Sécurité

Aperçu

Cette section énonce précisément ce que nous détenons et ce que nous ne détenons pas, et documente le modèle de chiffrement en intégralité. Reporte-toi au pseudocode ci-dessous avant de nous contacter pour des questions de garde.

Modèle de PIN

Ton PIN n'est jamais stocké. Nous stockons le hash Argon2 du PIN pour vérification. Une clé distincte dérivée par Argon2 et XORée avec un secret détenu par le serveur chiffre ta clé active Hive — la conception à double clé.

Pseudocode à double clé

Ni le serveur seul, ni un attaquant de base de données seul ne peut déchiffrer ta clé active. Le PIN (connu de toi seul) et le secret du serveur (connu de nous seuls) sont tous deux requis.

# Chiffrement lors de la mise en place du PIN :
key_material  = Argon2(PIN) XOR KEY_ENCRYPTION_SECRET
encrypted_key = AES-256-GCM(active_key, key_material)

# Déchiffrement au moment de la transaction :
key_material  = Argon2(PIN) XOR KEY_ENCRYPTION_SECRET
active_key    = AES-256-GCM.decrypt(encrypted_key, key_material)

Ce que nous détenons

Ta clé active chiffrée (inutile isolément), tes lignes de solde HIVE et WAGE, tes enregistrements de propriété NFT, et le hash Argon2 de ton PIN. Rien d'autre.

Ce que nous ne détenons pas

Ton PIN en clair. Ta clé active déchiffrée. Ta phrase de graine. Ton mot de passe e-mail. Tout ce qui nous permettrait de déplacer unilatéralement tes fonds.

Équité du RNG

Chaque tirage RNG de frappe utilise un PRNG initialisé côté serveur ; la graine est persistée dans la ligne MintEvent. Tout auditeur peut rejouer le tirage à partir de la graine et vérifier que le résultat correspond à ce qui a été enregistré.

Verrouillage du PIN

Trois tentatives de PIN consécutives échouées verrouillent le compte pour quinze minutes. Le compteur est remis à zéro en cas de saisie réussie. Il s'agit de la défense principale contre la force brute.

Pas de récupération du PIN

Il n'y a pas de récupération du PIN. Si tu perds ton PIN, ton solde HIVE interne et tous tes NFT postés sont définitivement inaccessibles. Écris ton PIN. Range-le quelque part où tu le retrouveras.