Po více než pěti letech přišel Trezor s novou verzí populární hardwarové peněženky. Jak se nový Trezor Safe 3 povedl?

Trezor Safe 3 ve zkratce

• cílí na stejné zákazníky jako skoro deset let starý model One
• obsahuje speciální čip „Secure Element“, který ještě více posiluje zabezpečení v případě ztráty peněženky a snahy o její fyzické prolomení
• s počítačem se spojuje pomocí moderního USB-C
• podporuje Shamir backup
• můžete ho mít ve čtyřech barvách (barevná jsou jen záda, zepředu jsou všechny stejné)
• stojí 1 899 Kč

Nový Trezor byl představen 12. října 2023 a zákazníkům se začal rozesílat v listopadu. Jeden kousek konečně dorazil i ke mně, takže se můžeme podívat, jaký je Safe 3 v praxi.

Unboxing Trezor Safe 3

V porovnání s modelem One ušlo pořádný kus cesty i balení nového Trezoru. Zatímco One přišel v lehce lowcostové krabičce, u Safe 3 je vidět, že se pracovalo i na balení jako na významné součásti produktu. Koneckonců mluvili o tom i lidé z Trezoru na přednášce o vývoji Safe 3.

Produkt prodává i obal a uživatelský zážitek začíná už rozbalováním. Fanoušci Applu by mohli vyprávět. Do Applu sice Trezoru ještě kousek chybí, ale balení se povedlo. Podívejte se sami:

Jak vidíte, balení obsahuje pouze tři položky – samotný Trezor, kabel a obálku „Get started„. Po jejím rozbalení dostanete dvě papírové kartičky na zápis seedu, tři samolepky a vlastní návod k nastavení. I když návod je trochu silné slovo a celý se dá shrnout do „stáhněte si Trezor Suite a připojte Trezor„.

Bezpečnostní vsuvka: není moc dobrý nápad olepit si samolepkami auto nebo dokonce vstup do domu – nechcete, aby kdokoliv věděl, že Trezor máte.

První dojmy

Na první pohled udělal Trezor obrovský krok kupředu v designu. Pokud jste někdy měli v ruce Trezor One, tak asi uznáte, že na první pohled i dotyk vypadal trochu jako dětská hračka. Kdo nevěděl, že podstatné je to, co je uvnitř, mohl být levně působícím plastem trochu zklamán. U nového modelu Safe 3 už toto určitě nehrozí. Nový Trezor působí na pohled i na dotyk jako standardní moderní kus hardwaru, na kterém je vidět práce designéra. Takže zatímco v recenzi modelu One jsem musel zdůrazňovat, že u Trezoru je fakt to podstané uvnitř, u Safe 3 už je na špičkové úrovni i „obal“ špičkových vnitřností.

Velikostně jsou oba modely prakticky stejné. U Safe 3 chybí očko na šňůrku – pravděpodobně se ukázalo, že zase tak moc lidí nemá potřebu nosit Trezor na krku nebo dokonce na klíčích 🙂

První spuštění

Návod i samotné balení Trezoru vás naviguje na stránku trezor.io/start, kde najdete další instrukce a návody. A i když stále existuje možnost pracovat s Trezorem přes prohlížeč (Chrome nebo Firefox), budu dále popisovat práci v nativní aplikaci Trezor Suite, což je i podle Trezoru preferovaná varianta. Aplikaci pro váš operační systém stáhnete přímo na uvedeném odkazu. A pokud už doma nějaký Trezor máte, můžete následující pasáž přeskočit, protože jste už všechno popisované viděli.

Po spuštění Trezor Suite vás aplikace hezky česky vyzve k připojení Trezoru:

Než tak učiníte, nezapomeňte odstranit přelepku konektoru, bez toho budete marně přemýšlet, kam kabel zasunout. A naopak, pokud přelepku nevidíte, máte problém a Trezor určitě nepoužívejte. Nepředpokládám, že by vám přišel Trezor v originálním balení bez přelepky, toto je spíše varování před nákupem Trezoru z druhé ruky.

