Blog

Un portefeuille matériel Trezor offre une isolation cryptographique forte, mais son efficacité dépend aussi de l’environnement logiciel qui le contrôle. Utiliser Trezor Suite sur une machine connectée à Internet introduit une surface d’attaque : malveillances du système d’exploitation, logiciels espions, injections de dépendances, ou mises à jour compromises peuvent affecter les données affichées à l’écran sans jamais toucher aux clés privées stockées dans le matériel. Pour les utilisateurs gérant des volumes importants ou opérant dans un contexte de menace élevée, une configuration air-gapped—une machine isolée sans connexion Internet permanente—réduit ce risque en éliminant les vecteurs d’attaque réseau et en permettant un contrôle strict des mises à jour firmware.

Cet isolement ne signifie pas rejeter complètement la commodité ou accepter une complexité insurmontable. Trezor Suite a été conçu par SatoshiLabs avec des mécanismes de vérification cryptographique à chaque connexion matérielle, une architecture open-source auditable, et une politique de ne jamais demander la phrase de récupération sur l’écran. Ces garanties fonctionnent même dans un environnement air-gapped, à condition de mettre en place une procédure d’installation et de mise à jour appropriée. Un utilisateur avancé peut déployer une machine Linux dédiée, télécharger Trezor Suite hors ligne avec vérification SHA256, mettre à jour le firmware de manière contrôlée, et maintenir une séparation physique tout en conservant un accès pratique à la gestion des actifs.

Pourquoi une architecture air-gapped transforme le profil de risque

Une machine connectée à Internet exécute en permanence un grand nombre de processus : mise à jour de logiciels système, services de synchronisation cloud, applications de fond, et tout ce qu’un administrateur système ou un distributeur de logiciels peut injecter discrètement. Même si une seule de ces couches est compromise, les données affichées par Trezor Suite—adresses, soldes, historique des transactions—peuvent être falsifiées. Un attaquant n’a pas besoin de voler les clés privées pour causer un tort considérable : il suffit de modifier l’adresse de destination juste avant qu’un utilisateur ne signe une transaction, ou de montrer un solde incorrect pour inciter à une mauvaise décision.

Un environnement air-gapped élimine les vecteurs d’attaque réseau courants. Aucun malveillance ne peut atteindre la machine par un serveur de mise à jour, une dépendance téléchargée, une connexion à un nœud malveillant, ou une exploitation de vulnérabilité zéro jour via Internet. Cela suppose que la machine elle-même a été installée à partir de sources fiables et que ses médias de démarrage n’ont pas été compromis avant la mise en place de l’isolement. La chaîne de confiance commence donc à l’installation : un système d’exploitation Linux fraîchement installé à partir d’une ISO vérifiée, sur un matériel sans antécédents suspects, crée une base plus solide qu’une réutilisation de machine existante.

L’impact pratique est que Trezor Suite peut fonctionner avec une surface d’attaque réduite à ce qui est localement accessible. Un attaquant qui souhaite compromettre l’application doit avoir accès physique à la machine ou connaître les détails d’une vulnérabilité logicielle qui n’est jamais patchée parce que le système ne se connecte pas à Internet. Cette dernière situation crée une tension : un isolement maximum signifie refuser les mises à jour de sécurité système, ce qui expose à des vulnérabilités connues. Une configuration air-gapped pragmatique équilibre cela en appliquant les mises à jour critiques par un processus contrôlé et rare, plutôt que d’accepter automatiquement chaque changement.

Les clés privées elles-mêmes restent dans le matériel Trezor, jamais exposées à l’écran ou à la mémoire de la machine. Les transactions sont signées dans le dispositif, et seule la signature retourne à l’application pour être diffusée. Cette architecture signifie qu’une compromission complète de Trezor Suite sur la machine air-gapped ne peut pas extraire les clés. Cependant, elle peut toujours modifier l’adresse de destination avant signature ou afficher un faux solde. C’est pourquoi le contrôle de l’environnement hôte reste crucial, même avec une clé matérielle.

Préparation matérielle et sélection du système d’exploitation

La première décision est le type de machine à utiliser. Une machine dédiée qui n’a jamais servi à d’autres usages est préférable, car elle réduit la probabilité de compromission héritée. Un vieux portable, un ordinateur de bureau de rechange, ou un mini-ordinateur monoplacard tel qu’un Raspberry Pi ou un mini PC industrel peut faire l’affaire. L’important est que le disque dur soit soit neuf, soit complètement effacé par des moyens sûrs—une simple suppression de fichiers ne suffit pas, car les données demeurent techniquement recuperables.

