Tropic Square je vývojář bezpečnostního čipu TROPIC01, součástky určené k ochraně citlivých údajů a provádění kryptografických operací. Firma navrhuje čipy, ale nemá vlastní továrnu na jejich výrobu. Zveřejňováním návrhu a dokumentace chce umožnit nezávislé zkoumání bezpečnosti. Samotný čip však není peněženka a jeho otevřenost není zárukou, že celé zařízení nemůže být napadeno.
Když držíte hardwarovou peněženku, vidíte obal, displej a tlačítka. Uvnitř ale pracují různé součástky a jejich výrobci mají odlišné úkoly. Tropic Square stojí za bezpečnostním čipem TROPIC01; hotovou peněženku kolem něj staví jiná firma. Tropic Square je takzvaná fabless společnost: čipy navrhuje, jejich fyzickou výrobu zajišťuje jinde. Dne 6. října 2025 oznámila přechod do plné výroby a celosvětovou distribuci. Byl to výrobní milník, nikoli trvalý příslib, že bude každá varianta vždy skladem. [1]
U bezpečnostní součástky nestačí vědět, že ji výrobce označuje za bezpečnou. Odborník potřebuje podklady, podle kterých může její chování prověřit. Repozitář TROPIC01 proto nabízí RTL, tedy zdrojový popis logických obvodů, firmware neboli program čipu a popis bezpečnostní architektury. Najdeme v něm jádro RISC-V, které vykonává instrukce, a SPECT, specializovaný koprocesor pro kryptografické výpočty. Zveřejnění otevírá cestu ke kontrole; samo o sobě ale není výsledkem úspěšného bezpečnostního auditu. [2]
Představme si odborníka, který kontroluje čip v určitém zařízení. Potřebuje vědět, zda čte dokumentaci právě k této součástce a jejímu firmwaru. Tropic Square na GitHubu upozorňuje, že zveřejněné repozitáře nemusí přesně odpovídat dodávaným výrobkům: publikace se může opozdit a část materiálů omezují práva třetích stran. Otevřenost tedy není jednoduchá nálepka pro celý produkt. Smysluplné posouzení spojuje označení čipu, verzi programu a odpovídající podklady. [3]
Mezi návrhem na internetu a součástkou v krabici je ještě výroba a příprava zařízení. Partnerství s EPS Global oznámené v únoru 2025 zahrnuje bezpečné programování, prvotní přípravu čipů a distribuci. Součástí je PKI, infrastruktura veřejných klíčů: systém kryptografických dokladů a kontrol, který pomáhá ověřovat pravost čipu. Je to odpověď na otázku, odkud součástka pochází. Neříká sama o sobě, zda je celý návrh bez chyby nebo zda výrobce hotové peněženky čip správně zapojil. [4]
Za technickou dokumentací stojí lidé a měnící se odpovědnost za firmu. Dne 12. května 2026 Tropic Square oznámila, že spoluzakladatel Jan Pleskač odchází z funkce CEO, tedy generálního ředitele, a zůstává společníkem. Dočasné vedení měl převzít Ladislav Veselý. Vlastnický podíl a každodenní řízení jsou dvě různé věci. Starší rozhovor s Pleskačem jako ředitelem proto patří do určitého období; bez dalšího ověření nepopisuje současné vedení. [5]
Dne 3. června 2026 firma popsala nález týmu Ledger Donjon: pomocí laseru bylo možné vyvolat chybu a obejít ověřování firmwaru TROPIC01. Jde o program, jehož pravost má čip před spuštěním kontrolovat. Útok vyžadoval fyzický přístup k čipu, odborné znalosti a specializovanou laboratoř; nešlo o běžný vzdálený útok přes internet. Zpráva doporučila vypnout režim údržby. Toto opatření útok ztěžuje, ale zcela jej neodstraňuje. Je proto důležité rozlišovat omezení rizika od úplného odstranění zranitelnosti. [6]
Dopad takového nálezu záleží i na zařízení, do kterého je čip zabudovaný. Trezor ve svém vysvětlení uvádí, že TROPIC01 v Trezor Safe 7 chrání část tajemství používaného k ochraně PINu, osobního přístupového kódu. Samotný PIN ani záloha peněženky v tomto čipu podle výrobce uložené nejsou a ochrana využívá další vrstvy. Z napadení součástky proto nelze automaticky vyvodit prolomení celé peněženky. Stejně tak z dalších ochranných vrstev neplyne, že je celé zařízení nenapadnutelné. [7]
Tropic Square popisuje CVD, koordinované zveřejňování zranitelností: výzkumník a výrobce spolu řeší ověření problému, nápravu a informování veřejnosti. Vedle bezpečnostních upozornění zveřejňuje i errata, seznam známých chyb a omezení, a hodnoticí zprávy. Pravidla výzkumu samotného čipu přitom nenahrazují pravidla výrobce zařízení, které jej používá. Pro čtenáře z toho plyne praktický postup: sledovat konkrétní verzi, zveřejněný nález a skutečně dostupnou nápravu. Právě tyto podrobnosti dávají slovu otevřenost obsah. [8]
Pro nejúplnější obraz čtěte toto heslo společně s Jan Pleskač, TROPIC01, SatoshiLabs, Secure Element. Opačným směrem na něj odkazují také Trezor, Marek „Slush“ Palatinus, Secure Element, Jan Pleskač.