Introduction à la sécurité Web3

Web3 est le Web décentralisé. Mais bien que ce soit la philosophie de Web3, la « décentralisation » est encore un peu abstraite. À toutes fins utiles, la décentralisation d’aujourd’hui signifie que les sites et les applications vivent sur des réseaux de blockchains au lieu de serveurs centralisés (comme dans le Web 2.0). Bien que le Web3 ne dépende pas nécessairement des réseaux de crypto-actifs et des blockchains, aujourd’hui, le concept est presque indiscernable de la technologie qui le fait fonctionner.

Le Web3 est une innovation fondée sur de nouvelles technologies qui présentent à la fois des avantages et des risques uniques. Le Web3 se veut transparent, résistant à la censure et, surtout, décentralisé. C’est cette décentralisation qui revêt un compromis important : il y a plus de risques et de responsabilités personnelles pour les utilisateurs.

Dans sa forme idéale, le Web3 ne dépendrait d’aucune autorité centrale ni d’aucun serveur, et les utilisateurs n’auraient pas à faire confiance à autant de tiers. Mais le Web3, tel qu’il existe aujourd’hui, n’élimine pas complètement la confiance ou la dépendance à l’égard des autorités centrales. Aujourd’hui, le simple fait d’aller en ligne exige un certain degré de confiance : les sites, les applications et le matériel font ce qu’ils disent, ils protègent nos données, notre argent et nos identités. C’était vrai dans le Web 2.0, et c’est vrai dans le Web3. Alors peut-être vaut-il mieux définir le Web3 en disant qu’il tente d’introduire un nouveau modèle de confiance : un modèle où la confiance est minimisée, et placée davantage dans les processus commerciaux (souvent appelés protocoles).

Les utilisateurs de Web3 doivent faire confiance au code qui compose les réseaux de blockchains, les portefeuilles de crypto-actifs, les processus de gouvernance et les contrats intelligents sur lesquels les applications décentralisées (DApps) est construit. Le Web3 n’est donc pas complètement décentralisé ou « sans confiance ». Mais ce sont là les principaux objectifs finaux des partisans du Web3. Et cela s’améliore de jour en jour.

Dans ce court article, nous allons aborder les risques de sécurité qui subsistent. Et comment se protéger dans le Web3.

Risques systématiques dans le Web3

Le risque systématique désigne un risque large, à l’échelle de l’écosystème, qui échappe le plus souvent au contrôle d’un utilisateur. Voici quelques exemples de risques systématiques dans le Web3 :

• Un ralentissement économique généralisé ou la volatilité du marché des crypto-actifs (qui peut affecter les blockchains qui alimentent la plupart des applications décentralisées Web3 actuelles)
• Une législation défavorable au Web3 ou au marché des crypto-actifs (ce qui, encore une fois, aura un effet de ruissellement sur la plupart des applications décentralisées Web3)
• Un blocage du trafic, des démantèlements ou toute autre forme de censure de certains services Web3 encore centralisés (p. ex., les fournisseurs de nœuds)
• Des des défaillances techniques avec les réseaux de blockchains (p. ex., les opérateurs de nœuds ne sont pas dignes de confiance ou un réseau est attaqué par des acteurs malveillants)

Si la volatilité du marché est courante, la plupart des grands réseaux de blockchains (comme Bitcoin et Ethereum) ont été soumis à des tests pendant des années contre de graves défaillances techniques. Dans tous les cas, ces risques sont endémiques à l’industrie de la blockchain et des crypto-actifs et, par défaut, au Web3. Il existe toutefois certains risques que vous pouvez contrôler (ou du moins réduire).

Risques de sécurité gérables dans le Web3

Les risques plus tangibles dont les utilisateurs du Web3 doivent être conscients sont les suivants :

• Perte de clés privées
• Hameçonnage, escroqueries et piratages visant le portefeuille de crypto-actifs ou les clés privées d’un utilisateur (à toutes fins utiles, le Web3 d’aujourd’hui traite un portefeuille de crypto-actifs comme un passeport numérique unique permettant d’entrer sur le territoire)
• Défaillance et exploitation des contrats intelligents
• Défaillance interne avec des blockchains ou des entreprises ou bourses de crypto-actifs spécifiques qui n’ont pas le même niveau de surveillance gouvernementale (ou de protection, comme avec la FDIC des États-Unis) que les services traditionnels

Heureusement, vous pouvez prendre certaines mesures pour vous protéger contre chacun de ces risques.

