Đánh giá Trezor Safe 7: Ví phần cứng mã nguồn mở để tự lưu ký

Một số ví phần cứng hướng tới thiết kế cách ly mạng mà người dùng có thể tự lắp ráp hoặc phù hợp với các chuyên gia theo triết lý mã nguồn mở. Một số khác giữ mã nguồn đóng và nỗ lực trở thành Apple hay Macintosh của các ví phần cứng, dẫn dắt người dùng qua thiết kế. Trezor dường như đã tìm được điểm cân bằng với Safe 7.

Với vỏ ngoài bằng kim loại, màn hình lớn tràn ra các cạnh của thiết bị và phản hồi xúc giác được thiết kế để làm hài lòng người dùng, Safe 7 có cảm giác như một chiếc iPhone đương đại. Nó truyền tải cảm giác rằng Bitcoin là thứ hữu hình và vật chất, điều mà nhiều ví khác không làm được.

Trezor cũng xử lý hiệu quả sự phân chia giữa người dùng tập trung vào Bitcoin và người dùng tiền mã hóa. Hãng làm điều đó bằng cách cung cấp hai bộ firmware: một biến thể đa coin tiêu chuẩn màu đen hoặc xanh lục, và một phiên bản chỉ dành cho Bitcoin màu cam. Người dùng có thể chuyển đổi tự do giữa chúng dù đặt mua loại nào, mặc dù những người theo Bitcoin có thể chọn bản màu cam để tránh các bản cập nhật firmware bổ sung. Bất kỳ người dùng nào cũng có thể đổi loại firmware sau này nếu muốn, bất kể màu sắc của thiết bị.

Quyết định này kéo theo những hệ quả: hầu hết các bản cập nhật firmware đều liên quan đến các loại coin không phải Bitcoin. Do đó, firmware chỉ dành cho Bitcoin được tinh gọn hơn. Tài liệu hỗ trợ của Trezor nêu rõ: "Các lợi ích bổ sung khi chạy firmware chỉ dành cho Bitcoin bao gồm ít bản cập nhật thường xuyên hơn (so với firmware Universal) và giảm rủi ro lỗi hoặc vấn đề bảo mật."

Những Từ Kỳ Diệu

Người dùng quen thuộc với Bitcoin nhưng mới dùng Trezor sẽ trước tiên chú ý đến độ dài danh sách từ. Safe 7 sử dụng 20 từ để sao lưu ví, thay vì 12 hoặc 24 từ phổ biến. Đây là một lựa chọn bảo mật mà Trezor đã trau chuốt qua nhiều năm. Tiêu chuẩn SLIP-39, sử dụng 20 từ, được Trezor ra mắt vào năm 2019 cùng với tính năng sao lưu Shamir. Shamir cho phép chia các từ hạt giống thành các mảnh; một ngưỡng số mảnh có thể tái tạo ví, nhưng bất kỳ mảnh đơn lẻ nào cũng vô dụng. Ví dụ, trong thiết lập Shamir hai-trong-ba, người dùng tạo ba danh sách 20 từ được lưu trữ ở những nơi riêng biệt (ngân hàng, nhà, văn phòng). Mất một mảnh do trộm cắp hoặc thảm họa không phải là thảm khốc vì mảnh đó một mình không thể truy cập ví, trong khi hai mảnh còn lại cho phép khôi phục. Sự 'dự phòng' này cũng đạt được bằng các ví đa chữ ký, nhưng có những đánh đổi như phí giao dịch onchain. Sao lưu Shamir bắt nguồn từ Shamir Secret Sharing, một sơ đồ mật mã kinh điển mà Trezor đã triển khai.

Các từ bổ sung so với sơ đồ 12 từ thông thường không làm tăng entropy; Trezor tuyên bố rằng cả hai đều cung cấp 128 bit entropy. Tuy nhiên, danh sách từ SLIP-39, theo Trezor, được chọn lọc có chủ đích để ngăn nhầm lẫn giữa các từ tương tự nhau.

SLIP-39 cung cấp một khả năng mà BIP-39 thiếu: khả năng mở rộng thành Shamir. Người dùng bắt đầu với một hạt giống 20 từ duy nhất trên Trezor sau đó có thể tạo ra một bộ dự phòng các phần Shamir, chẳng hạn ba-trong-năm. Các phần này tái tạo lại cùng một ví, tránh các chuyển tiền onchain. Người dùng nên hủy hạt giống 20 từ ban đầu, vì riêng nó vẫn có thể khôi phục ví. Trezor cung cấp một FAQ chi tiết để đọc thêm. SLIP-39 cũng được các ví như Sparrow và Electrum hỗ trợ, nhưng mức độ áp dụng của nó thấp hơn nhiều so với BIP-39.

