Cómo las empresas de Bitcoin KEEP sus fondos seguros

Cuando almacenas tus bitcoins en un exchange, un sitio de apuestas o en un sitio de inversiones, estás depositando mucha confianza en la empresa.

La seguridad de una billetera personal con una cantidad relativamente pequeña de monedas es una cosa, pero estos sitios almacenan muchos más bitcoins que el usuario promedio y, por lo tanto, son objetivos PRIME para el ataqueEntonces, ¿cómo protegen su dinero?

Algunos, como el sitio de apuestas Seals With Clubs, utilizan su propia Tecnología de billetera patentada, mientras que otros trabajan con servicios de terceros.

Hay una variedad de técnicas y herramientas que las empresas pueden utilizar para intentar KEEP seguras las preciadas monedas de sus clientes.

Almacenamiento en frío

El almacenamiento en frío es un candidato obvio, y esto es lo que hace el proveedor de billetera y pasarela de pagos comerciales Coinbase.

La empresa, que afirma almacenar más Bitcoin que nadie en el mundo, Tiene el 97% fuera de líneaEn una combinación de memorias USB y copias de seguridad en papel. Las claves privadas de las memorias USB se cifran y se almacenan en cajas de seguridad en todo el mundo.

Los intercambios también dependen del almacenamiento en frío para su seguridad. "Todos los fondos guardados enCoinsetter"Actualmente se encuentran en almacenamiento en frío", dijo el fundador de la bolsa neoyorquina, Jaron Lukasiewicz. "Tenemos varios niveles de almacenamiento en frío, dependiendo de varios factores".

Una empresa puede gestionar su propio almacenamiento en frío o puede contratar a alguien más para que lo haga. Coinsetter almacena alrededor del 50% de sus fondos enXapoLa bóveda de Bitcoin de

Xapo cobra alrededor del 0,12% de la cantidad almacenada para cuidar los bitcoins empresariales en su bóveda de Bitcoin , que consta de servidores fuera de línea ubicados en tres ubicaciones en Asia, Sudamérica y los EE. UU.

La distribución geográfica no se limita a la redundancia de sitios físicos. También se centra en los gobiernos como vector de ataque. Si las autoridades de una jurisdicción intentan incautar bitcoins en una bóveda, habría otras dos ubicaciones con sus bitcoins intactos.

Asegurarse contra pérdidas

Ahora, algunos servicios de almacenamiento en frío están complementando los avances técnicos en el almacenamiento empresarial de Bitcoin con ONE financiero: el ciberseguro.

"Fuimos la primera empresa de Bitcoin en obtener una Regulación de seguro contra ciberdelitos", declaró Brian Armstrong, cofundador y director ejecutivo de Coinbase. "Esta póliza cubre los Bitcoin que almacenamos en nuestros servidores y cubre riesgos como hackeos, robos internos y pérdidas accidentales debido a errores de software".

La bóveda de Xapo está asegurada por Meridian Insurance.

Otra billetera que admite almacenamiento en frío esArsenal, una billetera de almacenamiento de clase empresarial desarrollada por Alan Reiner.

John Velissarios, quien recientemente se unió a Armory como director de seguridad de la información (CISO), explicó que la billetera tiene una versión especial de almacenamiento en frío diseñada para no conectarse a la blockchain, lo que significa que no publica transacciones.

"Puedes tener una máquina de almacenamiento en frío que esté completamente desconectada, sin conexión con el mundo exterior. La usas para liberar fondos de tu billetera", dijo.

Para aprovechar el almacenamiento en frío, los usuarios empresariales pueden preparar su transacción de Bitcoin en una computadora conectada a Internet, luego copiarla a una unidad USB y transferirla a la computadora de almacenamiento en frío fuera de línea, donde se firman.

"Luego lo copias de nuevo en la computadora en línea y lo publicas", continuó Velissarios.

Módulos de seguridad de hardware

Sin embargo, no a todo el mundo le entusiasma el almacenamiento en frío. Transferir los fondos de ese almacenamiento a una billetera HOT puede llevar mucho tiempo, señalan los críticos del método.

"Las personas en una empresa necesitan acceso controlado a los fondos", dijo Rodolfo Novak, cofundador deCoinKiteCada vez que se realiza un almacenamiento en frío, se añade obligatoriamente un Human , por lo que existe la posibilidad de error Human .

En febrero, CoinKitelanzadoUn servicio que almacena claves privadas de forma segura en módulos de seguridad de hardware (HSM), que no están conectados directamente a Internet, sino que funcionan a través de un proxy que realiza solicitudes al sistema. Esto proporciona lo que Novak denomina almacenamiento "tibio": claves guardadas de forma segura a las que se puede acceder mediante una API.

"El HSM está aislado del Internet estándar y T expone sus claves. Por lo tanto, prácticamente no es posible ser hackeado", dijo.

El HSM, desarrollado por CoinKite, no tiene servidor web. Solo admite solicitudes API desde su propio servidor web. El módulo debe firmar electrónicamente dicho servidor antes de iniciarse, lo que, según Peter Gray, cofundador de CoinKite, significa que no puede haber procesos maliciosos ejecutándose en él.

Los usuarios acceden al sistema usando sus credenciales de inicio de sesión de CoinKite, que la empresa cifra usando un algoritmo de hash, y pueden protegerse aún más de ser comprometidos usando la autenticación de dos factores (2FA), a través deAutenticador de Google, SMS, o inclusobasado en papelautenticación.

