Recensione di Trezor Safe 7: hardware wallet open source per l’autocustodia

Bitcoin Magazine

Recensione di Trezor Safe 7: il wallet hardware open source per l’autocustodia

Alcuni wallet hardware puntano a creare dispositivi air-gapped che gli utenti finali possano assemblare a mano, oppure pensati su misura per i professionisti del settore, in uno spirito libero e open source. Altri mantengono il codice chiuso e aspirano a diventare l’Apple o il Macintosh dei wallet hardware, distinguendosi per le protezioni integrate nel design. Con Safe 7, Trezor sembra aver trovato una via di mezzo.

Il dispositivo trasmette la sensazione che ci si aspetterebbe da un iPhone moderno: scocca in metallo, un ampio schermo che arriva fino ai bordi e un feedback aptico chiaramente progettato per soddisfare l’utente. Safe 7 riesce a dare l’impressione, e a offrire l’esperienza, che Bitcoin sia qualcosa di reale, di fisico, in un modo che la maggior parte degli altri wallet non riesce a eguagliare.

Trezor gestisce piuttosto bene anche la divisione tra utenti Bitcoin e utenti crypto. Ci riesce offrendo due diversi firmware e design: la versione standard multi-coin, disponibile in nero e verde, e quella solo Bitcoin, arancione. Gli utenti possono passare dall’una all’altra a piacimento, indipendentemente da quale acquistino; chi usa Bitcoin e sa già cosa vuole può scegliere la versione arancione, senza dover installare aggiornamenti del firmware al di fuori del percorso previsto. Entrambi i tipi di utenti possono passare all’altro firmware, se lo desiderano, a prescindere dal colore del dispositivo.

La scelta ha tuttavia alcune conseguenze: molti aggiornamenti del firmware riguardano criptovalute diverse da Bitcoin. Di conseguenza, il firmware solo Bitcoin è più snello; gli articoli di supporto di Trezor lo spiegano chiaramente: «Tra i vantaggi aggiuntivi dell’utilizzo del firmware solo Bitcoin figurano un minor numero di aggiornamenti regolari (rispetto al firmware universale) e un rischio ridotto di bug o problemi di sicurezza.»

Le parole magiche 

La prima cosa che noterai, se hai una certa esperienza con Bitcoin ma non hai mai usato Trezor, è la lunghezza della sua lista di parole. Safe 7 ne offre 20 per il backup del wallet, invece delle 12 o 24 della maggior parte degli altri. È una scelta progettuale in materia di sicurezza su cui Trezor lavora da molti anni.

Lo standard a 20 parole chiamato SLIP-39 è stato introdotto per la prima volta da Trezor nel 2019, con l’annuncio della funzione di backup Shamir. Shamir consente agli utenti di suddividere le parole seed di backup del wallet in frammenti, alcuni dei quali — fino al raggiungimento di una soglia — possono essere usati per ricreare il wallet Bitcoin, mentre nessun singolo frammento è sufficiente da solo.

Prendiamo, ad esempio, una configurazione Shamir due-su-tre: gli utenti annotano tre elenchi di 20 parole e li conservano in luoghi fisici separati: la banca, casa e l’ufficio. Se un ladro ne trova uno, o se uno viene distrutto da un incendio o da un’alluvione, non si tratta di una perdita catastrofica. Una singola porzione non può dare a nessuno accesso al portafoglio, mentre le altre due consentono al proprietario di riprenderne il controllo e trasferire le monete a una nuova configurazione del portafoglio. Questa caratteristica è spesso chiamata «ridondanza» ed è presente anche nei portafogli multi-firma, sebbene con compromessi diversi, come i costi delle transazioni on-chain. I backup Shamir si basano su un vecchio e noto schema crittografico chiamato Shamir Secret Sharing, di cui Trezor ha realizzato una propria implementazione.

Le parole aggiuntive rispetto allo standard più diffuso di 12 parole non offrono agli utenti più entropia: Trezor chiarisce che possono aspettarsi gli stessi 128 bit di entropia dei seed di 12 parole. Tuttavia, secondo Trezor, la lista di parole usata in SLIP-39 è stata selezionata con cura per evitare parole simili o che possano essere confuse.

SLIP-39 offre anche una funzionalità che BIP-39 non offre: l'estendibilità a Shamir. Gli utenti che inizialmente creano con un dispositivo Trezor un backup di un singolo seed di 20 parole possono in seguito creare un insieme ridondante di condivisioni Shamir, ad esempio tre su cinque. Queste condivisioni ricreano lo stesso wallet, quindi gli utenti non devono effettuare transazioni on-chain per trasferire i fondi. Dovrebbero tuttavia valutare la possibilità di distruggere il seed originale di 20 parole, poiché da solo è comunque sufficiente per ripristinare i wallet interessati.