Protéger vos clés privées

Si vous stockez vos actifs dans un portefeuille d’auto-garde (par opposition à une bourse centralisée), vous aurez le contrôle exclusif de vos clés privées, et donc de vos actifs. Le plus souvent, les clés privées sont sauvegardées à l’aide d’une phrase de récupération, un ensemble unique de 12 ou 24 mots dans un ordre particulier qui donne accès à l’adresse d’un portefeuille de crypto-actifs. Il s’agit d’une version lisible par l’homme de vos clés privées, et elle fonctionne comme votre mot de passe bancaire. Les phrases de récupération, tout comme les clés privées, accordent un contrôle total sur les actifs d’un portefeuille et doivent être soigneusement protégées.

De nombreuses personnes stockent leurs phrases de récupération dans un coffre-fort ignifuge et les inscrivent sur un support plus résistant qu’un morceau de papier (p. ex., en les gravant sur un morceau d’acier). Il peut également être judicieux de stocker plusieurs copies de votre phrase de récupération dans différents endroits, tels qu’un coffre-fort bancaire ou un coffre-fort domestique, mais chaque copie doit être stockée de manière sécurisée, car chaque instance physique de la phrase augmente les risques de vol ou de compromission.

En savoir plus sur les avantages et les inconvénients de l’auto-garde.

Protégez-vous contre les tentatives d’hameçonnage, les escroqueries et les piratages

Il est également important de protéger vos clés privées et vos phrases de récupération contre le vol numérique ; la grande majorité des piratages, des escroqueries et des tentatives d’hameçonnage en matière de crypto-actifs cibleront vos clés privées ou vos phrases de récupération. Si un pirate prend le contrôle de l’une ou l’autre, il prend le contrôle de vos actifs.

Les tentatives d’hameçonnage sont la manière la plus courante dont quelqu’un essaiera d’accéder à votre portefeuille. Vous pouvez recevoir des e-mails ou des messages de personnes qui se fait passer pour quelqu’un d’autre (comme un membre de l’équipe d’assistance) et vous demande votre clé privée ou votre phrase de récupération. Si vous n’êtes pas sûr de la légitimité d’un message, contactez directement l’entreprise, via Twitter, Discord ou une autre méthode d’assistance à la clientèle, avant de cliquer sur un lien. Les escrocs peuvent également vous contacter pour vous annoncer que vous avez gagné un prix (comme des crypto-actifs gratuits) et vous demander des informations sensibles sur votre portefeuille. En règle générale, vous ne devez jamais partager vos clés privées et vos phrases de récupération avec quiconque.

Une excellente stratégie pour protéger vos clés privées contre les attaques automatisées et les logiciels malveillants consiste à les conserver hors ligne à l’aide d’un portefeuille matériel d’auto-garde, méthode connue sous le nom de stockage « cold ». Des dispositifs tels que Ledger et Trezor offrent un stockage physique et hors ligne pour vos clés privées. Ces appareils « signeront » (ou approuveront) de manière sécurisée les transactions avec vos clés privées hors ligne. Vous connecterez ensuite le « cold wallet » à Internet pour diffuser la transaction signée. De cette façon, vos clés privées ne sont jamais révélées lorsque vous êtes en ligne. Les portefeuilles matériels sont la norme en matière de stockage sécurisé et hors ligne de crypto-actifs, mais vous devrez vous assurer de les protéger tout comme une phrase de récupération.

Remarque : Brave ne vous demandera jamais votre phrase de récupération du portefeuille Brave. Ne partagez jamais cette information avec Brave ou quiconque.

Attention aux manquements des contrats intelligents et aux exploits

Le Web décentralisé est rempli de sites et d’applications décentralisées qui vivent sur des réseaux de blockchains. Ces réseaux sont entièrement construits sur (ou du moins ont une logique de base fonctionnant sur) des contrats intelligents. Les contrats intelligents, des programmes basés sur la blockchain qui s’exécutent automatiquement, sont à la base du Web3. Ils sont également assez récents et peuvent être sources d’erreurs dans leur code (qui, étant donné qu’ils s’exécutent automatiquement, peuvent être désastreuses). Les pirates recherchent souvent des erreurs dans le code des contrats intelligents, qu’ils peuvent exploiter pour voler des fonds aux applications numériques ou à leurs utilisateurs. Les acteurs malveillants pourraient même développer intentionnellement des contrats intelligents conçus pour drainer les actifs des portefeuilles de crypto-actifs.

