Cosine, fondateur de SlowMist, soulève des questions sur la collecte de données liée à la signature en clair
Cosine, fondateur de SlowMist, soulève des questions sur la collecte de données liée à la signature en clair
La signature en clair vise à aider les utilisateurs de cryptomonnaies à comprendre ce qu’ils s’apprêtent à autoriser avant qu’une transaction ne soit transmise à la blockchain. Toutefois, la conversion de données de transaction brutes en informations lisibles peut faire intervenir des logiciels extérieurs au portefeuille matériel — lesquels sont susceptibles de traiter des données que les utilisateurs ne s’attendent pas à partager.
Le 11 novembre, Cosine, fondateur de SlowMist, a fait part de ses préoccupations au sujet d’un mécanisme de collecte de données associé à une intégration de signature en clair. Selon ses déclarations, ce mécanisme recueille par défaut certaines informations relatives à la signature, notamment le réseau ou l’identifiant de la blockchain, l’adresse de destination, les versions de l’appareil et des logiciels, ainsi que le recours éventuel à la signature à l’aveugle.
Cette distinction est importante : Cosine a expliqué que le mécanisme faisait partie d’un kit de développement logiciel utilisé par des applications de portefeuille, et non d’une fonctionnalité intégrée au micrologiciel de l’appareil. Il a également précisé que l’application de portefeuille connectée à l’appareil devait proposer aux utilisateurs le réglage nécessaire pour modifier ce paramètre.
Quelles informations peuvent être concernées ?
Les données signalées portent à la fois sur le contexte de la transaction et sur l’environnement dans lequel la signature est demandée :
- Réseau ou identifiant de la blockchain : permet d’identifier le réseau blockchain associé à la demande.
- Adresse de destination : peut correspondre à un contrat intelligent ou à un destinataire.
- Modèle de l’appareil et versions des logiciels : peuvent renseigner sur l’appareil, le micrologiciel et l’application utilisés.
- État et motif de la signature à l’aveugle : indiquent si la demande a été signée sans pouvoir être affichée de manière entièrement compréhensible et, le cas échéant, pour quelle raison.
Ces informations ne sont pas assimilables à une clé privée ou à une phrase de récupération. La collecte signalée ne permet pas, à elle seule, de conclure que l’un ou l’autre de ces secrets a été divulgué.
Elles peuvent néanmoins être sensibles. L’adresse d’un contrat peut révéler le protocole qu’une personne envisage d’utiliser, tandis que l’adresse d’un destinataire peut fournir des indications sur un paiement. Associées à l’heure de l’opération ou à d’autres données dont dispose un service, ces métadonnées peuvent faciliter le rapprochement entre différentes activités d’un portefeuille.
Les transactions blockchain sont souvent visibles publiquement une fois diffusées, mais cela ne signifie pas que toutes les métadonnées relatives à leur signature sont publiques. Un utilisateur peut légitimement faire la distinction entre la diffusion d’une transaction sur un réseau et le partage des détails d’une tentative de signature avec une application ou un service.
La signature en clair et la signature à l’aveugle répondent à des besoins différents
Les données brutes d’une demande de transaction ne sont pas toujours faciles à interpréter. La signature en clair vise à présenter des informations pertinentes — telles que l’action demandée, la destination et les paramètres associés — sous une forme que l’utilisateur peut vérifier avant de donner son accord.
La signature à l’aveugle fonctionne autrement : l’utilisateur autorise une demande que l’appareil n’est pas en mesure d’interpréter complètement ni d’afficher de façon intelligible. Cette situation peut se produire lorsqu’un portefeuille ou un appareil ne dispose pas du contexte nécessaire pour décoder une interaction particulière.
La documentation d’Ethereum sur les transactions décrit les principaux champs qui composent une transaction Ethereum. Pour les interactions plus complexes, toutefois, connaître uniquement l’adresse de destination peut ne pas suffire. Un appel de contrat peut, par exemple, accorder une autorisation de dépense ou déclencher une opération dont la compréhension nécessite davantage de contexte.