Trezor mette a disposizione una FAQ completa che gli utenti interessati possono consultare. SLIP-39 è supportato da altri wallet, come Sparrow ed Electrum, anche se è molto meno diffuso del suo predecessore.

Un'esperienza utente di altissimo livello

Safe 7 dimostra un profondo investimento nel design e nell'esperienza utente, grazie a una serie di caratteristiche discrete ma memorabili. La più iconica, nella mia esperienza di test del dispositivo, è stata la sua risposta a una decisione importante di approvazione, come firmare una transazione o modificare il PIN di sicurezza. All'utente viene chiesto di tenere premuto un pulsante digitale nella parte inferiore dello schermo. Il dispositivo inizia a vibrare lentamente grazie a un giroscopio interno, mentre due luci verdi partono dal pulsante e scorrono lungo i bordi dello schermo. Quando le luci raggiungono la parte superiore dello schermo e si incontrano, il giroscopio accelera, producendo un suono e una sensazione meccanici sempre più intensi nella mano. L'esperienza culmina con l'illuminazione completa della cornice dello schermo e l'accensione di un piccolo LED verde in alto, a conferma che l'azione è stata completata. L'intera sequenza dura uno o due secondi, ma rende piuttosto reale un'esperienza altrimenti molto digitale e astratta come trasferire bitcoin.

Rispetto ad altri Trezor che ho provato, come il Model T e il classico Trezor One, è evidente l’attenzione dedicata a rendere confortevole l’uso delle criptovalute. I pulsanti sullo schermo, per esempio, sono molto più grandi di quelli del Model T, risolvendo i frequenti errori di digitazione che possono avere conseguenze significative, ad esempio quando si inserisce il PIN di sicurezza. Se un utente inserisce un PIN errato nella maggior parte dei wallet hardware, le conseguenze negative possono arrivare fino alla cancellazione della memoria del dispositivo. I pulsanti digitali più grandi, delle dimensioni di un dito, alleviano questo stress inutile. L’involucro in metallo conferisce senza dubbio al Safe 7 un’aria più matura, lasciandosi alle spalle la scocca in plastica dei modelli precedenti.

Una funzionalità curiosa dell’interfaccia è il “PIN di cancellazione”, un PIN speciale che, se inserito all’accesso al dispositivo, elimina i dati dell’utente. Questa funzionalità non è spiegata bene nella documentazione pubblica di Trezor: se ne descrive il funzionamento, ma non lo scopo. Quale rischio o minaccia intende affrontare? In quali situazioni si usa? I bitcoiner più paranoici hanno chiesto funzionalità di questo tipo come soluzione a scenari poco probabili ma dalle conseguenze gravi, come il famigerato “attacco con la chiave inglese”, in cui un ladro costringe l’utente ad aprire il proprio wallet per rubarne i fondi.

Il problema del PIN di cancellazione di Trezor è che rende piuttosto evidente che hai appena eliminato il contenuto del wallet, cosa che in una situazione del genere difficilmente farebbe piacere a un aggressore che ti minaccia con una chiave inglese. Almeno un altro wallet hardware ha implementato una versione più sofisticata di questa funzione: elimina il wallet dell’utente principale, ma apre un secondo wallet «esca», senza svelare il trucco tramite l’interfaccia. Per chi è abbastanza paranoico da preoccuparsi di queste cose, sarebbe gradito un PIN di cancellazione più avanzato.

Safe 7 dispone anche di connettività Bluetooth e di una batteria interna ricaricabile con i caricabatterie wireless Qi2. Il dispositivo può essere utilizzato tramite connessione USB-C, con il Bluetooth disattivato nelle impostazioni. Questa modalità di funzionamento alternativa libera l’utente dai cavi: un’altra scelta progettuale discreta ma efficace, che riduce lo stress durante la firma di una transazione. La natura immutabile e irreversibile delle spese in Bitcoin rende già di per sé ogni decisione di firma particolarmente delicata. Per gli utenti più paranoici, sarebbe utile un interruttore fisico per disattivare l’antenna Bluetooth.

Il principio dell’air gap

Prima di Safe 7, nessun modello Trezor era dotato di batteria interna o Bluetooth. Aggiungere queste tecnologie al dispositivo è una decisione importante: offre vantaggi significativi e risponde alle aspettative di una più ampia base di consumatori nei confronti dei dispositivi hardware moderni, ma comporta anche alcuni potenziali rischi.

