Lorsque l’on parle de cryptomonnaies, et Bitcoin, la sécurité est de toute logique devenue un enjeu majeur. Puisque chacun devient totalement en contrôle de ses actifs, nous devenons également les seuls responsables de la sécurité de ceux cis.
Ne pas avoir son argent dans un compte en banque, ou bien des billets dans un portefeuille, mais plutôt sur un portefeuille en ligne décentralisé, c’est plutôt nouveau, et cela implique de nouvelles responsabilités dont nous n’avons pas encore réellement l’habitude.
Ainsi, on peut naturellement se poser la question, en tant que détenteur de Bitcoins : Peut on pirater un portefeuille Bitcoin ?
Pour répondre à cela, je vais prendre le problème selon la perspective du pirate, à savoir, quelles sont les options d’un hacker lorsqu’il souhaite dérober les bitcoins d’un portefeuille ?
Mais avant de rentrer dans le vif du sujet, il est d’abord important de comprendre comment fonctionne un portefeuille Bitcoin.
Comment fonctionne un portefeuille Bitcoin ?
Tout d’abord, un portefeuille Bitcoin est représenté par l’association de deux clefs. Une clef publique, et privée. Vous avez probablement déjà entendu parler de ça.
La clef publique représente donc votre adresse sur laquelle vous recevez vos Bitcoins, et la clef privée, vous permet d’accéder à ce portefeuille, ainsi qu’à dépenser comme vous le souhaitez le contenu de ce portefeuille.
Mais concrètement, comment fonctionnent ces deux clefs ? A quelle point une clef privée est elle sûre, lorsque l’on sait qu’elle permet d’accéder à tout notre portefeuille ?
Ces deux clefs sont générées par un algorithme, appelé ECDSA (Elliptic Curve Digital Signature Algorithm).
L’algorithme ECDSA fonctionne selon un mécanisme de cryptographie appelé cryptographie asymétrique. Pour démarrer mon explication, il est important de comprendre ce premier concept.
La cryptographie symétrique, et asymétrique.
La cryptographie symétrique
Ce modèle de cryptographie est utilisé depuis toujours dans la protection d’un message. Le fonctionnement est très simple. Vous souhaitez envoyer quelque chose à quelqu’un, mais vous souhaitez protéger le contenu de votre envoi. Vous pouvez alors le crypter, avec la cryptographie symétrique.
Prenons l’exemple d’un coffre fort. Imaginez que vous êtes capable de physiquement l’envoyer à quelqu’un. Vous souhaitez en protéger le contenu, vous fermez donc à clef ce coffre. Pour que le destinataire de ce coffre puisse l’ouvrir, il aura donc besoin de la clef.
Vous allez donc devoir envoyer également la clef du coffre, d’une manière ou d’une autre, afin qu’il puisse l’ouvrir.
C’est sur ce point sensible que se posent les limites de la cryptographie symétrique. Il faut faire voyager la clef de sécurité afin que le destinataire du message puisse profiter du contenu du message. On s’expose donc au risque suivant : la clef est interceptée en route.
L’inventeur de Bitcoin, Satoshi Nakamoto, a donc réfléchi à un autre moyen afin de pouvoir permettre aux gens de s’envoyer des messages de valeur (des transactions Bitcoin), à distance, sans intermédiaire qui assurerait la sécurité de la transaction, et sans avoir donc à envoyer la clef de sécurité pour déchiffrer le message.
C’est donc dans ce contexte qu’il a pensé à L’algorithme ECDSA reposant sur la la cryptographie asymétrique.
La cryptographie asymétrique
La cryptographie asymétrique, repose sur le simple fait que vous pouvez envoyer un message à quelqu’un, qu’il pourra déchiffrer, sans avoir à lui envoyer de clef de déchiffrage.
Dans le cas de Bitcoin, vous envoyez une transaction depuis votre clef publique, à sa clef publique.
La sécurité est gérée localement, avec les clefs privées de l’émetteur, et du destinataire.
Les clefs privées servent donc, d’un côté à signer la validation de l’envoi de la transaction, et du côté destinataire, accéder à la clef publique qui a reçu la transaction.
Les deux clés sont crées et liées par une opération mathématique complexe extrêmement difficile à expliquer, mais dont l’efficacité est prouvée dans l’utilisation que nous en avons actuellement dans notre société moderne.