Heureusement, de nombreux développeurs Web3 sont très conscients de l’importance d’avoir un code hermétique. Comme pour tout projet open-source, il est crucial pour les développeurs d’avoir un code simple, d’effectuer des audits de sécurité rigoureux et réguliers, et de demander une vérification formelle avant de diffuser des produits au public, surtout lorsque les fonds des utilisateurs sont impliqués. Mais bien sûr, la plupart des gens n’ont pas l’expertise technique nécessaire pour évaluer le code et déterminer si un service ou une application numérique est sûr. Il est facile de se faire piéger par des attaquants qui tentent de voler des fonds.

Alors, que pouvez-vous faire ? Plusieurs choses :

• Essayez de vous en tenir à des applications décentralisées bien connues et sûres
• Essayez d’éviter les applications décentralisées ou les services plus récents qui peuvent présenter plus de risques
• Vérifiez deux fois les URL des services que vous utilisez (ce qui peut être fait pendant le processus de signature de la transaction dans le portefeuille Brave), et pensez à les mettre en favoris pour éviter d’être redirigé vers un site imité

Attention aux défaillances internes

Comme mentionné dans l’introduction de cet article, le Web3 d’aujourd’hui existe dans un état intermédiaire : souvent décentralisé, mais pas toujours. Et cet état intermédiaire représente un risque avec les entreprises Web3 centralisées, comme les bourses de crypto-actifs centralisées (CEX). Lorsqu’une entité unique de ce type est défaillante, elle peut entraîner une volatilité considérable sur le marché des crypto-actifs et affecter directement ses utilisateurs (pensez à des exemples majeurs comme Three Arrows Capital, Terraform Labs et, plus récemment,FTX). Ces trois exemples représentent un éventail de sociétés de crypto-actifs (un groupe d’investissement, une équipe de développement de blockchain et une CEX, respectivement) qui ont un point commun : il s’agissait de sociétés centralisées jouant dans l’espace décentralisé du Web3. Et elles se sont toutes effondrées, laissant les investisseurs et les utilisateurs gérer les retombées.

Comme dans n’importe quel autre coin d’Internet, il y a des acteurs malveillantes dans le Web3. Dans la mesure du possible, vous devriez essayer de vous en tenir aux grandes entreprises Web3 dignes de confiance. Bien sûr, même certains des plus grands noms des crypto-actifs ont chuté, et il n’y a aucune garantie qu’un service soit sûr juste parce qu’il est populaire.

Si vous voulez éviter complètement ce type de risque, envisagez d’utiliser l’auto-garde. Encore une fois, le Web3 n’élimine pas complètement le risque. Mais il vous donne le choix de décider à qui vous voulez faire confiance.

Conseils généraux sur la sécurité du Web3

En général, de nombreuses bonnes pratiques de sécurité du Web 2.0 s’appliquent au Web3 :

• Utiliser l’authentification à deux facteurs (2FA)
• Créer des mots de passe forts (c’est-à-dire plus longs)
• Ne jamais réutiliser les mots de passe entre les services
• Se méfier des escroqueries et des tentatives d’hameçonnage, et vérifier la source avant d’effectuer un téléchargement

Une autre stratégie judicieuse est la diversification. En diversifiant vos crypto-actifs entre les portefeuilles d’auto-garde, les CEX et les portefeuilles matériels hors ligne, vous réduisez la probabilité que l’effondrement de l’un d’entre eux nuise à vos actifs dans un autre. De même, lorsque vous utilisez des applications décentralisées, vous pouvez diversifier les contrats intelligents et les plateformes que vous utilisez, en ne déposant pas tous vos fonds dans un seul protocole.

Web3 vous donne une réelle chance d’être votre propre dépositaire et de prendre le contrôle de vos actifs. Mais cela implique aussi d’être conscient et prudent. Tout ce que nous faisons en ligne implique un certain degré de confiance, et d’ignorance. Bien que le Web3, comme le Web 2.0, n’en soit pas encore là, l’éthique fondamentale du Web3 consiste à minimiser cet élément d’ignorance et de rendre tout ce monde plus ouvert et vérifiable.

Pour ceux qui souhaitent essayer l’auto-garde pour la première fois, ou ceux qui recherchent une protection de niveau Brave dans leur portefeuille, essayez le portefeuille Brave. Il s’agit d’un portefeuille compatible avec les navigateurs qui place la barre plus haut en matière de confidentialité et de sécurité dans le domaine de l’auto-garde des crypto-actifs.