một giao dịch gửi, hoán đổi hoặc tương tác hợp đồng bình thường bắt đầu trong một ứng dụng ví trên máy tính xách tay hoặc điện thoại, chuẩn bị một giao dịch chưa ký. Tải trọng chưa ký đó chỉ là hướng dẫn: địa chỉ nào để gửi đến, số tiền nào, mạng nào, và đối với "hợp đồng thông minh", cuộc gọi chức năng nào đang được phê duyệt.Từ đó, chuỗi là: 1.
Ứng dụng máy chủ xây dựng một giao dịch chưa ký và chuyển nó đến ví phần cứng qua USB, Bluetooth hoặc một phương tiện khác. 2. Ví phần cứng hiển thị các trường quan trọng trên màn hình của nó để xác minh của con người. 3. Thiết bị ký giao dịch nội bộ bằng khóa riêng được lưu trữ trên thiết bị. 4. Thiết bị chỉ trả lại giao dịch đã ký cho ứng dụng máy chủ, sau đó phát sóng nó đến mạng.
Coin Bureau rõ ràng về thuộc tính bảo mật chính: khóa riêng không bị lộ ra internet, ứng dụng, hoặc thậm chí máy tính hoặc điện thoại kết nối.
Chỉ có giao dịch đã ký quay lại.Biến thể "cách ly không khí" là cùng một logic với một phương tiện khác. Thay vì một liên kết dữ liệu trực tiếp như USB hoặc Bluetooth, một thiết bị cách ly không khí có thể di chuyển giao dịch chưa ký vào và giao dịch đã ký ra bằng cách sử dụng mã QR. Khẳng định bảo mật không phải là sự cách ly kỳ diệu. Nó là rằng bước ký vẫn xảy ra trên một thiết bị riêng biệt, và người dùng vẫn phải xác nhận những gì đang được ký trên màn hình thiết bị.Đối với các nhà giao dịch và người dùng tích cực, đây là lợi thế hoạt động trong những tuần xấu. Khi môi trường máy chủ có vấn đề, một ví phần cứng buộc một bước xác nhận độc lập thứ hai. Điều đó không làm cho các trò lừa đảo trở nên không thể, nhưng nó chặn chế độ thất bại dễ nhất của ví nóng: trích xuất khóa lén lút.
Tại sao chip bên trong quan trọng
Mỗi ví phần cứng là một máy tính nhỏ, và lựa chọn chip là ranh giới bảo mật. Phân tích của Ledger là hữu ích vì nó ánh xạ đến khả năng kháng tấn công thực tế thay vì nhãn tiếp thị: các đơn vị vi điều khiển chung (MCUs), chip "bộ nhớ an toàn", và các Phần tử Bảo mật. Tất cả các ví phần cứng cần chip để lưu trữ khóa riêng, chạy ứng dụng và điều khiển màn hình. Câu hỏi là liệu những chip đó có được thiết kế để bảo vệ bí mật dưới tấn công hay không.
Phê bình của Ledger về các MCU chung là thẳng thắn: chúng linh hoạt và phổ biến trong điện tử hàng ngày, nhưng chúng thường không kháng lại các cuộc tấn công vật lý và có thể dễ bị tổn thương trước các kỹ thuật rẻ tiền như làm gián đoạn điện áp và đồng hồ.
Cụm từ bảo mật có thể giảm thiểu một số rủi ro đó, nhưng Ledger chỉ ra sự đánh đổi: một cụm từ bảo mật trở thành một điểm thất bại duy nhất nếu nó yếu, và một vector mất mát tự gây ra nếu nó quá phức tạp để ghi lại và phục hồi một cách đáng tin cậy."Bộ nhớ an toàn" được định vị như một giải pháp trung gian. Ledger cho biết những chip này có thể bao gồm các biện pháp đối phó với các cuộc tấn công vật lý, nhưng chúng thiếu sự đảm bảo đến từ chứng nhận của phòng thí nghiệm bảo mật bên thứ ba. Ledger cũng chỉ ra một vấn đề kiến trúc quan trọng hơn nhãn: một số thiết kế bộ nhớ an toàn yêu cầu một chip thứ hai để xử lý việc ký "Bitcoin", điều này tạo ra bề mặt tấn công khi vật liệu ký phải di chuyển giữa các thành phần.Một phần tử bảo mật là loại cao cấp trong khung của Ledger. Đây là các chip chuyên dụng thường được sử dụng trong hộ chiếu và thẻ tín dụng, và chúng được đánh giá theo các Mức Đảm bảo Đánh giá Tiêu chí Chung (CC). Ledger mô tả bảy mức EAL lên đến EAL7+, trong đó mức EAL cao hơn chỉ ra sự đảm bảo cao hơn từ việc thử nghiệm. Ledger cũng nêu rõ các chứng nhận cụ thể được sử dụng trong dòng sản phẩm của mình: Nano X sử dụng một Phần tử Bảo mật EAL5+, trong khi Nano S Plus và Stax sử dụng EAL6+.