La signature en clair peut faciliter la vérification des transactions, mais un message lisible ne garantit pas qu’une interaction soit sûre. Les utilisateurs doivent toujours contrôler l’application employée, l’action demandée et les éventuelles autorisations de dépense.
Pourquoi la couche applicative est-elle importante ?
Un portefeuille matériel protège les clés de signature, mais les utilisateurs interagissent généralement avec lui par l’intermédiaire d’une application de portefeuille, d’une extension de navigateur ou d’un autre logiciel. Cette application peut s’appuyer sur des composants tiers pour interpréter les données de transaction ou communiquer avec des services externes.
Le mécanisme signalé montre pourquoi les évaluations de sécurité et de confidentialité doivent porter sur l’ensemble du processus de signature :
- L’utilisateur lance une action dans une application.
- L’application prépare une demande de signature et peut recourir à des logiciels complémentaires pour l’interpréter.
- Le portefeuille matériel affiche les informations à approuver et signe la demande si l’utilisateur la confirme.
- L’application peut ensuite transmettre la transaction signée au réseau.
Si la collecte de données intervient dans un logiciel utilisé par l’application, modifier uniquement les réglages de l’appareil peut ne pas suffire à la contrôler. Les utilisateurs peuvent alors avoir besoin d’un paramètre au sein du portefeuille connecté — ou d’explications de la part de son développeur sur les données recueillies et la procédure permettant de refuser cette collecte.
Les informations disponibles ne permettent pas d’affirmer que tous les portefeuilles utilisant ce type de logiciel collectent les mêmes données. Elles ne précisent pas non plus combien de temps les données éventuellement recueillies sont conservées, ni si elles sont rapprochées d’autres informations. Ces éléments dépendent de chaque intégration et de ses pratiques en matière de confidentialité.
Comment vérifier la confidentialité de vos signatures ?
Prendre la confidentialité au sérieux n’oblige pas à renoncer à des informations de transaction lisibles. Une vérification pratique peut porter à la fois sur ce qui s’affiche sur l’appareil et sur le comportement du logiciel connecté :
- Vérifiez les paramètres de confidentialité du portefeuille. Recherchez les options relatives aux données d’analyse, aux diagnostics, à la simulation de transactions ou aux services de données externes.
- Lisez les informations fournies par l’application. Vérifiez quelles données sont envoyées, qui les reçoit, combien de temps elles sont conservées et si le refus de leur collecte limite certaines fonctionnalités.
- Examinez l’écran de l’appareil avant de confirmer. Comparez le réseau, la destination, le montant et l’action affichés avec ce que vous aviez prévu.
- Considérez la signature à l’aveugle comme une décision plus risquée. Si vous ne comprenez pas la demande, interrompez l’opération et renseignez-vous avant de l’approuver.
- Contrôlez régulièrement les autorisations accordées sur vos jetons. Une autorisation peut permettre à un contrat de dépenser ultérieurement des jetons ; il ne s’agit donc pas nécessairement d’un transfert ponctuel.
- Maintenez vos logiciels à jour. Les mises à jour peuvent renforcer la sécurité et améliorer l’interprétation des transactions, mais elles peuvent aussi modifier des fonctionnalités ou des paramètres de confidentialité qu’il convient de vérifier.
L’enseignement à retenir
La question essentielle n’est pas de savoir si la signature en clair est utile — elle peut effectivement faciliter l’évaluation des transactions en cryptomonnaies. Il s’agit plutôt de déterminer si les utilisateurs disposent d’une visibilité et d’un contrôle suffisants sur les informations échangées pour fournir cette expérience.
Pour toute personne choisissant un portefeuille crypto ou une application connectée, la protection des clés privées ne constitue qu’un aspect de la décision. La transparence des transactions, un consentement compréhensible et des paramètres de confidentialité facilement accessibles sont tout aussi importants.
