SLIP-39: La Fin de la Seed Phrase Unique
Le SLIP-39 est un standard de sauvegarde qui découpe une clé privée en plusieurs parts, dont un sous-ensemble défini (par exemple 3 sur 5) suffit à reconstituer le secret.
La conservation souveraine des actifs numériques repose sur un paradoxe. Le standard BIP-39 génère une phrase mnémonique unique qui contrôle l'accès absolu à un portefeuille. Pour se prémunir contre la perte de ce document physique, l'investisseur est naturellement tenté d'en multiplier les copies. Or, chaque nouvelle copie crée un vecteur de vulnérabilité supplémentaire face au vol. La sécurité matérielle entre alors en conflit direct avec la sécurité opérationnelle.
Ce point de défaillance unique représente un risque majeur pour la préservation d'un patrimoine à long terme. La réponse mathématique à ce dilemme réside dans le protocole SLIP-39, une implémentation standardisée du Shamir's Secret Sharing (SSS). Conçu pour éliminer le besoin d'une sauvegarde monolithique, ce mécanisme cryptographique distribue le risque sans le multiplier.
Si la méthode est longtemps restée une curiosité technique, plusieurs fabricants de pointe ont intégré nativement le SLIP-39, bien que l'adoption reste inégale. En juin 2024, le fabricant Trezor a fait du Shamir Backup la méthode de sauvegarde par défaut de plusieurs de ses appareils, notamment ceux de la gamme Safe. Comprendre les fondements et les limites de ce protocole est désormais indispensable pour optimiser son architecture de sécurité.
Points clés (key takeaways)
Voici les principes fondamentaux de cette architecture de sauvegarde répartie :
- Résistance absolue : La sécurité du partage de secret de Shamir est information-théorique (hors fenêtre de reconstruction). Avec K-1 parts ou moins, toute valeur possible du secret reste également cohérente avec les parts connues — à condition que la passphrase utilisée ne réduise pas l'espace des possibles — et aucune puissance de calcul ne peut modifier cette réalité mathématique.
- Tolérance au désastre : Une configuration à seuil (comme « 3-of-5 ») permet de tolérer la perte de certaines parts tout en résistant à la compromission de plusieurs emplacements géographiques distincts.
- Risque ciblé : La limite structurelle majeure du protocole SSS réside dans sa « fenêtre de reconstruction », nécessitant un environnement entièrement sécurisé lors de la manipulation du secret complet, abordée en détail plus bas.
Comment fonctionne le SLIP-39 sous le capot ?
Une cryptographie de l'entropie
Le fonctionnement du SLIP-39 est souvent mal compris. Il ne s'agit pas de découper physiquement ou numériquement une liste de mots en plusieurs morceaux. Selon la spécification de SatoshiLabs, le protocole n'interagit pas directement avec les mots mnémoniques : il agit sur l'entropie sous-jacente, c'est-à-dire le secret maître brut. Le processus chiffre d'abord cette entropie avec une clé dérivée d'une passphrase, avant d'appliquer le schéma d'interpolation polynomiale de Shamir au résultat chiffré.
L'algorithme de chiffrement préalable est particulièrement robuste. SLIP-39 chiffre le secret maître avant son découpage au moyen d'un chiffre de Feistel de type Luby-Rackoff à quatre tours. Ce mécanisme utilise PBKDF2-HMAC-SHA256 comme fonction de tour, avec un nombre total d'itérations sur les quatre tours fixé à 10 000 × 2^e, ce qui se traduit par 20 000 itérations au total par défaut (exposant e = 1), réparties sur les quatre tours (soit 5 000 par tour). Cette lenteur intentionnelle complique drastiquement les tentatives d'extraction ou d'attaque sur le processus de génération.
Un format radicalement distinct du BIP-39
L'encodage final des parts générées s'éloigne également du standard historique. Chaque part SLIP-39 est encodée comme son propre mnémonique à partir d'une liste séparée de 1 024 mots, contre les 2 048 mots habituels du dictionnaire BIP-39. En pratique, une sauvegarde SLIP-39 prend généralement la forme de plusieurs listes de 20 mots (pour une entropie de 128 bits) ou de 33 mots (pour une entropie de 256 bits), bien que d'autres tailles d'entropie soient prévues par la spécification, là où la sauvegarde BIP-39 standard exige une phrase unique de 12 ou 24 mots.