Nastavení Trezoru

Přelepka je odstraněna, takže můžete připojit kabel k Trezoru a k počítači. Připomínám jednu ze zásadních modernizací – S3 už používá kabel s koncovkami USB-C, takže odpadá nekonečné otáčení konektoru, aby do Trezoru pásnul. Pokud váš počítač nedisponuje USB-C portem, budete si muset pořídit redukci, stojí ale jen něco okolo 100 Kč.

Po úspěšném připojení se Trezor Suite ujistí, že je Trezor bezpečný, tj. že měl hologramovou přelepku konektoru, že jste ho nekoupili v nějakém pochybném e-shopu nebo dokonce z druhé ruky a že obal byl neporušen:

A protože věřím, že máte Trezor koupený z důvěryhodnoho zdroje a vše přišlo neporušené, klikněte na Nastavit můj Trezor. Odhadovaných 20 minut odpovídá, takže si na nastavení vyhraďte čas a pokud možno klidné místo.

Instalace firmware

Peněženka je dodávána bez firmwaru, takže v dalším kroku jste vyzváni k jeho instalaci. Pokud plánujete používat Trezor pouze k uchování bitcoinů, můžete si zvolit firmware Bitcoin-only. Protože se ale chci v recenzi podívat i na podporu dalších kryptoměn, volím standardní firmware.

Po instalaci firmwaru po vás bude chtít Trezor ještě jednu kontrolu toho, že zařízení je v pořádku a bezpečené. Po spuštění této kontroly musíte potvrdit přímo na Trezoru, že je vše OK a Trezor správně komunikuje s Trezor Suite:

Následně si můžete přímo na Trezoru projít krátký tutoriál, ve kterém je vám vysvětleno, jak fungují tlačítka a co se s nimi dá dělat. Doporučuji tomu těch 30 vteřin věnovat. Narozdíl od Trezor Suite nekomunikuje Trezor česky, ale anglicky. Nicméně těch několik jednoduchých vět snad pochopí i angličtinou nepolíbený uživatel.

V dalším kroku už si volíte, zda chcete udělat novou peněženku, nebo obnovit nějakou existující. Obnova slouží k tomu, abyste do nového Trezoru dostali peněženku z jiného zařízení, například v případě ztráty, poruchy a nebo když peněženku upgradujete. I když už nějakou peněženku máte, bude asi pro většinu uživatelů lepší vytvořit novou a následně do ní prostředky ze staré přesunout. Ale je to na každém. Pokud přecházíte například z modelu Trezor One, tak tady jsou moje dva důvody, proč udělat novou peněženku:

1. Nový Trezor defaultně používá seed o délce 12 slov. Ve vašem starém Trezoru máte pravděpodobně 24 slov. Méně slov nijak nesnižuje bezpečnost a práce s kratší seedem má mnoho výhod – dá se lépe zapamatovat, lépe se vám vejde třeba do Cryptosteel capsule a pokud ho budete rýt do kovu, zabere vám to polovinu času
2. Můžete si nastavit Shamir backup, který model One neumí

Pokračuji tedy volbou Nová peněženka:

Záloha peněženky – seed

Další otázkou je, zda budete chtít pro vaší novou peněženku klasickou zálohu s jedním seedem, nebo Shamir backup. Jaký je mezi tím rozdíl? Stručně: Obyčejná záloha je jeden seznam slov, který potřebujete k obnovení peněženky v případě její ztráty či zničení. Shamir backup umí více sad slov a k obnovení peněženky stačí jen část z nich. Například Shamir backup 2 ze 3 znamená, že budete mít tři sady slov a k obnovení peněženky stačí mít u sebe dvě z nich. Můžete si tak nechat jednu sadu doma, druhou dát do bankovní schránky a třetí třeba někomu z rodiny. Shamir backup je bezpečnější nebo spíše odolnější řešení. Je ale trochu náročnější na plánování toho, kam jednotlivé sady slov schováte. A pokud je chcete uchovat nezničitelné, prodraží se vám i nákup speciálních řešení pro úschovu seedu.