Các mối đe dọa mà ví phần cứng giảm thiểu và không
Chiến thắng rõ ràng là sự xâm phạm từ xa của thiết bị máy chủ. Nếu phần mềm độc hại xuất hiện trên một máy tính xách tay chạy ví trình duyệt, kết quả tốt nhất của kẻ tấn công thường là trích xuất các khóa hoặc cụm từ hạt giống và rút tiền mà không cần người dùng nhận ra. Ví phần cứng cắt đứt con đường đó vì khóa riêng không cần phải tồn tại trên máy chủ, và hoạt động ký diễn ra bên trong thiết bị.
Đó là lý do tại sao ví phần cứng thường trông tốt nhất trong các sự kiện phần mềm độc hại trên toàn hệ sinh thái. Bài viết của CCN về một sự cố chuỗi cung ứng JavaScript/NPM quy mô lớn bao gồm bình luận kêu gọi người dùng không có ví phần cứng tạm dừng các giao dịch trên chuỗi. Điểm không phải là mọi ví đều bị rút cạn.
Điểm là khi chuỗi cung ứng phần mềm đang cháy, các môi trường ví nóng ngay lập tức thừa hưởng rủi ro đó, trong khi một ví phần cứng vẫn buộc một bước ký trên thiết bị.
Danh mục thứ hai là các cuộc tấn công vật lý và kiểu phòng thí nghiệm, nơi thiết kế chip quan trọng. Ledger liệt kê ba gia đình tấn công mà các Phần tử Bảo mật được xây dựng để chống lại: các cuộc tấn công kênh bên (suy luận bí mật từ bức xạ điện từ hoặc mức tiêu thụ điện), các cuộc tấn công lỗi (tiêm lỗi bằng laser, làm gián đoạn điện áp, thao tác nhiệt độ), và các cuộc tấn công phần mềm (các nỗ lực thao tác hệ điều hành hoặc ứng dụng nhúng).
Khẳng định của Ledger là các Phần tử Bảo mật kháng lại việc lập trình lại một khi đã được lập trình, điều này là một phần lý do tại sao chứng nhận lại quan trọng.Điều mà ví phần cứng không giải quyết được là ý định. Một người dùng vẫn có thể phê duyệt một giao dịch xấu nếu màn hình thiết bị không được kiểm tra cẩn thận. "Nhiễm độc địa chỉ" là ví dụ cổ điển về cách điều này thất bại trong thực tế: kẻ tấn công không cần khóa riêng nếu người dùng bị lừa gửi đến địa chỉ sai. Thiết bị chỉ có thể hiển thị những gì đang được ký. Nó không thể quyết định liệu địa chỉ đó có phải là địa chỉ mà người dùng muốn hay không.Đây là nơi mà các thực hành tốt nhất của ví phần cứng không còn là một danh sách kiểm tra mà bắt đầu trở thành kỷ luật thực thi. Nếu địa chỉ, số tiền, hoặc mạng được hiển thị trên thiết bị không khớp với ý định của người dùng, hành động đúng là từ chối và giả định rằng máy chủ đã bị xâm phạm hoặc quy trình làm việc đang bị thao tác.
Lựa chọn giữa ví phần cứng và ví phần mềm
Chi phí và ma sát là những đánh đổi chân thực. Coin Bureau đưa ra mức giá ví phần cứng điển hình như một khoản mua một lần, với các ví dụ trong khoảng từ 59 đến 200 đô la trở lên, trong khi ví phần mềm thường miễn phí sử dụng ngoại trừ phí mạng. Sự khác biệt về giá đó là lý do tại sao nhiều người dùng chạy một thiết lập lai: một ví phần mềm cho các tương tác nhỏ, thường xuyên và một ví phần cứng cho các số dư lớn hơn hoặc để ký các giao dịch có rủi ro cao hơn.