Pour l’effacement sécurisé, utiliser des outils comme shred sous Linux ou les commandes de remplissage de disque peut être utile, mais sur un nouveau disque ou un système déjà considéré comme non sécurisé, une simple réinstallation est généralement suffisante. La priorité est que le système d’exploitation lui-même soit une installation fraîche sans couches de configuration antérieures. Linux est généralement le choix préféré pour les environnements air-gapped en raison de sa transparence, du peu de dépendances externes obligatoires, et de la possibilité de construire une configuration minimale. Les distributions légères comme Debian, Ubuntu Server, Fedora Minimal, ou Alpine réduisent la surface d’attaque en comparaison avec des environnements de bureau complets.

La configuration matérielle pour une machine Trezor Suite air-gapped n’a pas besoin d’être puissante. Un processeur double cœur, 4 GB de RAM, et un stockage SSD de 50 GB suffisent amplement. L’essentiel est que le matériel soit stable et que la dissipation thermique soit adéquate pour une opération long terme. Si la machine n’a jamais d’accès Internet, elle n’a pas besoin d’une carte réseau WiFi ou Bluetooth à moins que ce ne soit explicitement nécessaire. Réduire les capacités de communication disponibles signifie réduire les angles d’attaque potentiels.

Une considération supplémentaire concerne le clavier et la souris. Utiliser des périphériques USB filaires plutôt que Bluetooth ou sans fil élimine un vecteur de compromission potentiel. De même, éviter une caméra web ou un microphone intégrés simplifie la posture de sécurité. L’idée sous-jacente est que chaque port, chaque capteur, chaque capacité de communication est une porte potentielle, et une machine air-gapped devrait avoir aussi peu de portes que possible.

Installation hors ligne de Trezor Suite Desktop

L’installation hors ligne de Trezor Suite commence par télécharger l’application sur une machine connectée à Internet, puis transférer le fichier d’installation vers la machine air-gapped. Cela nécessite un support de transfert : une clé USB formatée, un disque dur externe, ou même une disquette si elle est disponible. Le transfert doit se faire de manière à ne pas contaminer la machine air-gapped avec d’autres logiciels ou fichiers potentiellement malveillants.

Commencer par vérifier le hash SHA256 du fichier d’installation téléchargé. Accéder à Trezor hardware wallet ou à trezor.io directement depuis la machine connectée, télécharger l’installateur pour le système d’exploitation cible (Linux, Windows, ou macOS), et enregistrer le hash fourni. Sur la machine connectée, exécuter sha256sum nom_du_fichier pour calculer le hash, puis comparer avec le hash officiel. Un hash non correspondant signifie que le fichier a été modifié ou corrompu durant le téléchargement. Dans ce cas, télécharger à nouveau depuis une autre source ou avec une autre méthode.

Une fois le hash vérifié, copier le fichier d’installation sur le support de transfert (la clé USB), puis éjecter en toute sécurité. Connecter la clé USB à la machine air-gapped, copier le fichier d’installation dans un répertoire temporaire, puis vérifier le hash une seconde fois pour s’assurer qu’il n’a pas été endommagé durant le transfert. Cela peut paraître répétitif, mais c’est la seule protection contre une corruption silencieuse.

L’installation elle-même dépend du système d’exploitation. Sous Linux, Trezor Suite est souvent disponible via des gestionnaires de paquets, mais pour une machine air-gapped, une installation manuelle depuis le fichier téléchargé est plus contrôlée. Extraire l’archive, examiner le contenu si possible, puis exécuter l’installateur. SatoshiLabs fournit généralement un fichier .AppImage pour Linux, qui peut être rendu exécutable avec chmod +x et lancé directement. Windows et macOS utilisent des installateurs graphiques standards. Après l’installation, lancer l’application et se connecter au matériel Trezor pour vérifier que tout fonctionne.

Mises à jour firmware isolées : procédure et vérification

Le firmware du matériel Trezor—c’est-à-dire le code qui s’exécute dans l’appareil lui-même—est périodiquement mis à jour pour ajouter des fonctionnalités, corriger des bogues, ou résoudre des problèmes de sécurité. Sur une machine connectée à Internet, Trezor Suite télécharge automatiquement les nouvelles versions et les propose à l’installation. Sur une machine air-gapped, ce processus automatique est impossible, de sorte qu’une procédure manuelle devient nécessaire.

La première étape est de télécharger le fichier de firmware depuis trezor.io sur la machine connectée à Internet. SatoshiLabs publie les fichiers de firmware de manière centralisée avec des informations de hachage et des signatures numériques. Télécharger la version souhaitée, noter le hash SHA256 officiellement publiée, et vérifier le hash du fichier téléchargé. Transférer le fichier vers la machine air-gapped par clé USB, comme pour l’installateur.