Rozhodněte se podle toho, kolik peněz v Trezoru budete mít. Pro každého znamená hodně peněz něco jiného, ale pro příklad to může být třeba tak, že do milionu korun se spokojíte se standardním seedem a nad milion už pořídíte Shamir backup. Pokud zvolíte jednoduchý seed, důrazně doporučuji posílit ho nastavením passphrase, viz dále.

Protože věřím, že recenzi bude číst spíše více začátečníků, pro které je Trezor Safe 3 první hardwarovou peněženkou, budu pokračovat se standardním seedem. Po potvrzení vaší volby zálohování tlačítkem na Trezoru se peněženka vytvoří během pár sekund. A nyní je třeba si seed pečlivě zapsat.

Trezor vás ještě před jeho zobrazením přinutí odsouhlasit správné zacházení se seedem. Rozhodně si doporučení přečtěte a jen ho bezhlavě neodklikejte. Nejdůležitější a pro začátečníka možná trochu nezvyklé je to, že seed nesmíte v žádném případě uložit elektronicky, což znamená nepsat ho do počítače, ani fotit na mobil!

Přímo na vašem Trezoru se vám pak ukáže 12 slov, která si dobře zapište. V tuto chvíli postačí zápis tužkou na papír, později můžete slova přepsat do nějaké odolnější podoby. Při zapisování seedu nemějte ve svém okolí pro jistou nic s kamerou a rovněž si slova při psaní neříkejte nahlas. Pro kontrolu se vás ještě Trezor na závěr zeptá na tři náhodná slova ze seedu – vyber osmé slovo, vyber druhé slovo a podobně.

Pokud obnovujete peněženku, kde máte seed delší než 12 slov, tak si s tím samozřejmě Safe 3 poradí. Dokonce by měl umět udělat i novou peněženku s více než 12 slovy, ale je to zbytečné. Dvanáct slov bohatě stačí. Když jsem se ptal ChatGPT na to, kolik kombinací seedu o délce 12 slov existuje, napsala mi, že počet kombinací je tak obrovský, že je obtížné si to představit. Můžeme to podle ní přirovnat k počtu atomů ve viditelném vesmíru a pořád to bude málo.

PIN

Dále si nastavte ke svému Trezoru PIN. Ten chrání přístup před nepovolanou osobou. Oproti Terzoru One se PIN už zadává přímo na zařízení a při nastavování ho musíte 2x zopakovat. Opět si ho dobře uchovejte, ideálně samozřejmě někam jinam než Trezor (stejně jako PIN ke kartě nenosíte na lístečku u karty). Pokud se někdo dostane k vašemu Trezoru a zná PIN, má plnou kontrolu nad vašimi bitcoiny!

Výběr kryptoměn

V posledním kroku nastavování si vyberte kryptoměny, které chcete v Trezoru uchovávat. Pokud se vám jich zdá na výběr málo, tak vězte, že spousty populárních kryptoměn jsou fakticky ERC-20 tokeny, které běží na Ethereu, takže pokud chcete mít v Trezoru je, stačí aktivovat Ethereum.
Poznámka: těsně po dopsání článku Trezor doplnil podporu Solany.

A pro zvýšení bezpečí komunikace a vašeho soukromí si ještě můžete zapnout Tor. Což lze jen doporučit, protože každé zvýšení ochrany soukromí a bezpečnosti se hodí. Nic vás to nestojí.

Založení peněženky

Po dokončení nastavení už máte k dispozici svoji novou hlavní peněženku a můžete si vytvořit i další skrytou pomocí passphrase (hesla) – je to další zvýšení bezpečí vašich prostředků. Pokud si založíte peněženku s passphrasí, razantně zvýšíte její bezpečnost – i kdyby někdo získal váš seed, bude mu bez passphrase k ničemu, uvidí jen hlavní peněženku, která může být klidně prázdná a nebo v ní mějte pár satoshi pro zmatení případného útočníka. A naopak samozřejmě platí, že když útočník získá passphrasi, je mu k ničemu bez seedu nebo bez fyzického přístupu k Trezoru se znalostí PINu.

Pokud nepoužijete Shamir backup, určitě používejte peněženku zajištěnou passphrasí. A passphrasi samozřejmě uchovávejte jinde než seed!