Trải nghiệm Người dùng Hàng đầu

Safe 7 cho thấy sự đầu tư đáng kể vào thiết kế và UX qua những điểm nhấn tinh tế nhưng đáng nhớ. Điều đáng chú ý nhất trong quá trình thử nghiệm là phản hồi phê duyệt cho các thao tác như ký giao dịch hoặc thay đổi mã PIN. Người dùng nhấn và giữ một nút kỹ thuật số ở cuối màn hình. Thiết bị rung chậm qua một con quay hồi chuyển nội bộ, trong khi hai đèn xanh chảy từ nút quanh các cạnh màn hình. Khi các đèn gặp nhau ở phía trên, con quay tăng tốc, tạo ra âm thanh và cảm giác cơ học tăng dần. Khung màn hình sáng hoàn toàn và một đèn LED xanh nhỏ ở phía trên xác nhận hoàn tất. Chuỗi thao tác kéo dài một hoặc hai giây nhưng khiến việc chuyển bitcoin trở nên hữu hình.

So với các mẫu Trezor trước đây như Model T và Trezor One, thiết kế công thái học rõ ràng hơn. Các nút trên màn hình lớn hơn so với trên Model T, giảm lỗi gõ nhầm có thể gây hậu quả nghiêm trọng, như xóa sạch thiết bị sau khi nhập sai PIN. Các nút lớn hơn, vừa ngón tay giúp giảm bớt lo lắng đó. Vỏ kim loại mang lại cảm giác trưởng thành hơn so với nhựa của các mẫu cũ.

Một tính năng giao diện đáng chú ý là 'Wipe PIN', một mã đặc biệt xóa dữ liệu người dùng khi đăng nhập. Tài liệu công khai của Trezor mô tả chức năng của nó nhưng không nêu mục đích: nó chống lại mối đe dọa nào? Một số người dùng Bitcoin quan tâm đến bảo mật đã tìm kiếm các tính năng như vậy cho những tình huống hiếm gặp nhưng nghiêm trọng như 'tấn công bằng cờ lê' (wrench attack), khi kẻ trộm ép nạn nhân mở khóa ví.

Vấn đề là Wipe PIN của Trezor quá lộ liễu; kẻ tấn công sẽ thấy ví đã bị xóa sạch, điều này có thể làm tình hình leo thang. Một ví phần cứng khác cung cấp phiên bản tiên tiến hơn, xóa ví chính nhưng mở một ví mồi mà không có dấu hiệu nào trên giao diện. Đối với những người hoang tưởng, một mã PIN xóa tốt hơn sẽ được đánh giá cao.

Safe 7 bao gồm Bluetooth và pin trong hỗ trợ sạc không dây Qi2. Người dùng cũng có thể kết nối qua USB-C với Bluetooth đã tắt trong cài đặt. Vận hành không cần cáp giúp giảm căng thẳng khi ký giao dịch, vốn có rủi ro cao do tính không thể đảo ngược của Bitcoin. Một số người sẽ muốn có một công tắc vật lý để tắt ăng-ten Bluetooth.

Nguyên tắc Cách ly Mạng

Các mẫu Trezor trước đây thiếu pin trong và Bluetooth. Việc thêm chúng là một quyết định lớn, mang lại những lợi ích mà người tiêu dùng hiện đại mong đợi, nhưng cũng đưa vào những rủi ro.

Pin trong các thiết bị như ví phần cứng và điện thoại có thể xuống cấp, phồng lên và vỡ theo thời gian, gây ra nguy hiểm và làm hỏng bộ nhớ. Trezor cho biết hãng đã chọn pin LiFePO₄ vì "hóa học của chúng ổn định và an toàn hơn so với pin lithium-ion thông thường", và khẳng định "hiện tượng phồng rất khó xảy ra".

Việc tích hợp Bluetooth bổ sung phần mềm và phần cứng phần lớn là mã nguồn đóng, cho phép tương tác từ xa và làm suy yếu tính cách ly mạng của lưu trữ lạnh. Trezor cô lập ăng-ten Bluetooth và sử dụng tin nhắn mã hóa đầu cuối qua Trezor Host Protocol, giao thức này cũng mã hóa các kết nối USB-C. Công ty không gửi dữ liệu chưa mã hóa qua USB hoặc Bluetooth.