Sur la machine air-gapped, connecter le matériel Trezor à Trezor Suite, naviguer vers les paramètres, et rechercher l’option de mise à jour du firmware. Une machine air-gapped ne pourra pas chercher en ligne une nouvelle version, de sorte que l’interface proposera d’importer un fichier de firmware local. Sélectionner le fichier téléchargé et transféré, et l’application procèdera à la mise à jour. SatoshiLabs implémente une vérification d’intégrité cryptographique à chaque étape, de sorte que si le fichier a été modifié d’une quelconque manière, la mise à jour échouera avec un message d’erreur.

Une considération importante : les mises à jour firmware peuvent être rares ou espacées. Une machine air-gapped fonctionnera correctement avec un firmware relativement ancien tant que les fonctionnalités de base restent intactes. Cependant, si une vulnérabilité de sécurité majeure est découverte dans le firmware, attendre longtemps pour mettre à jour augmente le risque. L’équilibre pragmatique est d’appliquer les mises à jour de sécurité critique dès qu’elles deviennent disponibles (en les téléchargeant via Internet sur une autre machine), tandis que les mises à jour mineures ou les ajouts de fonctionnalités peuvent être reportés ou ignorés si la machine isolée remplit déjà son objectif.

Gestion des transactions et des adresses en environnement isolé

Une fois Trezor Suite en place sur la machine air-gapped et connectée au matériel, l’application affiche les adresses de réception et les soldes. Créer une nouvelle adresse ou vérifier une adresse existante fonctionne normalement : Trezor Suite demande au matériel de générer l’adresse, et le matériel affiche l’adresse sur son petit écran pour confirmation. Cette interaction entre le logiciel et le matériel est le cœur de la sécurité : l’écran du matériel est considéré comme plus fiable que l’écran de la machine, car il ne peut pas être compromis par des malveillances logicielles sur la machine elle-même.

Recevoir des fonds est simple : afficher l’adresse depuis Trezor Suite, la communiquer à l’expéditeur, et attendre la confirmation sur la blockchain. Aucune connexion Internet n’est nécessaire pour cette étape ; l’adresse est juste une représentation textuelle du point de réception. Envoyer des fonds, en revanche, présente une complexité supplémentaire. Trezor Suite doit connaître le solde actuel et les transactions non dépensées (UTXO) pour construire une transaction valide. Sur une machine connectée à Internet, l’application se connecte à un serveur de blockchain ou à un nœud complet pour obtenir ces données. Sur une machine air-gapped, cette connexion est impossible.

La solution est une deux machines ou un processus de transfert manuel. L’approche la plus simple est de construire la transaction sur la machine air-gapped en utilisant les données manuellement importées, puis de la signer avec le matériel Trezor. Cela nécessite soit une synchronisation manuelle du solde (en copiant les données UTXO depuis un explorateur de blockchain sur la machine connectée), soit en maintenant un portefeuille “view-only” sur une machine connectée qui fournit les détails transactionnels à la machine air-gapped. L’architecture view-only est plus sûre car elle expédie seulement les données publiques (adresses et montants observés), pas les clés privées.

Architecture two-machine pour les transactions avancées

Une configuration avancée utilise deux machines : une machine “air-gapped” avec Trezor Suite et le matériel, et une machine “connectée” avec un portefeuille view-only ou un explorateur de blockchain local. La machine connectée synchronise régulièrement les données de la blockchain, note les adresses de réception du portefeuille, et enregistre les UTXO disponibles. Lorsqu’une transaction doit être envoyée, les détails sont transférés à la machine air-gapped par une clé USB.

Sur la machine air-gapped, Trezor Suite ou un outil dédié construit la transaction à l’aide des données UTXO importées. L’utilisateur vérifie les détails : destination, montant, frais. Une fois conforme, la transaction est signée par le matériel Trezor, ce qui crée une transaction complètement signée qui ne nécessite plus les clés privées. La transaction signée est ensuite transférée à la machine connectée, où elle est diffusée à la blockchain.

Cette approche sépare le risque de compromission : la machine connectée peut être compromise sans impact direct sur les clés privées, et la machine air-gapped reste isolée et inaccessible à distance. Le coût est une complexité opérationnelle accrue et le besoin d’un processus de transfert fiable. Pour les utilisateurs qui ne font que rarement des transactions ou qui acceptent un délai de quelques heures entre la décision de dépenser et la confirmation sur la blockchain, cette configuration offre un équilibre solide entre sécurité et praticité.

