Portefeuilles, mnémoniques et dérivation

Le téléphone tombé dans l'eau

Dayo laisse tomber son téléphone dans un seau d'eau. L'application de portefeuille est perdue. A-t-il perdu son argent ? La réponse dépend d'une seule chose : a-t-il encore ses clés (ou la graine qui les engendre) ? Si oui, il installe une application sur un autre téléphone et son solde réapparaît. Si non, ses fonds sont toujours sur la chaîne, mais plus personne ne peut les dépenser. Cette différence est le cœur de l'atelier.

Qui est qui

• Fonds : une ligne de l'état de la chaîne (un solde, ou des sorties non dépensées). Ils vivent sur la chaîne, jamais dans une application ni sur un téléphone.
• Paire de clés : une clé privée (secrète) et la clé publique qui lui correspond (atelier 105). Signer une transaction avec la clé privée est le seul moyen de dépenser ce qui est verrouillé pour cette clé.
• Adresse : un identifiant public calculé à partir de la clé publique, par une convention propre à chaque chaîne. Bitcoin fait passer la clé publique par deux fonctions de hachage différentes (SHA-256 puis RIPEMD-160, à ne pas confondre avec le double SHA-256 qui sert aux blocs et aux transactions) puis ajoute un encodage ; Ethereum prend les 20 derniers octets d'un hachage Keccak-256 de la clé publique. Dans les exercices de cet atelier, nous utilisons une convention jouet : les 20 premiers octets du SHA-256 de la clé publique (octets, pas texte). Ce n'est pas celle d'une chaîne réelle.
• Portefeuille (wallet) : un logiciel ou un appareil qui garde des clés, construit les transactions, les fait signer et affiche des soldes qu'il va lire sur la chaîne. Il n'est pas la banque des fonds.

Les types de portefeuilles

Exemple : retrouver ses fonds

Dayo avait une adresse A. Les fonds liés à A restent sur la chaîne après la perte du téléphone. Avec une nouvelle application et sa graine, il retrouve la même clé privée, donc la même adresse A, donc la même capacité à signer. Sans la graine, il peut toujours voir le solde de A (les données de la chaîne sont publiques) mais il ne peut plus signer.

Ce que cela ne garantit PAS

• Perdre l'application ne fait pas perdre les fonds ; perdre les clés, si.
• Une adresse n'est pas une identité : elle ne dit pas qui la contrôle.
• Un portefeuille « sécurisé » n'empêche pas de signer une transaction que vous avez approuvée par erreur.
• La chaîne n'a ni service d'assistance ni « mot de passe oublié » : personne ne peut réinitialiser une clé.

À retenir

Fonds : sur la chaîne. Clé privée : le pouvoir de les dépenser. Adresse : un nom public dérivé de la clé publique. Portefeuille : l'outil qui garde les clés et signe.

Pourquoi douze mots ?

Une clé privée fait 32 octets (64 caractères hexadécimaux) : impossible à recopier sans erreur. En outre, si l'on veut plusieurs comptes, il faudrait sauvegarder plusieurs clés. La norme BIP-39 résout le premier problème en codant une valeur aléatoire en mots d'une liste de 2 048 mots ; la dérivation hiérarchique (leçon 3) résout le second.

Comment une phrase est construite (BIP-39 réel)

1. On tire une entropie aléatoire de 128 bits (16 octets). Pour 24 mots, 256 bits.
2. On calcule SHA-256 de cette entropie et on garde les 4 premiers bits (entropie en bits ÷ 32) : la somme de contrôle.
3. On concatène : 128 + 4 = 132 bits, découpés en 12 groupes de 11 bits. Chaque groupe de 11 bits est un indice entre 0 et 2 047 dans la liste de 2 048 mots (2^11 = 2 048). Pour 24 mots : 256 + 8 = 264 = 24 × 11.
4. La graine (seed) de 64 octets est obtenue avec PBKDF2-HMAC-SHA512, 2 048 itérations, la phrase comme mot de passe et la chaîne « mnemonic » suivie de la passphrase facultative comme sel.

Les mots ne sont pas la clé : ils encodent l'entropie ; la graine est calculée à partir de la phrase elle-même (étape 4), et les clés sont dérivées de la graine.

Exemple : combien de phrases possibles ?