Cuando el usuario está autenticado, puede acceder a su almacenamiento en frío a través de una API, que puede configurarse para Síguenos ciertas restricciones, como permitir el acceso solo desde ciertas direcciones IP o limitar los retiros a una cantidad determinada durante un período de tiempo específico.

Almacenamiento multifirma

El almacenamiento multifirma ('multisig') es ONE de los mayores avances en seguridad empresarial de Bitcoin hasta la fecha.

BitGo

, cuyo director ejecutivo y cofundador Will O'Brien dice que se centra en soluciones para empresas e instituciones, evita por completo el almacenamiento en frío en favor de la multifirma.

O'Brien dijo:

El almacenamiento en frío con una sola clave es una práctica peligrosa y obsoleta. Como industria, necesitamos acabar con la era glacial del almacenamiento en frío y adoptar la multifirma, que permite mantener cualquier número de claves "en frío" y contar con una protección mucho más sólida.

Estandarizado hace un par de años como parte deBIP 16 (anteriormente era una característica no estándar en el protocolo), multisig permite que un remitente requiera más de una firma para confirmar una transacción en lo que se conoce como 'metrode ' firma.

En unmetroEn el caso de una transacción multifirma, hay un total de claves privadas disponibles para firmar una transacción y la billetera se puede configurar para requerirmetrode esas claves para firmar la transacción para que la transacción se ejecute.

La idea es evitar que una sola persona pueda comprometer una billetera, al requerir que otra parte conocida firme esa transacción.

BitGo, que afirmó ser el primer proveedor de funcionalidad de billetera multifirma, presenta una confirmación de firma "2 de 3", lo que significa que se deben usar dos claves privadas para firmar una transacción de un total de tres disponibles.

ONE de los firmantes en este escenario es la billetera local privada, y ONE es la clave privada de Bitcoin . La tercera clave es una clave de respaldo almacenada en el servidor de Bitgo.

Armería tambiénanunciadoCapacidad multifirma totalmente descentralizada en julio. La empresa ofrece combinaciones multifirma de hasta m de 7, a través de billeteras Armory administradas independientemente, sin el uso de un sitio centralizado.

"Los bancos suelen tener 2 de 3, o 3 de 6, pero generalmente no pasan de 7", afirmó Velissarios, exdirector sénior de la división de consultoría de seguridad de Accenture, con experiencia similar en PricewaterhouseCoopers. "Por eso, el sector empresarial es ideal para lograr ese tipo de segregación de funciones y proporcionar esas capacidades".

Almacenamiento descentralizado de claves privadas

El almacenamiento de claves multifirma descentralizado y fuera de línea es una ventaja significativa para algunos, incluido el director ejecutivo de una empresa de Bitcoin respaldada por capital de riesgo que ha recaudado varios millones de dólares.

"Puedo hacermetro "De estructuras, donde todas las claves privadas se crean sin conexión", dijo el director ejecutivo, quien pidió no ser identificado. "Luego, cómo las trato depende de mí. Podría poner una de ellas en línea, pero la decisión es mía".

El director ejecutivo dijo:

También hay situaciones en las que, por cantidades muy pequeñas de monedas, tengo una pequeña billetera HOT donde KEEP 50 dólares [en bitcoins]. Eso tiene su utilidad.

Para aquellas empresas que quieren másmetroEl 18 de noviembre, CoinKite introdujo la multifirma para su módulo de seguridad de hardware. El sistema ofrecemetro-de 15 transacciones y, al igual que Armory, no requiere que ninguna de las claves se almacene en un servidor central, aunque sí ofrece cinco opciones diferentes.

En la opción de almacenamiento más sencilla, CoinKite almacena todas las claves de forma centralizada. El almacenamiento de frase de contraseña conserva las claves en el HSM, pero las cifra utilizando la contraseña única del usuario.

La tercera opción, “invitar a otros”, permite a los usuarios invitar a otros usuarios de CoinKite para que sean cosignatarios, quienes luego pueden elegir en qué opción desean almacenar su clave.

La cuarta opción, sin conexión, utiliza una herramienta de código abierto creada por CoinKite, que se ejecuta en el navegador y genera claves multifirma.

"Quizás quienes avalan una cuenta quieran usar el HSM, por lo que facilitamos el almacenamiento de las claves multifirma en el HSM", dijo Gray de CoinKite. "A la vez, les proporcionamos código Javascript para generar una clave sin conexión, en un ordenador que no realiza ninguna otra función. Así, pueden generar una clave completamente fuera de CoinKite".

Finalmente, una quinta opción permite a los usuarios importar claves desde otras billeteras.

¿Qué sigue para la seguridad empresarial de Bitcoin ?

Las empresas de billeteras están adaptando sus soluciones específicamente a las empresas. BitGo tiene unaservicio empresarialcon funciones como límites de gasto, alertas y monitoreo de billetera las 24 horas. En Armory, Velissarios dirige...servicios de consultoríadivisión.

Pero lo que realmente ayudaría a las empresas de Bitcoin es un estándar para auditar la seguridad, que vaya más allá de la seguridad clásica de los centros de datos y los estándares de seguridad PCI, para reflejar la naturaleza única del almacenamiento y uso de Bitcoin .

Todavía no existe nada parecido. ¿Acaso un organismo de estándares de seguridad existente o una institución independiente en el mundo del Bitcoin dará un paso al frente?

Bóveda de Bitcoinimagen vía Shutterstock.