Un Secure Element est une puce spécialisée dans la protection des secrets et les règles d’accès face aux attaques physiques. C’est un composant de sécurité, pas une preuve indépendante de la sûreté du portefeuille entier.
Un Secure Element limite l’accès à la mémoire et aux opérations protégées via une interface définie. Résister aux manipulations signifie se défendre selon un modèle d’attaque, pas rendre l’extraction impossible. Analyse physique, injection de fautes et canaux auxiliaires s’évaluent avec le temps, l’équipement et les capacités supposées de l’attaquant. [Trezor — Secure Elements in Trezor Safe devices] [GlobalPlatform — Secure Element Protection Profile and Extensions]
La puce peut conserver des clés cryptographiques, un secret auxiliaire protégeant la graine, un compteur d’essais ou un certificat d’appareil. Affirmer qu’une clé privée ne sort jamais de la puce ne vaut que pour une architecture et une clé précises. Il faut distinguer les opérations du Secure Element de celles du microcontrôleur principal. [Trezor — Secure Elements in Trezor Safe devices] [Tropic Square — TROPIC01 public design repository]
Trezor décrit OPTIGA Trust M (V3) dans Safe 3 et Safe 5. Il conserve un secret auxiliaire qui, avec le PIN, protège les clés privées du composant principal ; cela ne signifie pas que toutes les signatures Bitcoin sont calculées dans le Secure Element. La documentation cite aussi limitation matérielle des essais, vérification d’authenticité et contribution à l’aléa. [Trezor — Secure Elements in Trezor Safe devices]
Un certificat et la réponse de l’appareil peuvent établir un lien avec le fabricant dans les limites du protocole de vérification. Ils ne confirment ni le destinataire d’une transaction ni l’innocuité de tout affichage de l’ordinateur. Device attestation, contrôle du firmware et approbation du paiement sont des étapes distinctes, pas une seule propriété interchangeable. [Trezor — Secure Elements in Trezor Safe devices] [Trezor — TROPIC01 chip vulnerability disclosure]
Common Criteria évalue une cible et des exigences définies. EAL6+ d’un composant ne couvre pas automatiquement tout le produit ou tout firmware futur. GlobalPlatform Protection Profile fixe fonctions et configurations ; la version 2.0 de juillet 2025 s’aligne sur CC:2022. Lisez certificat, configuration et modèle de menace précis, pas seulement le niveau. [GlobalPlatform — Secure Element Protection Profile and Extensions] [Trezor — Secure Elements in Trezor Safe devices]
Le dépôt TROPIC01 publie RTL, firmware applicatif et architecture de sécurité d’une puce à cœur RISC-V et coprocesseur SPECT. Il indique aussi que le bootloader actuel n’est pas public à cause des droits des fournisseurs d’IP. L’ouverture concerne des éléments précis ; l’auditabilité ne prouve ni absence de défauts ni conformité de chaque exemplaire livré. [Tropic Square — TROPIC01 public design repository]
Trezor a publié la découverte de Ledger Donjon de janvier 2026 : une laser fault injection en laboratoire a contourné la vérification du firmware d’un TROPIC01 isolé et exposé ses secrets. Selon l’impact décrit, une couche du Safe 7 est touchée, les autres relevant d’OPTIGA et STM32U5. Cela ne compromet pas automatiquement tout le portefeuille, mais ne doit pas être masqué par une prétendue invulnérabilité. [Trezor — TROPIC01 chip vulnerability disclosure]
La fuite d’une sauvegarde de graine séparée contourne la protection de l’appareil. La puce seule ne reconnaît pas non plus une adresse frauduleuse approuvée. Évaluez restauration, écran, firmware, sources aléatoires et réaction du fabricant avec le modèle précis. Pour la faille TROPIC01 citée, le fabricant décrit une limite matérielle ; ne supposez pas qu’une mise à jour quelconque la corrige. [Trezor — Secure Elements in Trezor Safe devices] [Trezor — TROPIC01 chip vulnerability disclosure]
Pour une vision complète, lisez aussi Hardware Wallet, Trezor, Tropic Square, TROPIC01, Clé privée, Air-gapped Wallet. Cette entrée est également citée par Air-gapped Wallet, Duress Wallet, Tropic Square, TROPIC01.