為什么JuBiter硬體錢包更安全？

“安全”，對于加密數字货幣行業永遠是一个嚴肃命题！从链上安全（加密算法選择、共識协議、合約漏洞等）到生態安全（交易所、礦池、資產托管服務等）再到終端安全（錢包），每一个環節的责任對象不同，但都是一样關键，稍有不慎就会引起不可挽回的損失，惨痛教訓在加密货幣行業有限的歷史上屡見不鲜，尤其是終端安全更是跟每个持幣者的資產安全密切相關。跟传統金融行業不同，那里是现實世界，你可以有多种途徑来尝試努力去找回丢失的資產，但在加密货幣世界中，“私鑰”是你已擁有财富的唯一證据，你需要自己為“私鑰”负责，你需要找到一个安全的方式產生、持有和使用它。就安全性而言，硬體錢包是当前的最佳選择，本文会介绍下硬體錢包面臨的安全問题、解决思路以及jubiter的应對方式。

• 網路釣鱼

  釣鱼攻擊是互联网诞生以来最常見的攻擊手段，这种攻擊依賴于人们主觀判斷的易错性。要应對这种攻擊，一方面用户要提高安全意識，按照安全准则来应對數字货幣交易；另一方面硬體錢包要提供對抗手段供用户使用，關键信息的 “离线創建”“所見即所簽”和物理按键确认是抵抗釣鱼攻擊最有效的手段。

• 硬體架构

  首先是核心芯片的選择。一颗高等級的SE芯片是至關重要的，它可以提供對各种攻擊的有效防范，包括侵入、半侵入式攻擊，例如：错誤注入攻擊、温差和剖片和各种形式的侧信道攻擊，这是MCU不具備的特性；市場上有一些“開源和SE”孰優孰劣的争論，我们將会在后面的一篇文章中說明我们的觀点，一个已經發生的事實是， 以MCU為核心的硬體錢包已經有了被攻擊的實例。

  其次，SE在整个硬體架构中需要是核心地位，它应该自己去處理一切，密鑰運算、權限校验、熒屏顯示和按键控制等等；如果SE需要依賴一颗辅助的MCU来帮它完成一些功能，根据短板理論，这些功能的安全等級会相应降低，进而会拖累整个硬體体系的安全性（当然可以透過一些技術實现手段来降低威胁），同样也有类似的攻擊實例。

  
  

  （可以参考www.riscure.com查看以上攻详情）

• 随机數

  随机數在密碼学中有至關重要的作用，大量基于密碼学的網路安全算法都使用了随机數，一个良好的随机數需滿足随机性和不可预测性两个要求，以比特幣的sec256k1算法為例，使用不良的随机數进行簽名運算会可能導致私鑰被攻擊。

• 授權安全

  口令（或指紋）和物理按键确认是簽名授權的两个關键点--口令保護了当你不小心遗失設備后的私鑰安全，物理按键确认则是抵抗釣鱼攻擊的手段。

  口令的創建、修改和验證应该以离线方式或密文方式进行，不能在通讯链路上出现口令明文以防止竊聽；从安全角度需要在每次簽名时都请求用户输入口令；口令应该有重試次數限制以防止暴力破解，如果鎖死则需自动清除設備中的种子和私鑰；物理按键则应该在任何情况下都不允許繞过。

• 恶意固件禁止和供应链安全

  加密數字货幣行業處在飛速發展中，技術方案和协議的改进相對频繁，固件升級功能必不可少，如何保證只能更新官方固件很關键。

  应對供应链攻擊也是硬體錢包安全重要環節，这依賴于設備真實性认證和一些其他辅助手段。

•  固件架构選择

  从安全性上来說分層架构和native架构并没有太多差異，但如果產品是以SE芯片為核心，那么native架构一般会受限于保密协議而無法提供任何開源，分層架构则可以實现業務邏輯部分開源。

• 信道安全

  除了固件更新通道和PIN密文保護外，信道安全在數字货幣交易中并不是必须的，原因就在于數字货幣的交易本来就是公開在链上的，并不需要在乎是否在链路上有人竊聽了交易内容。

• 兼容性

  在加密數字货幣發展过程中，對于數字货幣錢包也有了一些大家約定俗成的社区規范，保持對于BIP32 BIP39BIP 44的兼容性，让用户会有更自由的選择權，即使某个品牌不再提供服務了，用户依然可以繼续使用原有的密鑰。

JuBiter在產品初期就从設计、研發、發行、運營等整个生命周期中进行安全威胁分析、實施过程中的安全保障、各个参与角色与各自職责和權限定義；

• 离线創建錢包，出厂后開机創建、恢复錢包和創建PIN碼，整个过程没有任何通讯协議接入設備；

• 選择具備軍工級别的安全芯片(infineon CC EAL6+ SE，TRNG)，安全芯片完全控制根密鑰的創建、存儲、派生、簽名和授權控制；安全芯片独立管理各外設，如熒屏、按键等；

• 嚴格生命周期定義及角色授權机制，保障系統控制、身份认證、資料传输与存儲、密鑰管理、会话管理等操作的信任与安全。

• 采用成熟的JavaCOS分層架构，具備applet应用随業務更新、固件随生態更新的靈活產品設计，采用SCP11C技術方案建立更新通道，滿足用户在保障資料安全的前提下，可以体验到社区最新的技術發展。

官方网站：www.jubiterwallet.com

Facebook: facebook.com/JuBiterWallet

Twitter: twitter.com/JuBiterWallet

-ABOUT US-