COMPAXSE CONNECTER
La même connexion qu’un
portefeuille non dépositaire
Vingt-quatre mots, fabriqués sur votre appareil et envoyés nulle part. Pas de numéro, pas d’adresse e-mail, pas de code à attendre, pas de mot de passe que quiconque puisse réinitialiser. Si vous avez déjà restauré un portefeuille à partir d’une phrase, vous connaissez déjà cet écran.
Les écrans ci-dessous sont ceux de l’application elle-même, jouant les quatre étapes d’un premier lancement, dans l’ordre où vous les rencontrez.
LE PREMIER LANCEMENT
Quatre écrans, et pas un seul
ne demande qui vous êtes
Pointez-en un et il rejoue depuis le début.
Ouvrez, et choisissez un côté
Deux boutons et aucun champ : fabriquer une identité, ou en restaurer une que vous avez déjà. Rien sur cet écran n’est cherché ailleurs, donc il n’y a rien à taper.
En fabriquer une ne demande aucun réseau. Les vingt-quatre mots sortent du hasard de l’appareil lui-même, et le service de distribution n’en sait rien — il ne le peut pas, puisqu’il ne tient aucun compte.
Pas d’inscription, donc pas de confirmation. Rien n’arrive par SMS, parce que personne ici n’a votre numéro.
Des messages, des groupes et des appels que le serveur porte mais ne peut pas lire. Votre identité est une paire de clés, pas un compte — il n’y a personne à qui la redemander.
Créer une nouvelle identitéJ’ai déjà une phrase de récupération
Vingt-quatre mots sont le compte
BIP-39, la norme qu’imprime un portefeuille matériel. Ils sont montrés une fois, sur l’appareil, et ce sont la seule copie : le serveur détient un chiffré qu’il ne peut pas lire et ne sait rien de qui que ce soit.
Écrivez-les sur du papier. Tout ce qui se synchronise est aussi ailleurs, et cet ailleurs est la part qu’on vient prendre.
Perdez-les et le compte est perdu. C’est la même phrase que : personne ne peut vous le prendre, et personne ne peut être persuadé de le rendre.
On paper, not in a photograph. Anything that syncs is somewhere else as well.
Written down?
You will be asked for three of them, to check.
Je les ai notésUn nom que vous choisissez, et vous y êtes
Un nom, et c’est lui que vous publiez auprès de ceux à qui vous parlez — la clé est ce qu’ils vérifient. Un libellé d’appareil, pour que révoquer un appareil dans un an soit une lecture et non une devinette. Et le service de distribution, qui porte le chiffré et l’ordonne.
Aucun code de vérification n’arrive, parce que rien n’a été remis à vérifier. Le bouton dit commencer, et ça commence.
Le nom n’identifie personne : deux personnes peuvent choisir le même, et on ne peut pas les confondre pour autant. C’est la clé qui les distingue.
Votre nom
Nom de l’appareil
Service de distribution
Porte le chiffré et l’ordonne. Il ne détient aucune clé.
Commencer à écrireUn deuxième appareil colle les mots
Restaurer ne déplace pas l’identité, cela s’y ajoute : le nouvel appareil fabrique sa propre clé, et l’identité l’atteste. Les appareils que vous avez déjà restent connectés et intacts.
C’est aussi ainsi qu’on en retire un — révoquez celui que vous avez perdu, et la phrase ouvre toujours tous ceux que vous gardez.
Les mêmes vingt-quatre mots sur autant d’appareils que vous voulez, chacun avec sa propre clé, chacun révocable séparément.
Saisissez les 24 mots. Cet appareil obtient sa propre clé et est attesté par l’identité — vos autres appareils ne sont pas touchés.
Cet appareil a maintenant sa propre clé. Vos autres appareils n’ont pas été touchés.