En effet, Bitcoin n’est pas du tout précurseur dans l’utilisation de ce modèle de sécurité. Ainsi, il faut bien comprendre qu’actuellement, la majorité des entreprises, ordinateurs, sites internet…etc utilisent déjà un modèle ECDSA pour protéger leurs données sensibles.
La sécurité de l’algorithme ECDSA
Il sera très difficile d’expliquer techniquement comment fonctionne cet algorithme. Il est basé sur des mathématiques complexes, que seul des experts en le domaine sont capables de comprendre et interpréter. Si vous êtes bons en anglais, et très curieux, voici une explication vulgarisée au maximum, afin d’expliquer le mécanisme complet de l’algorithme ECDSA, d’un point de vue mathématique :
Explications de l’algorithme ECDSA
A notre niveau, voici ce qu’il faut retenir :
L’algorithme ECDSA n’est pas un outil pour crypter le contenu d’un message, mais uniquement pour en protéger la modification. Concrètement, chaque portefeuille Bitcoin est public, mais il n’est pas possible de modifier le contenu, pour récupérer des fonds par exemple.
La formule mathématique derrière cet algorithme est définie de la sorte que, les clef privées et publiques soient étroitement liées. Le résultat en est une signature unique, qui n’est mathématiquement pas déductible en dehors de la combinaison de ces deux variables.
Ces deux clefs représentent différentes variables d’une équation mathématique complexe, et lorsque la clef privée est manquante a l’équation, il est mathématiquement impossible de trouver la variable qui correspond à la signature, c’est à dire pouvoir valider l’équation, et donc accéder au contenu.
C’est donc une équation mathématique extrêmement compliquée, dont la clef de voûte est la clef privée, qui permet de retrouver toutes les autres variables inconnues au départ.
Important à retenir à propos de l’algorithme ECDSA
- Si vous ne possédez pas la clef publique + la clef privée associée, il n’est pas possible mathématiquement d’obtenir la signature indispensable à l’accès du contenu.
- Si par contre vous divulguez votre clef privée, un programme informatique pourra rapidement retrouver la clef publique associée. Cela signifie que si quelqu’un met la main sur votre clef privée, ce n’est qu’une question de temps avant qu’il n’accède à votre portefeuille de Bitcoins !
- Si vous perdez accès à votre clef privée, vous perdez également accès à tout vos fonds, de manière irrémédiable. C’est ce principe qui fait la force de la sécurité de l’algorithme ECDSA.
- l’ECDSA est considéré aujourd’hui comme une norme extrêmement sûre pour le déploiement de systèmes de signature numérique. Leur utilisation est aujourd’hui si variée qu’ils sont appliqués dans presque tous les domaines de l’informatique. Par exemple, l’infrastructure de certificats de sécurité SSL et TLS Internet fait un usage intensif de l’ECDSA.
Quelles sont les options des hackers pour trouver votre clef privée ?
Ainsi, qu’il n’existe aucune relation logique dans la formule mathématique, pour trouver la clef privée si vous possédez la clef publique d’un portefeuille. La seule technique mathématique viable dans ce cas là, serait donc d’utiliser ce que l’on appelle « la force brute », une méthode employée par les hackers, où ils essaient simplement toutes les combinaisons possibles, jusqu’à trouver la bonne.
C’est souvent utilisé lorsque les internautes utilisent des mots de passe basiques pour protéger leurs comptes.
L’option de la force brute pour trouver une clef privée
Dans le cas de votre clef privée, sachez que cela correspond à un nombre disposant de 64 caractères hexadécimaux, c’est à dire de 1 à 9, puis de A à F. ( Informatiquement parlant c’est une valeur binaire de 256 bits, mais c’est plus visuel de parler de sa correspondance hexadécimale, que vous connaissez). Il y a donc 64 caractères potentiellement différents, et pour chaque caractère, il existe 16 possibilités différentes. La probabilité donc de tomber au hasard sur votre clef privée est de l’ordre de 16^64.
