Comment mettre à jour le micrologiciel du grand livre sans perdre la crypto ?

Mécanique du protocole de mise à jour du micrologiciel

1. Les appareils Ledger maintiennent une séparation stricte entre le micrologiciel et le stockage de la clé privée. Le micrologiciel réside dans la mémoire flash tandis que les clés cryptographiques sont sécurisées dans une puce d'élément sécurisé certifiée.

2. Lors de l'installation du micrologiciel, l'appareil effectue une vérification de signature à l'aide du certificat racine public de Ledger intégré au matériel. Les binaires non signés ou falsifiés sont immédiatement rejetés.

3. Le processus de mise à jour n’accède, ne lit ni ne transmet aucun élément de clé privée. L'élément sécurisé reste isolé pendant toute la séquence de clignotement.

4. Les mises à jour du micrologiciel sont fournies sous forme de correctifs delta signés, minimisant le volume de transfert de données et réduisant la surface d'exposition pendant le téléchargement et l'installation.

5. Un redémarrage obligatoire a lieu après l'installation pour activer la nouvelle logique du micrologiciel ; ce redémarrage ne réinitialise ni n'efface la mémoire persistante de l'élément sécurisé.

Étapes de vérification avant la mise à jour

1. Les utilisateurs doivent confirmer que l'appareil est connecté via USB et allumé avant de lancer la mise à niveau du micrologiciel via l'application de bureau Ledger Live.

2. Ledger Live valide la version actuelle du micrologiciel par rapport à la dernière version officiellement publiée disponible sur ledger.com/download.

3. L'application recoupe le hachage SHA-256 du binaire du micrologiciel téléchargé avec les hachages publiés sur le référentiel GitHub de Ledger sous les validations vérifiées.

4. L'écran de l'appareil affiche un code de confirmation à 4 chiffres correspondant à celui affiché dans Ledger Live — cela garantit une protection de l'homme du milieu lors de l'établissement de la liaison de communication.

5. Les utilisateurs sont invités à vérifier physiquement l'intégrité du chargeur de démarrage de l'appareil en recherchant l'étiquette « Bootloader » à l'écran avant de continuer.

Comportement des éléments sécurisés pendant le clignotement

1. L'élément sécurisé ST33K1M5 utilisé dans les modèles Ledger Nano X et S Plus fonctionne indépendamment de l'unité principale du microcontrôleur lors des mises à jour du micrologiciel.

2. Toutes les opérations cryptographiques, y compris la dérivation du germe BIP-39, la signature ECDSA et le cryptage AES-256, continuent de s'exécuter exclusivement à l'intérieur de l'élément sécurisé sans interférence externe.

3. Les modifications du firmware n'altèrent pas le firmware interne de l'élément sécurisé ni ses clés d'attestation ; ceux-ci restent immuables sur toutes les générations d’appareils.

4. Même si le micrologiciel principal du MCU est corrompu au cours de la mise à jour, l'élément sécurisé conserve toutes ses fonctionnalités et peut récupérer l'appareil via le mode chargeur de démarrage.

5. Aucune opération d'exportation ou de sauvegarde de clé privée n'est déclenchée lors de la mise à jour du micrologiciel : la phrase de récupération reste uniquement sous le contrôle de l'utilisateur et ne quitte jamais l'appareil.

Indépendance de la phrase de récupération

1. La phrase de récupération BIP-39 de 24 mots est générée une fois lors de la configuration initiale de l'appareil et stockée uniquement dans l'élément sécurisé.

2. Les mises à jour du micrologiciel ne demandent ni n'exigent la nouvelle saisie de la phrase de récupération à aucun stade du processus.

3. Si un utilisateur perd l'accès à son appareil après une mise à jour, il conserve le contrôle total des actifs en restaurant la même phrase de récupération sur n'importe quel portefeuille matériel compatible.

4. Ledger ne stocke, ne transmet ni n'associe de phrases de récupération aux numéros de série des appareils, aux versions du micrologiciel ou aux comptes Ledger Live.

5. La phrase de récupération est la seule source de vérité pour la propriété des actifs : elle fonctionne de manière identique quelle que soit la version du micrologiciel ou la révision du matériel.

Foire aux questions

Q : Puis-je mettre à jour le micrologiciel pendant que mon Ledger est connecté à un ordinateur compromis ? R : Oui, mais uniquement si Ledger Live s'exécute en mode sandbox et que l'appareil applique des restrictions strictes du protocole USB HID. L'élément sécurisé empêche l'extraction des clés privées même si un logiciel malveillant intercepte le trafic USB.

Q : Que se passe-t-il si l'alimentation est coupée en cours de mise à jour ? R : L'appareil passe en mode de récupération du chargeur de démarrage. La restauration du micrologiciel vers la version stable précédente est automatiquement tentée, préservant l'état des éléments sécurisés et toutes les clés stockées.

Q : La mise à jour du micrologiciel modifie-t-elle les adresses de mon portefeuille ? R : Non. La dérivation d'adresse suit les normes BIP-44, BIP-49 et BIP-84 définies par votre phrase de récupération — le micrologiciel n'a aucune influence sur la logique de génération d'adresse.

Q : Y a-t-il un risque de blocage de l'appareil lors de la mise à jour du micrologiciel ? R : Le bricking est pratiquement impossible en raison de l'architecture flash à deux banques et des mécanismes de secours du chargeur de démarrage au niveau matériel certifiés selon les critères communs EAL5+.