La résilience face à l'erreur humaine a également été intégrée au cœur du protocole. Le checksum RS1024 de SLIP-39 utilise trois mots dédiés à la fin de chaque part. Cette vérification cryptographique assure la détection des erreurs de transcription affectant jusqu'à trois mots. Face à des erreurs de saisie plus importantes, le mécanisme laisse environ une chance sur un milliard d'échouer à détecter la corruption de la part.
SLIP-39 vs multisig vs seed XOR : comparaison des architectures
La sécurisation avancée des actifs numériques repose sur la redondance, mais les mécanismes disponibles sur le marché poursuivent des objectifs distincts. Beaucoup d'investisseurs confondent la protection de la sauvegarde d'une clé avec la protection de l'usage de cette clé.
Avec le Shamir Secret Sharing, le secret complet existe bel et bien sur un appareil lors de sa création et lors de sa reconstruction. À l'inverse, dans une architecture multisig (multisignature), l'ensemble des clés privées requises pour signer une transaction n'existe jamais en un seul et même endroit. Une troisième approche, utilisée par le fabricant Coldcard, implémente un mécanisme de découpage différent appelé Seed XOR. Au lieu de s'appuyer sur une interpolation polynomiale, Seed XOR utilise un opérateur logique exclusif (XOR) bit à bit.
Comparatif des modèles de redondance
| Critère Opérationnel | SLIP-39 (Shamir) | Multisignature (Multisig) | Seed XOR (Coldcard) |
|---|---|---|---|
| Objet de la protection | La sauvegarde de la clé | L'utilisation des clés | La sauvegarde de la clé |
| Seuil de récupération | Flexible (ex : 3 sur 5) | Flexible (ex : 2 sur 3) | Strictement N-of-N |
| Risque lié à la perte d'une part | Absorbé par le seuil | Absorbé par le quorum | Perte définitive du secret |
| Empreinte sur la blockchain | Invisible (clé unique finale) | Visible (transactions plus lourdes, donc coût accru) | Invisible (clé unique finale) |
| Quand le choisir | Particulier voulant une redondance physique | Institution ou gestion partagée | Utilisateur acceptant un risque N-of-N strict |
La rigidité du Seed XOR constitue son principal facteur de risque opérationnel pour un particulier. Ce système fonctionne strictement sans seuil de tolérance ; perdre une seule part signifie la perte définitive du secret. Le Multisig garantit que le secret n'est jamais centralisé, mais il exige la gestion complexe de multiples portefeuilles matériels. Le SLIP-39 se positionne ainsi comme un compromis adapté pour les investisseurs privés cherchant la redondance physique sans la lourdeur d'une gestion multisig au quotidien.
Comment déployer le SLIP-39 ? La stratégie « 3-of-5 »
La flexibilité mathématique du SLIP-39 n'a de valeur que si elle s'accompagne d'une exécution physique rigoureuse. L'objectif est de cartographier des vecteurs de menaces distincts (incendie, vol ciblé, perte d'accès bancaire, décès) et d'y répondre par une distribution géographique pertinente.
La répartition géographique
Une configuration « 3-of-5 » est le modèle opérationnel le plus équilibré : elle tolère la perte ou la destruction de deux parts sur cinq, tout en obligeant un attaquant à compromettre trois emplacements distincts pour reconstituer le secret. Pour un investisseur privé, la distribution des cinq parts de 20 ou 33 mots, idéalement gravées sur des plaques cryptographiques en acier pour résister à la corrosion et au feu, devrait suivre cette logique de séparation spatiale :
- Coffre-fort à domicile : Permet un accès rapide à une première part, mais reste le point le plus évident en cas de cambriolage ou d'incendie domestique.
- Coffre bancaire principal : Délègue la sécurité physique à une institution financière. La part est protégée des sinistres domestiques, mais soumise aux heures d'ouverture de l'agence.
- Coffre bancaire secondaire : Situé dans un établissement concurrent ou dans une autre ville, ce point annule le risque de défaillance systémique ou d'inaccessibilité de la première banque.
- Résidence d'un proche de confiance : Offre une redondance hors du système bancaire, cruciale si les institutions financières devenaient inaccessibles, bien que ce lieu présente une sécurité physique moindre.
