Как обновить прошивку аппаратного устройства и оценить остаточный риск

Чтобы обновить прошивку аппаратного устройства и оценить остаточный риск, действуйте по порядку: убедитесь, что резервная копия слов читается, поставьте обновление из приложения производителя, затем сверьте отпечаток кошелька и первый производный адрес. Остаточный риск считают отдельно от установки. Если закрытый дефект касался конфиденциальности секрета, обновление его не снимает — нужна ротация ключей и перевод средств. Если дефект касался стабильности или совместимости, обновления хватает.

Как обновить прошивку аппаратного устройства и оценить остаточный риск: два разных вопроса

Установка обновления — операция на полчаса. Оценка остатка — работа головой, и её пропускают чаще. В обращениях читателей видна одна и та же последовательность: человек поставил новую прошивку, прочитал в примечаниях к выпуску слово «уязвимость», успокоился и вернулся к делам, хотя между этими двумя шагами потерян вопрос, от которого зависит всё дальнейшее — мог ли секрет утечь до того, как исправление приехало на аппарат.

Ответ зависит от класса дефекта, а не от громкости формулировок. Код, который неверно рисует сумму на экране, опасен для одной операции. Код, позволяющий считать содержимое защищённого хранилища, опасен навсегда: слова восстановления не меняются от того, что программу поправили.

Стандарт BIP-39 объясняет, почему граница жёсткая. Мнемоника превращается в семя через PBKDF2-HMAC-SHA512 с 2048 итерациями и солью «mnemonic» плюс парольная фраза — на 14 октября 2026 года спецификация в репозитории BIP держит статус Deployed с теми же параметрами. Функция детерминированная. Один набор слов всегда даёт то же дерево ключей. Утёкшие слова не «починить» заменой кода, их выводят из обращения.

Классы дефекта: что закрывает обновление, а что требует ротации

Критерий один. Затронута конфиденциальность — ротируем. Затронуты доступность или удобство — обновляемся и работаем дальше.

Порядок обновления шаг за шагом

1. Прочитайте слова резервной копии вслух по порядку, сверяя с контрольным листом. Это проверка носителя, а не памяти.
2. Выпишите на бумагу отпечаток мастер-ключа и первый адрес получения до обновления. Пара значений — ваш эталон.
3. Поставьте обновление из приложения производителя, подключив устройство кабелем. Ссылки из писем не используйте.
4. Дождитесь перезапуска и показа версии. Кабель в середине не отключайте.
5. Сверьте отпечаток и адрес с эталоном. Расхождение означает другое дерево ключей.
6. Отнесите закрытый дефект к одному из классов таблицы выше.

Резервная копия и проверка восстановления

Копия нужна до установки. Логика прямая: если обновление оборвётся и устройство уйдёт в режим загрузчика, восстановление пойдёт от слов, а при недоступных словах доступ к средствам теряется окончательно — у некастодиального кошелька нет службы поддержки, которая откроет хранилище по заявлению владельца.

Проверку восстановления удобно совмещать с обновлением. После установки создайте временный кошелёк из тех же слов и сравните первый адрес. Совпал — копия рабочая. Не совпал — ищите ошибку в словах или парольной фразе, пока средства под контролем. Связку слов и дерева адресов мы разбирали в материале про стандарт BIP-39 и происхождение 24 слов восстановления.

Типовые ошибки, которые стоят денег

• Обновление по ссылке из входящего сообщения. Письмо «ваше устройство уязвимо» — рабочая схема выманивания слов.
• Отсутствие эталона. Без выписанного отпечатка сверка превращается во взгляд на экран и ощущение «вроде то же самое».
• Смешивание изменений. Одновременная замена телефона и прошивки лишает возможности понять, что сломалось.
• Работа дальше после дефекта класса «извлечение секрета»: аппарат обновлён, слова прежние, риск сохранён целиком.

Тяжелее всего в редакционной почте проходят случаи с устройствами, купленными с рук: к остаточному риску прошивки добавляется неизвестность происхождения аппарата, и обновление решает здесь меньше, чем кажется владельцу. Про такие ситуации мы писали, объясняя, как правильно мигрировать активы на аппаратное устройство.

Что делать при утере доступа

Сценариев два. Первый: аппарат жив, обновление прошло неудачно, кошелёк не виден — работает восстановление из слов, средства не двигались, спешка вредна. Второй: аппарат утрачен физически. Тогда действует правило худшего сценария — считайте секрет известным посторонним и переводите средства на свежее дерево, созданное на устройстве, которое не выходило из вашего контроля.

Второй сценарий требует денег и времени сразу. Многоподписная схема снимает остроту, поскольку утрата одного участника не открывает хранилище посторонним и не закрывает доступ владельцу, а механику такой схемы мы описывали в разборе о том, как устроен расширенный публичный ключ в мультиподписи.

В NIST SP 800-63B-4, опубликованном в августе 2025 года, для уровня AAL3 записаны непередаваемый приватный ключ, устойчивость к фишингу и аппаратно изолированное окружение с проверкой по FIPS 140 уровня 1 и выше. Тот же документ в разделе 3.2.1 обязывает поставщика немедленно аннулировать аутентификатор по сообщению об утрате — при самостоятельном хранении роль поставщика исполняете вы, и аннулирование означает перевод средств.

Чек-лист

• Резервная копия прочитана и сверена с контрольным листом до обновления.
• Отпечаток мастер-ключа и первый адрес выписаны на бумагу как эталон.
• Обновление поставлено из приложения производителя, не по ссылке из сообщения.
• После установки отпечаток и адрес сошлись с эталоном.
• Дефект отнесён к классу: доступность, отображение или конфиденциальность.
• При классе «конфиденциальность» запланирована ротация ключей.

Частые вопросы