È noto che le batterie interne di molti dispositivi di questo tipo, dai wallet hardware ai telefoni cellulari, possono guastarsi nel tempo, gonfiandosi e fuoriuscendo dal loro involucro. Ciò può essere pericoloso e può danneggiare la memoria del dispositivo o impedirne l’accesso. Trezor affronta questa preoccupazione spiegando di aver scelto batterie LiFePO₄, la cui «chimica è più stabile e sicura rispetto a quella delle comuni batterie agli ioni di litio». Nella documentazione, l’azienda afferma che «è estremamente improbabile che si gonfino».

Al contempo, integrare il Bluetooth significa aggiungere uno stack software e hardware in gran parte closed source, che consente di interagire con il dispositivo a distanza, minando i principi di isolamento dalla rete della conservazione a freddo dei bitcoin. Per risolvere questo problema, produttori di hardware come Trezor cercano di isolare l’antenna Bluetooth e di utilizzarla solo per inviare messaggi crittografati end-to-end. A tal fine, Trezor ha sviluppato il Trezor Host Protocol, una tecnologia che crittografa i dati durante il trasferimento al computer dell’utente e che viene utilizzata anche tramite il cavo USB-C. Trezor non si fida dei cavi USB né dello stack Bluetooth per la trasmissione di dati non crittografati.

Tuttavia, si può sostenere che questa connessione wireless faccia uscire Safe 7 dalla categoria dei wallet Bitcoin isolati dalla rete o a freddo, avvicinandolo a quella dei wallet a caldo ad alta sicurezza. Un hot wallet, invece, sarebbe un computer o un server generico connesso a Internet e contenente materiale relativo alle chiavi private.

Panoramica dell’hardware e dell’entropia

Se il caso dell’hack di Coldcard ci ha insegnato qualcosa, però, è che la conservazione offline non ha alcun senso senza una buona entropia. Per entropia si intende l’input casuale e imprevedibile usato per creare un segreto in crittografia, come lanciare un dado 100 volte e annotare i risultati. I risultati dei dadi costituiscono l’entropia, che viene elaborata da algoritmi crittografici per generare coppie di chiavi private e pubbliche, ovvero le parole seed.

Trezor ha pubblicato un articolo completo e approfondito su come genera e usa l’entropia per creare coppie di chiavi per i wallet. Con Safe 7, usa quattro fonti di entropia:

• L’entropia del computer o del telefono host.
• Un TRNG hardware nel microcontrollore STM32, uno dei chip del computer di Trezor.
• L’elemento sicuro Optiga, il secondo chip del computer presente nell’hardware Trezor.
• Il TROPIC01, il loro chip con elemento sicuro più recente, «verificabile in modo indipendente».

Le quattro fonti indipendenti dovrebbero combinarsi durante la generazione del wallet. Il firmware che gestisce questa logica è open source con licenza GPL 3.

Al momento Trezor non consente agli utenti di fornire entropia durante la creazione di un wallet. Non è possibile lanciare dadi, anche se l’utente può aggiungere una «passphrase» o una «25ª parola» agli account per le coppie di chiavi già create, ottenendo una funzione simile.

Il CTO di Trezor, Tomas Susanka, ha spiegato in una conversazione con Efrat Fenigson che l’entropia generata dall’utente conta solo se il codice la utilizza davvero. Ha sottolineato che il bug di Coldcard non era un malfunzionamento dell’entropia generata dall’hardware, bensì il fatto che, a causa del bug, il firmware non utilizzava quell’entropia di alta qualità nella propria implementazione software.

Danny Sanders, CCO di Trezor, ha condiviso questo punto di vista, anche se ha detto a Bitcoin Magazine che il tema dell’entropia aggiunta dall’utente era stato “ampiamente dibattuto”, aggiungendo che “non è un no categorico”. Piuttosto, alla più ampia base di utenti di Trezor, che secondo Sanders è “molte volte” più numerosa di quella di Coldcard, “non si può chiedere di tirare i dadi”. Ha aggiunto che “hanno già un sovraccarico mentale solo a dover scrivere le parole”, riferendosi al backup della seed di 20 parole. Mentre i vantaggi in termini di sicurezza dell’entropia aggiunta dall’utente sono marginali, quando le altre fonti di entropia della macchina vengono effettivamente utilizzate correttamente.

Fonte: BitcoinMagazine