ContinuerCE QU’ON NE DEMANDE JAMAIS
Les champs qui ne sont pas
sur l’écran
- Un numéro de téléphone, et une SIM avec un nom dessus
- Une adresse e-mail, et un code qui y arrive
- Un mot de passe gardé sur un serveur, réinitialisable par qui tient le serveur
- Votre carnet d’adresses, téléversé pour retrouver vos amis
- Un compte qui peut être suspendu, et un formulaire pour le contester
- Vingt-quatre mots, fabriqués sur l’appareil et montrés une fois
- Une paire de clés — c’est la moitié publique qui vous fait vérifier
- Un mot de passe facultatif qui ne quitte jamais l’appareil
- Le carnet de personne : il n’y a rien où chercher quelqu’un
- Rien à suspendre, puisque le serveur n’a pas de compte à votre nom
Ce n’est pas de l’austérité. Chaque champ à gauche existe pour qu’on puisse vous trouver par lui, vous facturer par lui, ou vous le retirer — et un champ qui n’est pas sur l’écran ne peut être remis à qui vient le demander.
CÔTE À CÔTE
Comparé au portefeuille
déjà sur votre téléphone
Les portefeuilles non dépositaires ont réglé la question de la connexion il y a dix ans, et la réponse a été de cesser d’avoir des comptes. C’est cette réponse appliquée à une messagerie — et Compax porte aussi un portefeuille, sur les mêmes vingt-quatre mots.
Un portefeuille non dépositaire
Compax
Où la clé est fabriquée
Sur l’appareil, à partir d’un hasard local
Sur l’appareil, à partir d’un hasard local
Ce qui la restaure
Une phrase BIP-39 de 12 ou 24 mots
Une phrase BIP-39 de 24 mots
Qui peut la réinitialiser
Personne
Personne
Ce qui vous identifie
Une adresse dérivée de la clé
Une clé publique, et un nom que vous avez tapé à côté
Ce que fait un deuxième appareil
Retape la phrase
Tape la phrase, puis obtient une clé à lui
Ce que le service garde sur vous
Rien — il n’y a pas de service
Du chiffré, et l’ordre dans lequel il est arrivé
Ce que la connexion vous coûte
Rien à taper
Rien à taper
SUR L’APPAREIL
Champs optionnels
Pas d’écran de connexion ne veut pas dire pas de serrure. La phrase est dans le trousseau de cet appareil, et trois choses peuvent se mettre devant — chacune facultative, chacune locale.
- 1
Un mot de passe
Demandé une fois, juste après que la phrase est notée et tant qu’elle est encore en tête. PBKDF2 à 210 000 itérations en fait la clé sous laquelle la phrase est gardée.
Il n’est envoyé nulle part, donc il ne peut jamais être réinitialisé. Le dialogue le dit exactement avant que vous en posiez un, et vous laisse passer.
- 2
La biométrie
Un visage ou une empreinte, gardant le trousseau que cet appareil possède déjà. C’est une façon de ne pas taper le mot de passe — pas un remplacement.
Proposée sur le même écran que le mot de passe, et refuser tient en une pression.
- 3
Une clé de sécurité
Une clé FIDO2 détient trente-deux octets qui n’existent nulle part ailleurs. La phrase est chiffrée avec ceux-là et le mot de passe à la fois :
hmac-secretsur une touche, et SHA-256 sur les deux moitiés.Construite aujourd’hui pour macOS et Linux ; l’écran qui en propose une est dessiné à partir de ce que la machine répond à l’exécution, pas d’une supposition. Liez-en deux — une sur le trousseau, une dans un tiroir.
LE PRIX DE TOUT ÇA
Ce qu’une connexion aussi simple vous coûte
Une chose, et elle n’est pas petite : perdez toutes les copies de la phrase et toutes les clés qui y sont liées, et le compte est perdu. Aucune file d’assistance ne peut aider, parce qu’il n’y a rien de notre côté à quoi aider — le serveur détient un chiffré qu’il ne peut pas lire et n’a jamais rien détenu qui l’ouvrirait. C’est la même propriété que celle qui empêche quiconque de vous prendre le compte, lue de l’autre côté.
ENSUITE
Essayez les quatre écrans
Cela prend environ une minute, et le premier est un bouton. Le portefeuille sur la même phrase est à côté, et ce qui arrive si les mots sont perdus est dans les réponses.