128 bits d'entropie font 2^128 valeurs possibles, un nombre d'environ 3,4 × 10^38. Aucun attaquant ne peut les essayer toutes. En revanche, une phrase que vous choisissez vous-même (une citation, un mot de passe pour « faire joli ») n'a presque aucune entropie : elle se devine. L'aléa doit venir d'un générateur sûr.

La somme de contrôle de 4 bits permet à un logiciel de détecter la plupart des fautes de frappe : si l'on change un mot par un autre de la liste, le contrôle réussit encore une fois sur 16 (2^−4), donc il échoue 15 fois sur 16. Elle ne prouve pas que la phrase est la vôtre : une phrase mal copiée mais valide mène à un autre portefeuille, vide.

La passphrase : un mot de plus qui change tout

Ajouter une passphrase change le sel, donc la graine, donc tous les comptes. Il n'y a aucun message d'erreur si la passphrase est fausse : on obtient un autre portefeuille valide et vide. Utile (une phrase volée sans la passphrase ne donne pas accès aux fonds), mais c'est un second secret à sauvegarder.

Réel et jouet : une frontière à ne pas franchir

Des chaînes différentes ajoutent leurs propres règles. Les outils de l'écosystème Substrate/Polkadot utilisent aussi des mots mnémoniques, mais leur schéma de dérivation n'est pas celui de BIP-32 : les mêmes mots ne donnent pas forcément les mêmes comptes que dans un portefeuille Bitcoin ou Ethereum. Consultez la documentation de l'outil avant de restaurer.

Ce que cela ne garantit PAS

• Les mots ne sont pas un mot de passe réinitialisable : celui qui les lit contrôle les fonds.
• La somme de contrôle détecte des erreurs, pas des attaques.
• Une phrase de 12 mots n'est sûre que si elle a été tirée au hasard par un bon générateur.
• Deux logiciels qui acceptent la même phrase peuvent dériver des comptes différents (chemin, passphrase, schéma).

À retenir

Entropie → mots (avec somme de contrôle) → graine par PBKDF2 → clés. Les mots sont l'unique sauvegarde, donc l'unique point de vol.

Une graine, beaucoup de comptes

Avec une seule graine, un portefeuille hiérarchique déterministe (HD) engendre un arbre de clés : mêmes entrées, mêmes clés, toujours. On sauvegarde une fois la graine ; les comptes se recréent à volonté, et l'on peut utiliser une nouvelle adresse à chaque paiement reçu.

BIP-32 réel, en résumé

• Clé maîtresse : on calcule HMAC-SHA512 de la graine avec la clé « Bitcoin seed ». Les 32 premiers octets du résultat forment la clé privée maîtresse, les 32 derniers le code de chaîne (chain code).
• Clé enfant : on calcule HMAC-SHA512 avec pour clé le code de chaîne du parent. Les données sont : pour une dérivation normale, la clé publique du parent suivie de l'indice sur 4 octets ; pour une dérivation durcie (indice ≥ 2^31), un octet nul, la clé privée du parent, puis l'indice. Le résultat est coupé en deux : la partie gauche est ajoutée, modulo l'ordre de la courbe secp256k1, à la clé parente pour donner la clé enfant ; la partie droite est le nouveau code de chaîne.
• Chemin : une suite d'indices, notée par exemple m/44'/0'/0'/0/0 (la norme BIP-44 donne le sens des niveaux : objet, type de monnaie, compte, changement, indice d'adresse). L'apostrophe marque une dérivation durcie.

La version jouet du cours

Les exercices utilisent une simplification volontaire : le code de chaîne est la clé d'un HMAC-SHA512 et les données sont la clé parente (32 octets) suivie de l'indice sur 4 octets grand-boutistes. Les 32 premiers octets du résultat sont la clé enfant, les 32 derniers le code de chaîne enfant.

Ne réutilisez donc jamais ce jouet pour de vraies clés : il illustre la forme de la dérivation (HMAC, code de chaîne, indice), pas son contenu cryptographique.

Exemple : lire la structure

Avec une clé parente, un code de chaîne et un indice 5, le jouet donne un couple (clé enfant, code de chaîne enfant). Avec l'indice 6, on obtient un couple totalement différent (avalanche, atelier 104), mais toujours le même à chaque calcul : c'est ce qui permet de restaurer. Avec l'outil hmac, entrez le code de chaîne comme clé et la concaténation clé parente + indice comme données, puis découpez le résultat de 64 octets avec l'outil bytes.

