近期在鏈節點社羣中，硬體錢包的話題再度被推上風口浪尖，其中最受關注仍是其安全性的討論。11月19日上午，Cobo硬體負責人劉力心（Cobo金庫大掌櫃）和BITHD負責人果子作客鏈節點ChainNode AMA，就硬體錢包開源的意義、安全晶片的安全價值、錢包產品未來的發展等話題展開了激烈的討論。
在本期AMA中，果子一陣見血地指出：對於硬體錢包來說，開源是“前提”，原因很簡單，每一個硬體錢包都需要“自證清白”，而你不開源，就完全沒法自證清白。
而劉力心則強調：錢包沒有絕對的安全這一說。一款合格硬體錢包相比於別的存幣方案，把被攻擊成功的可能性降到了最低。不合格的硬體錢包（比如沒有使用安全晶片）其實不一定比軟體錢包安全多少。
此外，兩位大咖就開源和安全晶片的問題還給出了很多優質回答，接下來就一起回顧一下吧。
對於硬體錢包來說，開源是“前提”
在傳統的計算領域中，開源支持者一直強調一個觀點——開源是更安全的，如Linus定律所說：只要有足夠多的眼睛，所有bug都是淺層的。
在硬體錢包領域，這一點也同樣適用。但也同樣存在領域門檻較高，大多數使用者可能不會費力燒錄或除錯原始碼的狀況，這時，錢包開源是否只能提供心理上的安慰而並不會有實質上的幫助？關於這一點，果子給出了這樣的回答：
對於硬體錢包來說，開源是“前提”，原因很簡單，每一個硬體錢包都需要“自證清白”，而不開源，就完全沒法自證清白。使用者為什麼需要硬體錢包？因為要把資產安全的保管在自己手裡，無需信任第三方。在“自證清白”這一點上，Trezor、Ledger和BITHD其實都是做的很努力的，BITHD 和 Trezor 也一樣，因為硬體設計+韌體原始碼全開源，任何有興趣的第三方都可以基於github上的內容做一個自己的BITHD和Trezor；這也同樣是自證清白；哪怕是 Ledger，除了安全晶片+安全晶片中非常少的程式碼外（這部分需要你自己選擇並編寫少量程式碼），你仍然可以自己做一款跟 Ledger 一樣的硬體錢包，這同樣是在自證清白方面做出的努力。
開源錢包很重要的一點就是任何第三方都可以透過提供的開源資訊自己DIY出一款一模一樣的錢包，以此來證明果子提到的錢包本身的“清白”。除此以外，開源的另一個好處是為社羣裡更多的團隊做更多種類的硬體錢包提供便宜，這其實也是開源本身的意義之所在。
如果子所說，這裡硬體錢包的開源包括了硬體設計全部開源、韌體原始碼全部開源，和完整的版本歷史全部開源。在日常使用中，使用者會遇到安全晶片裡有晶片廠商的程式碼，卻沒有錢包廠商的程式碼的情況，這時是否符合全開源的要求呢？果子補充道：
如果是像 Ledger 這類的雙晶片模型，主晶片+密碼晶片模型，主晶片中包含了全部韌體邏輯（並且全部開源），密碼晶片包含了私鑰簽名相關邏輯（這部分閉源），這種雖然不能算嚴格意義上的開源，但其實還是比較接近的，因為你可以自己參考這個方案做出自己版本的 Ledger，你可以選擇一樣的主晶片執行 Ledger 的韌體程式碼，再自行選擇一個自己覺得合適的密碼晶片，在裡面編寫自己需要的這部分程式碼，最終能夠做出自己版本的硬體錢包。
沒有絕對的安全，當攻擊需要付出的成本遠小於收益時，可以視為安全
錢包開源歸根結底是為保護資產安全服務的，對於持幣者來說，最關心也就是錢包開源能否為資產帶來絕對的安全？硬體錢包開源主要面臨的安全挑戰無外乎錢包方偷偷留有後門（內部攻擊）和駭客的攻擊（外部攻擊），關於這兩點，果子表示：
首先，世界上不存在“絕對”的事情，安全也一樣。通常來說，當攻擊需要付出的成本遠小於收益時，可以視為安全。針對上述兩種風險，第一點，開源硬體錢包透過程式碼、韌體開源可以自證錢包本身的清白，杜絕任何後門。如果使用不開源的錢包就始終要面臨著後門的威脅。第二點，因為BITHD為不聯網的硬體冷錢包，使駭客的遠端攻擊幾乎變成了不可能。如果是獲取錢包進行物理攻擊則需要付出巨大成本。加上BITHD擁有密碼賬戶功能，當你在BITHD開啟密碼賬戶功能時，駭客即使付出了巨大的成本獲取了你的助記詞，在無法得知你自定義的密碼的情況下，仍然無法完成攻擊。
關於硬體錢包的安全問題，劉力心補充道：
安全沒有絕對的安全這一說。一款合格硬體錢包相比於別的存幣方案，把被攻擊成功的可能性降到了最低。不合格的硬體錢包（比如沒有使用安全晶片）其實不一定比軟體錢包安全多少。另外，其實相對硬體錢包的安全性，人為原因造成丟幣的可能性更大。比如最關鍵的助記詞如何儲存。
也有使用者提出，硬體錢包開源後從程式碼角度可以提高資產的安全。那麼同樣的硬體錢包程式碼的開源能否保證晶片等硬體本身的安全性？關於這點，劉力心表示：
硬體部分的安全性，這裡最核心的部分就是安全晶片的安全性——有一種攻擊形式（供應鏈攻擊）是，駭客在使用者收到產品前對產品進行了篡改，把安全晶片給禁用掉了或者繞過了。安全晶片不再正常工作，所有的相關密碼學運算沒有發生在安全晶片內。為了避免這種攻擊，Cobo 金庫設計了驗真環節，確保安全晶片正常工作。只要保證安全晶片沒有被禁用或者繞過，安全晶片再去驗證上層應用的安全性。
安全晶片的核心保護物件是私鑰的真隨機性，而這一隨機數正是加密演算法背後的關鍵核心。正如劉力心關於Cobo錢包的介紹那樣：安全晶片的使用、官網驗證環節、防拆觸發的結構設計、passphrase功能、金屬助記板等等功能，為使用者資產做足了安全保障，不會受到供應鏈攻擊、旁路攻擊等威脅，即使攻擊者拿到你的金庫，也只是拿到了一塊磚而已。
以上就是本次AMA中劉力心和果子關於錢包開源和安全晶片的問題給出的一些解答，開源已經成為硬體錢包未來的趨勢——資產安全的探索，我們從未停止。