Tổng quan Phần cứng và Entropy

Vụ hack Coldcard đã chứng minh rằng lưu trữ lạnh vô dụng nếu không có entropy chất lượng. Entropy là đầu vào ngẫu nhiên, không thể đoán trước cho các bí mật mật mã, như tung xúc xắc 100 lần. Kết quả xúc xắc được đưa vào thuật toán để tạo cặp khóa và các từ hạt giống.

Trezor trình bày chi tiết về quá trình tạo entropy trong một bài viết riêng. Safe 7 sử dụng bốn nguồn entropy:

• Entropy từ máy tính hoặc điện thoại chủ.
• Một TRNG phần cứng bên trong vi điều khiển STM32, một trong các chip của Trezor.
• Phần tử bảo mật Optiga, con chip thứ hai trong phần cứng Trezor.
• TROPIC01, chip phần tử bảo mật "có thể kiểm toán độc lập" mới nhất của Trezor.

Bốn nguồn này kết hợp trong quá trình tạo ví. Firmware là mã nguồn mở GPL 3. Trezor không cho phép người dùng nhập entropy để tạo ví; không có việc tung xúc xắc. Người dùng có thể thêm cụm mật khẩu hoặc 'từ thứ 25' vào các cặp khóa hiện có, phục vụ mục đích tương tự.

Giám đốc công nghệ (CTO) của Trezor, Tomas Susanka, đã nói trong một buổi trò chuyện với Efrat Fenigson rằng entropy của người dùng chỉ hữu ích nếu mã nguồn kết hợp nó. Lỗi Coldcard không phải do entropy phần cứng kém mà do firmware đã không sử dụng đúng entropy tốt.

Danny Sanders, giám đốc thương mại (CCO) của Trezor, đồng ý nhưng nói rằng entropy người dùng đã được "thảo luận rất nhiều" và "không phải là một lời từ chối cứng rắn." Tuy nhiên, cơ sở người dùng của Trezor, mà ông nói là "gấp nhiều lần" so với Coldcard, "không thể bị yêu cầu tung xúc xắc." Ông lưu ý rằng họ đã "quá tải tinh thần chỉ với việc viết ra các từ" cho hạt giống 20 từ. Lợi ích bảo mật từ entropy người dùng là không đáng kể nếu các nguồn entropy máy móc được sử dụng đúng cách.

Vận chuyển, Lừa đảo và Mã Xóa

Việc mua ví phần cứng trực tuyến và để nó được giao về nhà đang trở nên kém hấp dẫn hơn. Trezor, giống như Ledger, đã bị hack cơ sở dữ liệu thông qua đối tác vận chuyển ShipMonk. Đầu tháng này, 67,000 hồ sơ khách hàng tại Mỹ đã bị lộ từ cơ sở dữ liệu của ShipMonk; Trezor cho biết hầu hết đáng lẽ đã bị xóa. Điều này làm tăng rủi ro bị quấy rối có chủ đích, đặc biệt ở các quốc gia như Pháp, nơi người dùng Bitcoin vốn đã bị tội phạm có tổ chức nhắm tới.

Từ góc độ an ninh hoạt động (opsec), một hòm thư bưu điện giờ gần như là cần thiết cho các giao dịch mua tiền mã hóa. Không một tổ chức lớn nào có thể được tin tưởng hoàn toàn với dữ liệu cá nhân, như lịch sử internet đã cho thấy. Người dùng có thể mua ví tại các hội nghị bằng tiền mặt hoặc bitcoin để tránh vận chuyển. Trezor đã hé lộ một dịch vụ "Anonymous delivery" để ứng phó với vụ vi phạm. Sanders nói với Bitcoin Magazine rằng dịch vụ này sẽ ra mắt tại E.U. "trong vài tuần" và tại Mỹ ngay sau đó. Dữ liệu công khai cho thấy Trezor vẫn sử dụng ShipMonk.

Suy nghĩ Kết luận

Sau nhiều năm sử dụng các mẫu Trezor cũ hơn như Model T và Trezor One, Safe 7 có cảm giác như một bước tiến lớn của sản phẩm và là một lựa chọn vững chắc cho tự lưu ký, đặc biệt trong multisig đa nhà cung cấp hoặc như một ví ấm hàng ngày. Sao lưu Shamir của nó cũng phù hợp cho tự lưu ký nâng cao.