Pourquoi la différence normale/durcie existe

En dérivation normale, on peut calculer des clés publiques enfants à partir de la seule clé publique du parent et de son code de chaîne : un site marchand peut ainsi produire de nouvelles adresses de réception sans jamais détenir de clé privée. Revers : si quelqu'un connaît le code de chaîne et la clé publique du parent et la clé privée d'un seul enfant normal, il peut remonter à la clé privée du parent. La dérivation durcie coupe ce lien, au prix de ne pas permettre le calcul à partir de la seule clé publique.

Ce que cela ne garantit PAS

• Une dérivation déterministe n'est pas un secret supplémentaire : qui a la graine et le chemin recalcule tout.
• Des chemins différents selon les logiciels donnent des adresses différentes à partir des mêmes mots.
• Chaque chaîne a ses conventions (courbe, format d'adresse, schéma) : le même mnémonique n'implique pas les mêmes comptes ailleurs.

À retenir

Même graine + même chemin = mêmes clés, toujours. BIP-32 réel : HMAC-SHA512, courbe elliptique, normal/durci. Jouet : HMAC-SHA512 seulement, et sans valeur réelle.

La question qui compte : que perd-on exactement ?

Dayo prend en photo sa phrase de 12 mots « pour ne pas l'oublier ». La photo se synchronise sur un stockage en ligne dont le compte est ensuite piraté. Quelles sont les conséquences, exactement ?

Si quelqu'un obtient la phrase (et, le cas échéant, la passphrase), il obtient la graine, donc :

• Toutes les clés de l'arbre, pour tous les chemins qu'il essaie, y compris les comptes que vous n'avez pas encore créés.
• Sur toutes les chaînes dont les outils dérivent à partir de cette graine selon un schéma qu'il connaît.
• Le pouvoir de signer des transactions que les chaînes accepteront comme venant de vous : la chaîne ne distingue pas le propriétaire du voleur.

Et ce qu'il n'obtient pas :

• Il ne peut pas annuler ou réécrire d'anciennes transactions.
• Il n'apprend rien sur vos autres mots de passe.
• Il n'affecte pas les comptes dérivés d'une autre graine.

Il n'existe pas de révocation

Il n'y a pas de procédure de « changement de mot de passe » sur une chaîne. La seule réponse est de déplacer les fonds vers des clés d'une nouvelle graine, générée sur un appareil sain, en commençant par les valeurs les plus élevées. C'est une course : un voleur surveillant vos adresses peut déplacer les fonds avant vous, d'où l'importance de ne pas laisser la graine s'exposer. Une passphrase non divulguée limite les dégâts, mais n'est pas à son tour récupérable si vous la perdez.

Sauvegarder sans s'exposer

• Écrivez la phrase à la main sur du papier (ou gravez-la sur du métal), jamais dans une photo, un message, une note synchronisée, un courriel ou un gestionnaire de notes en ligne.
• Conservez au moins deux copies dans deux lieux sûrs différents (incendie, vol, inondation).
• Séparez la passphrase de la phrase.
• Testez la restauration : sur un autre appareil ou avec un autre outil, restaurez avec un petit montant, vérifiez que les adresses attendues apparaissent, puis seulement faites confiance à la sauvegarde.

Exemple : « mon solde est à zéro »

Dayo restaure ses 12 mots dans une application différente et voit un solde nul. Ses fonds sont-ils perdus ? Presque certainement non : les causes probables sont un autre chemin de dérivation ou type de monnaie, une passphrase oubliée, un autre schéma (Substrate au lieu de BIP-32), ou une faute de frappe qui a donné une phrase valide mais différente. La réparation : retrouver le chemin et le schéma de l'outil d'origine, pas paniquer ni saisir la phrase dans un site « de récupération ».

Ce que cela ne garantit PAS

• Une sauvegarde non testée n'est pas une sauvegarde.
• Une copie papier protège de la panne, pas du vol ni de l'incendie.
• Une phrase « effacée » après usage d'un appareil n'est pas forcément partie : cache, historique du clavier, presse-papiers.
• Un portefeuille matériel protège contre les logiciels malveillants au moment de signer, pas contre quelqu'un qui a lu votre phrase.

À retenir

Phrase compromise = tous les comptes présents et futurs compromis, sans révocation. Réponse : déplacer les fonds vers une nouvelle graine. Prévention : sauvegarde hors ligne, copies séparées, restauration testée.