Câu hỏi "ví phần cứng tốt nhất" thường được hỏi như thể nó có một câu trả lời phổ quát. Nó không có, vì các mô hình đe dọa khác nhau. Ai đó lo lắng về phần mềm độc hại từ xa và lừa đảo sẽ nhận được hầu hết lợi ích từ bất kỳ thiết kế nào giữ các khóa ra khỏi máy chủ và buộc xác nhận trên thiết bị.
Ai đó lo lắng về quyền truy cập vật lý, trộm thiết bị, hoặc các nỗ lực trích xuất tinh vi nên quan tâm nhiều hơn đến sự đảm bảo chip, khả năng chống giả mạo, và liệu màn hình an toàn có nằm trong cùng một ranh giới tin cậy với các khóa hay không.
Đây cũng là nơi mà các cuộc tranh luận giữa Ledger và Trezor thường trở nên lộn xộn. Coin Bureau lưu ý về vị trí của Trezor xung quanh bảo mật mã nguồn mở trong khi liệt kê nhiều thương hiệu hàng đầu, trong khi Ledger nhấn mạnh các Thành phần Bảo mật và sự đảm bảo Tiêu chuẩn Chung. Đó là những triết lý khác nhau và những tuyên bố khác nhau.
Kính đánh giá hữu ích là nhất quán giữa các nhà cung cấp: chìa khóa được tạo ra và lưu trữ ở đâu, ranh giới chip nào bảo vệ chúng, và chính xác những gì được hiển thị trên màn hình thiết bị trước khi ký.
Cuối cùng, các lựa chọn kết nối thay đổi quy trình làm việc nhiều hơn là thay đổi mô hình cốt lõi. Các thiết bị USB và Bluetooth vẫn phụ thuộc vào việc ký trên thiết bị. Các thiết kế cách ly không khí giảm sự phụ thuộc vào kết nối trực tiếp bằng cách sử dụng mã QR, nhưng chúng vẫn yêu cầu bước xác minh con người giống nhau.
Trong bản đồ rộng hơn về các loại ví tiền điện tử được giải thích, ví phần cứng là công cụ được xây dựng để giảm thiểu sự tiếp xúc của chìa khóa, không phải để loại bỏ mọi cách mà người dùng có thể ủy quyền cho điều sai.Những hiểu lầm phổ biến khiến mọi người gặp rắc rốiHiểu lầm đắt giá nhất là nghĩ rằng ví phần cứng "lưu trữ crypto." Ledger rõ ràng rằng ví phần cứng không lưu trữ crypto, chúng lưu trữ chìa khóa riêng. Quỹ nằm trên chuỗi. Thiết bị là bề mặt điều khiển cho việc ủy quyền.
Hiểu lầm thứ hai là coi "ví phần cứng" như một tầng bảo mật duy nhất. Phân loại của Ledger tự chỉ ra điều này: các thiết kế dựa trên MCU, các thiết kế bộ nhớ an toàn và các thiết kế thành phần bảo mật không tương đương nhau trong việc chống lại việc trích xuất vật lý. Ngay cả trong một danh mục, chi tiết kiến trúc cũng quan trọng.
Ledger lưu ý rằng một số phương pháp bộ nhớ an toàn cần một chip thứ hai để ký Bitcoin, điều này tạo ra rủi ro khi tài liệu nhạy cảm di chuyển giữa các thành phần.
Hiểu lầm thứ ba là tin rằng thiết bị làm cho các trò lừa đảo trở nên không liên quan. Một ví phần cứng chặn việc đánh cắp chìa khóa lén lút, nhưng nó không thể cứu một người dùng ký vào giao dịch sai. Màn hình bảo mật chỉ hữu ích nếu nó được sử dụng. Nếu thiết bị hiển thị một địa chỉ đích không khớp với bên đối tác dự định, việc phê duyệt vẫn là như việc nhấn nhầm một lệnh trên sàn giao dịch.
Hiểu lầm cuối cùng là quá chú trọng vào các từ ngữ như "lưu trữ lạnh" hoặc "cách ly không khí" trong khi bỏ qua con đường xác minh. "Ngoại tuyến" là từ viết tắt. Câu hỏi cụ thể là liệu chìa khóa riêng có bao giờ rời khỏi thiết bị và liệu thiết bị có thể hiển thị ý định giao dịch thực sự độc lập với máy chủ hay không.
