La demande de correction des bugs de 90 jours pour Ledger et Trezor est en réalité un conflit majeur concernant la confiance.

Ledger et Trezor, les deux plus grands fabricants de portefeuilles hardware, demandent aux chercheurs en sécurité de garder leurs résultats secrètes pendant jusqu’à 90 jours avant de les publier. C’est une demande qui semble purement procédurale, mais en réalité, ce n’est pas le cas. Pour ces deux entreprises, l’affirmation publique selon laquelle « vos clés sont sécurisées sur notre appareil » n’est pas une stratégie de marketing ; c’est simplement un aspect du produit. La lutte pour savoir qui contrôle cette information est désormais le problème économique central lié à la gestion autonome des clés.

Quatre-vingt jours de tranquillité

Le 7 septembre, Charles Guillemet, le directeur des technologies de Ledger, a publié une lettre ouverte proposant que la divulgation coordonnée des vulnérabilités devienne une pratique standard dans l’industrie. Selon ce modèle, un chercheur indique en privé une faille, l’entreprise confirme cette information et fixe un calendrier pour la correction de la faille. Les deux parties restent silencieuses jusqu’à ce qu’un correctif soit disponible.Avec 90 jours comme période de référence.Ce n’est qu’alors que la divulgation complète peut avoir lieu. Jan Komarek, chef de la sécurité chez Trezor, a soutenu cette initiative et a ajouté une clause d’équité : si le fournisseur ne respecte pas la date limite convenue, le chercheur a le droit de publier néanmoins. Les entreprises Foundation et AnchorWatch, deux autres acteurs axés sur le Bitcoin, ont également signé l’accord. Le modèle est familier : les chercheurs en sécurité ont souligné que…Miroirs du délai de divulgation du projet Zero de Google.

Cette lettre n’est pas vraiment une modification dans le comportement de Ledger lui-même, mais plutôt une tentative pour faire en sorte que l’industrie l’adopte. Le programme de récompense de Ledger applique depuis des années une politique formelle de disclosure coordonnée sur 90 jours ; les chercheurs sont payés en bitcoins. Et… un détail intéressant :Refuse les rapports générés par l’IA qui ne contiennent pas d’analyse humaine significative.Ce que Guillemet demande vraiment, c’est une norme applicable à l’ensemble de l’industrie que les leaders du marché peuvent définir eux-mêmes.

Les conséquences de la chasse aux bugs

Cette pression a une cause immédiate, et c’est instructif. À la fin du mois d’août, une entreprise de sécurité spécialisée dans l’IA, appelée TestMachine, a déclaré que « tout Ledger qui utilise l’application Ethereum »…sous la menace d’une attaque de substitution de transactionsGuillemet a répondu que Ledger avait découvert et résolu le problème lui-même avant même que le message ne soit publié. L’équipe d’OneKey, Anzen, a également déclaré cela.L’attaque a été reproduite en laboratoire contre une version plus ancienne du logiciel ; Ledger l’a rejetée.Comme une vérification sur une version obsolète. Guillemet a qualifié cette publication prématurée de “”.Chasser l’attention au risque pour quelqu’un d’autre."

Ce n’est pas une querelle marginale. Cela s’est produit au milieu de plusieurs incidents liés aux mesures de sécurité liées à la surveillance autonome des personnes.Une fuite de environ 4 000 bitcoins (environ 320 millions de dollars) provenant de la chaîne de données Liquid de Blockstream, considérée comme étant une fuite “white-hat”.Une violation liée à un fournisseur de services de transport pour les Trezor, qui s’est développéExposer environ 81 000 informations de contact des clients, etDes vols de Coldcard ont été signalés, pour un montant supérieur à 100 millions de dollars.Pour une catégorie dont l’ensemble des arguments marketing consiste en la confiance, chaque titre de presse est soit un encouragement, soit une raison pour que les investisseurs détiennent leurs fonds… et les escrocs savent comment exploiter ce sentiment de panique.

L’économie au sein de l’histoire de la sécurité

En retirant le langage procédural, une transformation structurelle apparaît. La manière de voir les choses de Guillemet – à savoir que l’IA a transformé la sécurité en un jeu de cache-cache “avec beaucoup plus de ‘chats’” – est précisément pourquoi une date limite est importante. Lorsque la détection des bugs était lente et manuelle, les chercheurs étaient une ressource rare et précieuse. L’IA rend la détection et même l’exploitation des failles plus rapide et moins coûteuse, ce qui réduit le temps entre la découverte d’une vulnérabilité et l’existence d’un exploit fonctionnel. C’est ce qui rend la publication prématurée dangereuse : celui qui garantit la sécurité doit alors défendre ses conclusions face à une arme que quelqu’un d’autre peut construire en quelques jours. La règle des 90 jours vise à donner au vendeur du temps nécessaire pour corriger les problèmes avant que cette arme ne soit disponible.

Mais cette règle n’est pas neutre. Elle favorise celui qui peut agir le plus rapidement. Ledger et Trezor disposent de équipes de sécurité à plein temps, et les produits sont généralement livrés dans les délais prévus. Un chercheur indépendant, qui est payé en réputation plutôt que par un salaire, doit d’abord remettre la valeur du produit au vendeur, afin de pouvoir faire confiance au processus. Ce modèle transforme une économie basée sur l’attention – où la carrière d’un chercheur repose sur son fait d’être le premier à annoncer ses découvertes – en un processus structuré, où les entreprises bien dotées en personnel ont plus de chances de gagner. La clause de sortie de Komarek constitue donc un garde-fou qui garantit l’honnêteté du deal, mais elle ne change pas qui a le dessus dans la situation.

Cela est important car c’est en fonction de la valeur de la garantie de sécurité par rapport au matériel que cela se joue. L’ensemble du marché des portefeuilles numériques collecte…Entre un demi milliard et trois quarts de milliard de dollars par an.C’est une erreur de approximation liée à la valeur des pièces que les gens confient à ces dispositifs. Le fabricant de portefeuilles est payé une seule fois au moment de la vente ; il ne prend pas de part dans les actifs qu’il sécurise. Ses marges dépendent donc presque entièrement de la volonté des utilisateurs de faire confiance à ces dispositifs. Les coûts permanents incluent également une course à l’armement de sécurité menée par l’IA. La véritable force de ce système réside non pas dans le chip de sécurité lui-même, qui est fourni sur marché, mais dans la crédibilité de l’histoire de sécurité, la qualité du groupe de sécurité interne, et la manière dont les produits sont distribués pour atteindre des millions de dispositifs.

Aucune des deux entreprises n’est cotée en bourse, donc il n’y a pas de code de symbole à suivre. Ce que cette demande offre aux investisseurs, c’est une perspective plus claire sur le système de garde d’actifs. Ledger et Trezor utilisent leurs capacités opérationnelles pour établir les règles du jeu de la fiducie. Ils sont probablement sincères dans leur intention : une divulgation coordonnée permet vraiment de réduire les risques de phishing et de panique liés à une hype prématurée, et cela protège les utilisateurs. Cela permet également de protéger l’actif le plus précieux des deux marques contre la menace qui croît le plus rapidement. La question importante pour ceux qui évaluent ce système, c’est de savoir si un fabricant de matériel peut maintenir l’affirmation de “sécurité” à un prix que les gens accepteront encore, une fois que l’IA rendra tous les défauts faciles à détecter. Et les deux entreprises qui peuvent répondre à cette question le plus efficacement sont celles qui élaborent les règles.