Meilleures habitudes de sécurité du portefeuille que tout débutant en crypto devrait suivre

Protocoles de gestion du portefeuille physique

1. Rangez toujours les portefeuilles matériels dans un étui dédié non conducteur lorsqu'ils ne sont pas utilisés pour éviter les dommages causés par les décharges électrostatiques.

2. Ne laissez jamais un portefeuille froid branché sur un ordinateur compromis ou public, même pour les mises à jour du micrologiciel.

3. Évitez d'exposer les sauvegardes de phrases de départ à la lumière directe du soleil ou à des environnements très humides ; la dégradation du papier compromet la lisibilité et l’intégrité.

4. Utilisez des plaques de phrases en titane ou en acier inoxydable au lieu du papier laminé pour une durabilité et une résistance au feu à long terme.

5. Transportez un seul portefeuille fonctionnel par emplacement physique : ne répartissez jamais les clés actives sur plusieurs appareils stockés dans le même sac ou la même poche.

Vigilance du presse-papiers et des canaux d’entrée

1. Désactivez l'historique du Presse-papiers sur tous les systèmes d'exploitation (Windows, macOS et Linux) pour éliminer le stockage persistant en texte clair d'adresses ou de mnémoniques.

2. Évitez de coller des clés privées ou des phrases de récupération dans les fenêtres du navigateur, les éditeurs de texte ou les applications de messagerie, même si vous êtes hors ligne.

3. Installez uniquement des gestionnaires de presse-papiers audités et open source qui énoncent explicitement des politiques de rétention de données nulles.

4. Utilisez les fonctionnalités de signature de portefeuille matériel qui contournent entièrement le presse-papiers, comme la signature de transactions basée sur QR via des applications mobiles complémentaires.

5. Considérez chaque opération de copier-coller impliquant des données cryptographiques comme une surface d'attaque potentielle et non comme une commodité administrative.

Discipline de stockage des phrases de récupération

1. Écrivez manuellement des phrases de récupération à l'aide d'une encre de qualité archivistique sur du papier sans acide. Ne les saisissez jamais dans des notes numériques ou dans des services cloud.

2. Stockez les sauvegardes physiques dans des emplacements géographiquement distincts : aucune catastrophe naturelle ou aucun vol ne devrait compromettre toutes les copies.

3. Évitez les dérivations mnémoniques ou les substitutions de mots personnalisées ; adhérer strictement aux normes BIP-39 sans modification.

4. Ne stockez jamais de phrases de récupération à côté d'identifiants d'appareil, de noms de portefeuille ou d'horodatages qui pourraient faciliter les attaques de corrélation.

5. Testez chaque année les procédures de restauration en utilisant les fonds testnet avant de compter sur des sauvegardes en cas d'urgence réelle.

Hygiène du micrologiciel et du logiciel du portefeuille

1. Vérifiez les sommes de contrôle du micrologiciel directement à partir du référentiel GitHub officiel du fabricant, et non à partir de miroirs tiers ou de liens de forum.

2. Rejeter les mises à jour automatiques transmises via les interfaces de portefeuille ; lancez et confirmez manuellement chaque mise à niveau du micrologiciel après avoir croisé les notes de version.

3. Exécutez le logiciel de portefeuille exclusivement sur des installations de système d'exploitation isolées ou renforcées, jamais sur des ordinateurs de bureau à usage général avec les extensions de navigateur activées.

4. Désactivez Bluetooth et Wi-Fi sur les appareils compagnons du portefeuille matériel lors d'opérations critiques telles que la génération de clés ou la signature de transactions.

5. Tenez à jour un registre en lecture seule de toutes les versions de micrologiciels installées sur les appareils, y compris les dates de construction exactes et les hachages SHA256.

Contrôle de l'environnement de signature de transactions

1. Effectuez toutes les opérations de signature dans des salles privées et physiquement isolées, et non dans des espaces de travail partagés ou des installations de coworking publiques.

2. Assurez-vous qu'aucune caméra, haut-parleur intelligent ou appareil IoT n'est actif à portée visuelle ou audio pendant l'utilisation de la clé privée.

3. Utilisez des pochettes de blindage électromagnétique lors du transport de portefeuilles matériels entre des zones sécurisées afin de bloquer les fuites de signal involontaires.

4. Confirmez les détails de la transaction sur l'écran natif du portefeuille matériel (et pas uniquement sur l'écran de l'application connectée) pour détecter toute manipulation de l'affichage.

5. Rejetez toute transaction nécessitant plus de trois pressions consécutives sur un bouton de l'appareil. Une interaction excessive peut indiquer un comportement malveillant du micrologiciel.

Foire aux questions

Q1 : Puis-je stocker ma phrase de départ dans un gestionnaire de mots de passe ? Le stockage de phrases de départ dans des gestionnaires de mots de passe viole les principes fondamentaux d’auto-garde. La plupart des gestionnaires de mots de passe ne disposent pas d'environnements d'exécution isolés et exposent les secrets aux vidages de mémoire, aux exploits du navigateur ou aux vulnérabilités de synchronisation.

Q2 : Est-il sécuritaire d’utiliser un portefeuille matériel avec un téléphone mobile ? L'intégration mobile introduit d'importants vecteurs d'attaque, notamment des applications infectées par des logiciels malveillants, des autorisations de système d'exploitation non fiables et un couplage Bluetooth non sécurisé. Utilisez uniquement les applications complémentaires officiellement prises en charge sur des appareils vérifiés et réinitialisés aux paramètres d'usine.

Q3 : Que se passe-t-il si je perds mon portefeuille matériel mais que j'ai toujours la phrase de départ ? Vous conservez le contrôle total de vos actifs. Tout portefeuille conforme au BIP-39 peut restaurer l'accès en utilisant la phrase originale de 12 ou 24 mots, à condition qu'aucune partie non autorisée ne l'ait obtenue.

Q4 : Dois-je mettre à jour le micrologiciel de mon portefeuille à chaque fois qu'une nouvelle version est publiée ? Les mises à jour du micrologiciel doivent être traitées comme des événements critiques pour la sécurité et non comme une maintenance de routine. N'appliquez que les mises à jour qui corrigent les vulnérabilités confirmées ou ajoutent des améliorations d'entropie vérifiables, après une vérification indépendante des signatures et du code source.