Il est difficile de mesurer ce que représente un tel chiffre. Voici quelques informations pour vous donner un ordre de grandeur du nombre de possibilités pour votre clef privée :
- Ce nombre est constitué de 78 chiffres
- On s’approche doucement de la quantité d’atomes dans l’univers observable ( 0.0012 % )
- Admettons que le pirate qui cherche à trouver votre clef privée possède 100 ordinateurs comparables aux machines de minages les plus puissantes existantes sur le marché (Pour mon calcul j’ai choisi la Antminer S19 pro, qui a la puissance de calcul de 110 Th/s). Il lui faudrait 3.3379482×10^53 années pour tenter toutes les combinaisons possibles.
Vous l’avez désormais compris, il n’est donc actuellement pas envisageable d’essayer de trouver une clef privée par « force brute« . De ce côté là, vos Bitcoins sont bien protégés ! On parle de plus en plus d’ordinateurs quantiques, des ordinateurs dont la puissance de calcul serait décuplée. Mais pour l’instant, ces projets n’en sont qu’au stade embryonnaire, il est prudent de dire que problème n’est pas encore d’actualité.
Actuellement, le vrai problème lorsque l’on parle de clef privée, ce n’est pas à cause d’une erreur mathématique, ou informatique, mais principalement humaine.
Quelles sont donc les autres options pour les hackers, afin de trouver votre clef privée ?
Le problème des plateformes centralisées
La célèbre phrase « not your key, not your coins« , prend tout son sens dans ce contexte. Puisque vous déléguez vos clefs privées à une plateforme centralisée, vous en déléguez la responsabilité de la garde. Malheureusement, puisque ces plateformes disposent de centaines de milliers de clients, il est difficile de stocker dans un endroit sûr, hors ligne, l’ensemble de ces clefs privées.
Ainsi, les fonds, sont disponibles, d’une manière ou d’une autre, par les hackers. Même si les plateformes disposent de systèmes de sécurité puissants, il suffit d’une erreur pour que tout disparaîsse. C’est ce qu’il s’est passé avec la plateforme Mt Gox en 2014. Des millions de dollars en Bitcoin se sont évaporés dans la nature.
Le vrai problème ici, est la nature centralisée de l’argent. Puisque tout l’argent est au même endroit, il devient beaucoup plus rentable pour un hacker de les cibler.
Pourquoi s’embêter à cibler des individus isolés qui disposent de revenus limités, et souvent disposent de clefs privées hors ligne, alors que des plateformes centralisées peuvent être attaquées ?
La prudence est de rigueur lorsque vous laissez votre argent sur une plateforme. Toutefois, si vous décidez de le gardez sur votre portefeuille physique, il existe malgré tout certains risques.
L’erreur humaine, le vrai fléau de Bitcoin
La faille de Bitcoin ne réside donc pas dans son protocole, ni dans le modèle algorithmique de sécurité choisi, mais dans la responsabilité de chacun de ses utilisateurs.
Ainsi, il est beaucoup moins couteux, donc plus rentable, pour un hacker, d’attendre patiemment une erreur humaine, que de tenter quoique ce soit d’autre. Et les options sont très nombreuses.
Pour réellement comprendre ce sujet, je vous invite à lire mon article complet, disponible ici :
Comment protéger ses cryptomonnaies des hackers
Le résultat est souvent le même, vous divulguez vous même votre clef privée à un pirate, sans en avoir conscience. Sous quelle forme ? J’en parle donc dans l’article évoqué juste au dessus.
La stratégie repose sur le socle suivant : Vous berner et vous faire entrer des informations personnelles à un endroit où ils peuvent récupérer ces informations.
- Le phishing : L’arnaque connue de l’adresse mail, qui existe également par message texte sur téléphone
- Télécharger une application téléphone malveillante
Conclusion sur la sécurité d’un portefeuille Bitcoin
Maintenant que vous en savez un peu plus sur le sujet, vous comprenez à quel point un portefeuille Bitcoin est sûr, intrinsèquement. Le risque ne réside pas dans le protocole lui même, ni dans le code, ou les mathématiques, mais bien vous, ou les personnes à qui vous déléguez votre argent.
L’enjeu est donc de vous former, d’apprendre à avoir les bons réflexes, et de toujours rester prudent.
Quoiqu’il en soit, si vous notez votre clef privée sur un support physique, hors ligne, et que vous faites attention à ce que vous faites en ligne, tout devrait bien se passer !
Si vous n’avez pas encore de portefeuille physique, ou que le concept de portefeuille est encore flou pour vous, voici un article pour vous aider :
La meilleur façon de stocker ses cryptos