- Étude notariale ou coffre de famille éloigné : Garantit une transmission successorale fluide ou un point de repli ultime en cas de sinistre géographique de grande ampleur (inondation régionale).
Les limites du SLIP-39 : vulnérabilités et fenêtre de reconstruction
Malgré sa solidité mathématique, le partage de secret de Shamir n'est pas dénué de risques. La faille principale de ce modèle de sécurité est intrinsèque à son architecture : la fenêtre de reconstruction. Le secret complet doit exister sur un seul appareil lors de la création et lors de la récupération des parts. C'est durant cet instant précis que le dispositif est exposé à un malware éventuel, aux attaques par canal auxiliaire, ou à une compromission physique directe par un attaquant.
L'importance cruciale de la standardisation
L'histoire de la cryptographie financière démontre le danger des solutions propriétaires en matière de découpage de secret. L'implémentation SSS maison du portefeuille Armory en est l'exemple le plus didactique. Au lieu d'employer un générateur de nombres aléatoires cryptographiquement sûr pour générer les parts, Armory utilisait du hachage répété. Cette faille d'ingénierie avait une conséquence désastreuse : elle permettait potentiellement à un attaquant de dériver le secret complet avec moins de parts que le seuil de sécurité configuré par l'utilisateur. S'en tenir strictement au standard SLIP-39 validé par l'industrie est donc impératif.
Limites opérationnelles et verrouillage
Sur le plan de la maintenance, la gestion d'un schéma Shamir impose une rigidité administrative importante. Si l'un des emplacements géographiques est compromis, une part découverte ne peut pas être révoquée à distance. La seule remédiation possible pour protéger les fonds consiste à réunir le seuil requis pour reconstruire le secret sur un appareil sûr, générer un portefeuille entièrement nouveau, y transférer l'intégralité des actifs, puis créer et redistribuer un nouveau jeu de parts SLIP-39.
Enfin, l'adoption inégale de ce standard crée un risque écosystémique pour l'investisseur. Selon une analyse de Ryder.id, la principale faiblesse du SLIP-39 réside dans le verrouillage fournisseur (vendor lock-in). Le standard n'étant pas supporté par la majorité des logiciels et portefeuilles matériels du marché, un changement d'équipement d'urgence peut obliger l'utilisateur à reconstruire sa seed maître et à la réimporter temporairement sous le format BIP-39 classique, limitant momentanément les bénéfices du découpage.
Matériel compatible : qui supporte le SLIP-39 ?
La viabilité à long terme d'une sauvegarde SLIP-39 dépend directement du matériel capable de la lire et de la générer sans exposer la fenêtre de reconstruction à un environnement connecté (comme un ordinateur). Le paysage matériel reste divisé quant à l'adoption de ce standard cryptographique.
Le support complet du SLIP-39, couvrant à la fois la création native des parts et leur récupération directe sur l'appareil, est actuellement assuré par une sélection restreinte de portefeuilles à froid de nouvelle génération. Les modèles Trezor Safe 5 et Trezor Safe 3 prennent en charge le standard, tout comme le Trezor Model T (pour tout appareil exécutant le firmware 2.7.2 ou une version ultérieure). Le Keystone 3 Pro intègre également ce processus de bout en bout.
À l'inverse, un acteur historique majeur comme Ledger n'a pas intégré ce standard à son écosystème. Tous les modèles de portefeuilles de cette marque restent strictement limités à la génération et à la lecture du BIP-39 classique. Pour un utilisateur souhaitant migrer d'une architecture monolithique vers une sauvegarde fragmentée via Shamir, le choix du matériel d'entrée dicte par conséquent la totalité de la stratégie de sécurisation.
Conclusion : l'abstraction de la « seed phrase »
Le standard BIP-39, conçu en 2013, montre aujourd'hui ses limites conceptuelles face aux exigences de la conservation patrimoniale moderne. Le protocole SLIP-39 représente une transition logique pour les investisseurs privés, en résolvant élégamment la vulnérabilité du point de défaillance physique unique. S'il n'efface pas totalement le risque lié à la manipulation initiale du secret complet, il constitue actuellement une étape pertinente permettant d'allier souveraineté numérique et tranquillité d'esprit opérationnelle.
--- Cet article est publié à titre informatif uniquement et ne constitue pas un conseil en investissement. Consultez un conseiller financier agréé avant toute décision d'investissement.