Než do nového Trezoru pošlete bitcoiny

A poslední doporučení – než si na novou peněženku pošlete nějaké prostředky udělejte následující:

1. po instalaci Trezor odpojte, Trezor Suite vypněte a zkuste vše spustit a připojit znovu – funguje vám PIN k Trezoru? Fungue passphrase? Dostali jste se v pořádku do své hlavní i skryté peněženky?
2. Jděte do nastavení a tam si udělejte kontrolu seedu – budete zadávat na Trezoru svých 12 slov, jako kdybyste obnovovali peněženku. Je to ale jen simulace, která vám má potvrdit, že jste seed zapsali správně a jste schopni ho použít.

Pokud všechny testy proběhly v pořádku a máte jistotu, že se k peněžence umíte dostat a máte funkční zálohu, můžete ji začít používat a poslat si do ní své pracně vydělané bitcoiny. Jak přijmout nebo odeslat platbu z Trezoru je popsané v recenzi modelu One nebo v obecnějším článku Jak někomu poslat bitcoiny a tady nemá smysl to opakovat.

Čip Secure Element

O USB-C a Shamir backupu už byla řeč, o kvalitnějším zpracování také, takže zbývá zmínit poslední zásadní novinku, která výrazně zvyšuje bezpečnost Trezoru. Není to něco, co by bylo vidět na první pohled, ale o to důležitější posun v bezpečnosti peněženky to je. A protože je to už hodně technické, pomohu si vysvětlením ze stránek Trezoru:

Obecně lze říci, že čip plní dvě klíčové úlohy. Zaprvé zvyšuje fyzickou bezpečnost zařízení tím, že přidává další bezpečnostní vrstvu k mechanismu ochrany PINu. Za druhé hraje důležitou roli při ověřování pravosti zařízení.

Secure Element použitý v Trezoru Safe 3 je OPTIGATM Trust M (V3). Jedná se o čip určený k ochraně vysoce citlivých informací před softwarovými a hardwarovými útoky. V souvislosti s hardwarovými peněženkami je třeba chránit především seed. Trik spočívá v navržení mechanismu, ve kterém Secure Element nemůže zjistit váš seed – a takto je to implementováno v Trezoru.

Secure Element chrání váš PIN (aniž by ho dokázal zjistit), který uvolní tajemství (uložené v Secure Elemetu), které zase chrání váš recovery seed, který je uložený pouze na univerzálním čipu Trezoru a který je zašifrovaný jak PINem zařízení, tak tajemstvím uloženým v Secure Elementu.

Skoro jsem si to vysvětlení musel nakreslit, ale podstatné pro laika je, že Trezor Safe 3 je prostě o něco bezpečnější než jeho předchůdci. Jak přesně to funguje běžný uživatel vědět nepotřebuje. Stejně jako neví jak funguje třeba šifrování GSM.

Závěr

Plusy

• Shamir backup
• Secure Element
• USB-C
• poměr cena/výkon
• open source
• moderní design, kvalitní zpracování, barvičky

Mínusy

• kdybych musel najít nějaký mínus, tak možná to, že Trezor nemluví česky (Suite ano). I když je přímo na Trezoru textů minimum, může to být třeba pro starší generaci trochu problém.

Koupit či nekoupit?

Pokud nemáte dosud žádnou hardwarovou peněženku, je pro vás Safe 3 jasná volba. V době psaní článku se stále ještě prodává model One, který je sice o čtyři stovky levnější, ale i když je One stále spolehlivý a funkční, přeci jen nedává moc smysl šetřit pár stovek a kupovat si o generaci starší peněženku.

Pokud máte model One, tak vás nic netlačí kupovat hned teď Safe 3, ale myslím, že dříve či později neodoláte.

Poděkování

Děkuji Trezoru za poskytnutí kousku k recenzi.

A jestli si po přečtení článku chcete Trezor Safe 3 hned koupit, můžete 🙂

Čtěte dále:

• Jak zálohovat bitcoiny
• Trezor One – recenze a návod
• Trezor představil nové produkty