Đó là sự khác biệt giữa một chiếc laptop bị xâm phạm gây khó chịu và gây chết người.Nhận địnhTôi đã thấy mọi người mua một ví phần cứng và sau đó coi ứng dụng đi kèm như một đối tượng đáng tin cậy, điều này làm đảo lộn toàn bộ mô hình bảo mật. Thiết bị là màn hình và người ký đáng tin cậy. Laptop là nơi không đáng tin cậy.
Nếu địa chỉ hoặc mạng trên thiết bị không khớp với điều dự định, phản ứng đúng duy nhất là từ chối và giả định rằng có điều gì đó ở phía trên đang sai.
Tôi cũng đã thấy "ngoại tuyến" được sử dụng như một từ an ủi chung trong các tình huống lo ngại về chuỗi cung ứng phần mềm. Bài viết của CCN về sự cố NPM ngày 2025-09-09 đã nắm bắt được bản năng đúng đắn: khi môi trường ví nóng bị ô nhiễm, việc buộc một bước ký trên thiết bị sẽ thu hẹp bán kính vụ nổ. Lợi thế không phải là huyền bí. Đó là một máy ký từ chối trao chìa khóa riêng của bạn cho bất cứ điều gì đang chạy trên máy tính của bạn hôm nay.
Nguồn
LedgerCoin BureauCCN
Ledger
Frequently Asked Questions
Ví phần cứng có lưu trữ tiền điện tử hay chỉ lưu trữ khóa?
Chúng lưu trữ khóa riêng, không phải tiền điện tử thực tế. Quỹ vẫn nằm trên chuỗi, và ví phần cứng giữ bí mật có thể ủy quyền cho các giao dịch. Ledger rõ ràng định nghĩa ví phần cứng theo cách này: quyền kiểm soát đến từ các khóa, không phải từ thiết bị giữ coin.
Ví phần cứng ký giao dịch như thế nào mà không tiết lộ khóa riêng?
Ứng dụng máy chủ gửi một giao dịch chưa ký đến thiết bị, thiết bị hiển thị chi tiết trên màn hình của nó, và việc ký diễn ra bên trong ví phần cứng. Chỉ giao dịch đã ký được trả lại cho máy tính hoặc điện thoại để phát sóng. Coin Bureau nhấn mạnh rằng khóa riêng không bao giờ bị lộ ra cho thiết bị kết nối.
Yếu tố bảo mật là gì và CC EAL có nghĩa là gì?
Yếu tố bảo mật là một chip chống giả mạo được sử dụng để tạo ra và lưu trữ bí mật cũng như thực hiện các thao tác nhạy cảm, thường thấy trong hộ chiếu và thẻ tín dụng. Common Criteria EAL là một xếp hạng đảm bảo tiêu chuẩn với bảy cấp độ lên đến EAL7+, trong đó các cấp độ cao hơn cho thấy mức độ đảm bảo cao hơn từ việc đánh giá. Ledger cho biết các thiết bị của họ sử dụng Yếu tố Bảo mật với chứng nhận EAL5+ hoặc EAL6+ tùy thuộc vào mô hình.
Ví phần cứng có miễn nhiễm với phần mềm độc hại và lừa đảo không?
Chúng giảm khả năng phần mềm độc hại có thể đánh cắp khóa riêng của bạn từ một máy tính bị xâm phạm, vì khóa vẫn ở trên thiết bị. Chúng không ngăn bạn phê duyệt một giao dịch độc hại nếu bạn không xác minh những gì màn hình thiết bị hiển thị. Mô hình bảo mật phụ thuộc vào bước xác nhận trên thiết bị được coi là cuối cùng.
Suy nghĩ về Ledger so với Trezor có phải là cách đúng để nghĩ về ví phần cứng tốt nhất không?
So sánh ranh giới bảo mật thì hữu ích hơn so với khẩu hiệu thương hiệu. Ledger nhấn mạnh Yếu tố Bảo mật và đảm bảo Common Criteria, trong khi Coin Bureau lưu ý vị trí của Trezor xung quanh bảo mật mã nguồn mở và liệt kê nhiều thương hiệu hàng đầu. Đánh giá thực tế là khóa có ở trên thiết bị hay không, cách kiến trúc chip chống lại việc trích xuất, và liệu màn hình có hiển thị đáng tin cậy những gì bạn đang ký hay không.