Sauvegardes, récupération et gestion des phrases de secours

La phrase de récupération (seed phrase) de 12 ou 24 mots associée au matériel Trezor est générée une seule fois lors de la création initiale du portefeuille. SatoshiLabs exige que cette phrase soit écrite sur papier ou gravée sur un matériau durable, puis stockée en lieu sûr. Trezor Suite ne demande jamais cette phrase sur l’écran—c’est une garantie de sécurité fondamentale. Si une application demande la phrase de récupération, ce n’est pas Trezor Suite et c’est une escroquerie.

Sur une machine air-gapped, les mêmes précautions s’appliquent. Écrire la phrase manuellement lors de la création du portefeuille, vérifier chaque mot, et stocker les copies écrites dans un endroit sécurisé. Une sauvegarde cryptée du portefeuille (sans les clés privées) peut être réalisée et stockée sur le support de transfert pour une récupération plus rapide si le système d’exploitation a besoin d’être réinstallé. Cependant, jamais une clé privée, une phrase de récupération, ou le contenu sensible du portefeuille ne doit quitter le matériel Trezor.

La sécurité des sauvegardes est un processus, pas un événement unique. Une phrase de récupération conservée indéfiniment dans le même endroit risque d’être découverte par un cambrioleur, d’être détruite par un sinistre, ou de s’effacer avec le temps. Une pratique robuste consiste à stocker des copies en plusieurs lieux géographiques, à les placer dans des contenants durable contre les intempéries et le feu, et à tester régulièrement la procédure de récupération avec un nouveau portefeuille Trezor dans un environnement sûr. Cela garantit que la phrase fonctionne réellement si elle doit être utilisée.

Maintenance long terme et mise à jour du système d’exploitation

Une machine air-gapped ne reçoit pas les mises à jour automatiques du système d’exploitation. Cela signifie qu’elle fonctionnera avec la version de Linux (ou d’un autre système) présente au moment de l’installation initiale. Au fil du temps, des vulnérabilités seront découvertes dans ce système d’exploitation. Une maintenance à long terme exige d’équilibrer la sécurité contre les vulnérabilités connues avec la stabilité et la réduction des risques d’instabilité introduits par trop de changements.

La pratique recommandée est d’appliquer les mises à jour critiques de sécurité à intervalles réguliers (par exemple, tous les trois à six mois) en téléchargeant les paquets sur une machine connectée, en les vérifiant, et en les transférant par clé USB. Les mises à jour mineures ou les changements cosmétiques peuvent être ignorés sans problème. Avant chaque mise à jour, créer une sauvegarde de la configuration de Trezor Suite et du système d’exploitation entier si possible, de sorte qu’une restauration soit possible si quelque chose se passe mal.

Une autre approche est de ne jamais mettre à jour après l’installation initiale, de façon à sceller l’état du système. C’est valide pour les utilisateurs qui considèrent l’isolement comme plus important que la correction des vulnérabilités connues. Cependant, cela présuppose que les vulnérabilités découvertes ultérieurement ne peuvent pas être exploitées à distance—une hypothèse correcte pour une machine sans connexion Internet, mais incorrecte si la machine est physiquement contrôlée par un attaquant.

Sécurité physique et procédures d’accès

Une machine air-gapped est utile seulement si elle reste air-gapped. Cela signifie maintenir une discipline concernant ce qui est connecté à la machine et quand. Établir une règle claire : jamais de connexion à Internet, jamais de logiciels installés à partir du web, jamais de connectivité Bluetooth ou WiFi activée. Utiliser uniquement le port USB pour le transfert de données via une clé USB dédiée, et isoler physiquement la machine lorsqu’elle n’est pas en usage.

La sécurité physique importe. Si quelqu’un peut accéder à la machine sans surveillance, il peut installer des logiciels de logiciel espion, modifier le disque dur, ou subtiliser le matériel Trezor lui-même. Une serrure à clé, un rangement sécurisé, ou simplement un lieu physiquement contrôlé devient important. Pour les utilisateurs à très haut risque, une approche supplémentaire est d’utiliser une clé USB bootable qui contient le système d’exploitation entier et Trezor Suite, plutôt que d’installer sur le disque dur. À chaque démarrage, la machine démarre depuis la clé USB, exécute la session complète dans la RAM, et efface tout à l’arrêt. Cette approche augmente la sécurité contre la persistance de malveillances, mais elle est moins pratique pour un usage quotidien.

Un élément final concerne les dépendances de l’application elle-même. Trezor Suite pour Linux dépend d’une série de bibliothèques partagées. Sur une machine air-gapped très isolée, ces dépendances peuvent devenir obsolètes avec le temps. Documenter les dépendances requises et télécharger les versions correctes lors de l’installation initiale permet de reconstruire l’environnement si nécessaire. Le code source ouvert de Trezor Suite signifie également qu’une compilation personnalisée est possible si un utilisateur souhaite un contrôle total.