Secure Element

Secure Element通过规定接口限制对受保护存储和操作的访问。抗篡改意味着抵御特定攻击模型，不代表秘密绝不可能被提取。物理分析、故障注入和侧信道须结合攻击者预计拥有的时间、设备和能力评估。 [Trezor — Secure Elements in Trezor Safe devices] [GlobalPlatform — Secure Element Protection Profile and Extensions]

芯片可能保存密码学密钥、保护种子的辅助秘密、尝试计数器或设备证书。私钥永不离开芯片的说法仅适用于具体架构和特定密钥。必须明确哪些操作在Secure Element内完成，哪些仍在主微控制器中。 [Trezor — Secure Elements in Trezor Safe devices] [Tropic Square — TROPIC01 public design repository]

Trezor说明Safe 3和Safe 5使用OPTIGA Trust M (V3)。其中的辅助秘密与PIN共同保护存于主芯片的私钥；这不意味着所有比特币签名都在Secure Element内完成。文档还列出硬件尝试限制、真伪验证和随机性贡献。 [Trezor — Secure Elements in Trezor Safe devices]

证书和设备应答可在验证协议范围内证明与制造商的关联。但它们不确认某笔交易的接收者，也不保证主机显示的所有内容无害。Device attestation、固件检查及用户批准付款是不同安全步骤，不能视为一种可互换的芯片属性。 [Trezor — Secure Elements in Trezor Safe devices] [Trezor — TROPIC01 chip vulnerability disclosure]

Common Criteria评估的是特定对象和安全要求。组件的EAL6+不自动覆盖整个产品或任何未来固件。GlobalPlatform Protection Profile规定功能和配置范围；2025年7月的2.0版与CC:2022对齐。应阅读具体证书、配置和威胁模型，而非只看等级数字。 [GlobalPlatform — Secure Element Protection Profile and Extensions] [Trezor — Secure Elements in Trezor Safe devices]

TROPIC01仓库公开RTL、应用固件，以及采用RISC-V核心和SPECT协处理器的芯片安全架构。同时说明因IP供应商权利，当前bootloader尚未公开。开放性指的是具体可用部分；可审计本身既不证明无漏洞，也不证明每个交付芯片都符合设计。 [Tropic Square — TROPIC01 public design repository]

Trezor披露Ledger Donjon在2026年1月的发现：实验室laser fault injection绕过了独立TROPIC01的固件验证并暴露其秘密。按影响说明，Safe 7中受影响的是一层，其他层由OPTIGA和STM32U5提供。这不自动等于整个钱包被攻破，但也不应以芯片不可攻破的说法掩盖。 [Trezor — TROPIC01 chip vulnerability disclosure]

独立种子备份泄露会绕过设备保护。芯片本身也不能识别用户已经批准的欺诈地址。应结合具体芯片型号评估恢复、屏幕、固件、随机源及厂商响应。对于上述TROPIC01发现，厂商明确说明了硬件限制，不能假定任意固件更新都能解决。 [Trezor — Secure Elements in Trezor Safe devices] [Trezor — TROPIC01 chip vulnerability disclosure]