Carteras de hardware y elementos seguros: ¿en qué estás confiando realmente?

Por Lucien Bourdon, Analista de Bitcoin en Trezor

Una cartera de hardware es una herramienta estándar para asegurar criptomonedas, y la mayoría depende de un chip dedicado conocido como Elemento Seguro; el mismo tipo utilizado en tarjetas de crédito y pasaportes.

Pero aquí está lo que importa más: cómo una cartera usa este chip. Esta elección define en qué se te pide confiar en última instancia, y divide a la industria en dos filosofías fundamentalmente diferentes.

Por qué el hardware ‘Confiable’ no puede ser confiable

Un Elemento Seguro estándar opera bajo un principio de secreto. Los fabricantes protegen el funcionamiento interno de su chip con acuerdos de confidencialidad (NDAs).

Esto hace imposible una revisión de seguridad independiente. Usuarios y fabricantes por igual deben confiar en la palabra del fabricante. Investigadores y fabricantes de carteras de hardware no pueden probar libremente ni discutir públicamente lo que encuentran. Incluso si se descubre una falla crítica, el NDA puede impedir legalmente su divulgación, dejando a los usuarios en la oscuridad.

Aprendimos esto de la manera difícil. Hace años, Trezor evaluó un Elemento Seguro líder bajo NDA para un prototipo. Nuestra prueba reveló problemas que no podíamos discutir públicamente, ya que el NDA impedía la transparencia.

Esa experiencia aclaró nuestro camino. Decidimos que no queríamos que tus claves privadas dependieran de hardware cerrado e inauditable. En lugar de buscar un chip en el que confiar completamente, construimos una arquitectura donde el Elemento Seguro nunca mantiene tus claves. Incluso cuando posteriormente desarrollamos nuestro propio Elemento Seguro completamente auditable (TROPIC01), mantuvimos este diseño. No te pedimos que confíes en nosotros. Ni siquiera confiamos en nosotros mismos. La arquitectura es sin confianza por defecto.

Dos Diseños, Una Diferencia Crítica

Aquí es donde divergen los diseños de carteras de hardware. Todos usan un Elemento Seguro para protección, pero dónde se almacenan tus claves privadas lo cambia todo.

Diseño 1: El Chip Tiene Tus Claves

Aquí, tus claves privadas viven dentro del Elemento Seguro. Genera, almacena y usa las claves en un entorno cerrado y certificado.

• La Lógica: Contener todas las operaciones sensibles en una caja a prueba de manipulaciones.
• En qué confías: La reputación del fabricante del chip, su código interno secreto y la esperanza de que sus certificaciones coincidan con tus amenazas del mundo real.
• La Realidad: Obtienes una protección física fuerte, pero debes aceptar que los procesos más críticos son invisibles e inauditable.

Diseño 2: El Chip Desbloquea Tus Claves

Aquí, tus claves privadas están encriptadas en el procesador principal. Sin la clave de desencriptación, estos datos encriptados son completamente inútiles para un atacante. El Elemento Seguro solo contiene esa clave de desencriptación, protegida por tu PIN. Nunca ve tus claves privadas reales.

Tus claves están protegidas por encriptación irrompible; la misma fuerza criptográfica que asegura Bitcoin y otras redes cripto. Todo el sistema funciona con firmware de código abierto que cualquiera puede auditar.

• La Lógica: La encriptación fuerte y verificable supera los secretos ocultos. Con código auditable, puedes demostrar cómo se protegen tus claves. Con hardware cerrado, solo puedes creer en las afirmaciones.
• En qué confías: En criptografía y código público. El Elemento Seguro solo maneja el control de acceso como la verificación PIN.
• La Realidad: Transparencia total. El chip proporciona protección de hardware sin convertirse en un punto único de confianza no verificable.

Por qué construimos para la transparencia

Trezor está basado en el segundo modelo de diseño. Tus claves privadas permanecen encriptadas fuera del Elemento Seguro, protegidas por encriptación y un sistema operativo que cualquiera puede auditar.

Esto se alinea con nuestro principio fundacional: la verdadera seguridad requiere transparencia, no oscuridad. No deberías tener que confiar en nosotros; deberías poder verificar cómo funciona tu cartera.

Este compromiso con la verificación guía todo nuestro enfoque. Creemos que deberías tener seguridad de hardware sin compromisos, por eso abogamos y desarrollamos herramientas de seguridad abiertas donde cada capa de protección puede ser examinada.

La Conclusión

Un Elemento Seguro no es una garantía de seguridad por sí solo. Es un componente cuyo valor depende completamente de cómo se implemente.

La decisión decisiva es si tus claves privadas dependen de un código o hardware que no puedes auditar.

_________________________________________________________________________

Bitcoin.com no acepta ninguna responsabilidad ni obligación, y no será responsable, ya sea directa o indirectamente, por cualquier pérdida, daño, reclamación, costo o gasto de cualquier tipo, ya sea real, presunta o consecuente, que surja o esté relacionado con el uso de, o la confianza en, cualquier contenido, bienes o servicios referenciados en este artículo. Cualquier confianza depositada en dicha información es estrictamente bajo el propio riesgo del lector.