Come le aziende Bitcoin KEEP i tuoi fondi al sicuro

Quando depositi i tuoi bitcoin su un exchange, su un sito di gioco d'azzardo o su un sito di investimenti, stai riponendo molta fiducia nell'azienda.

La sicurezza del portafoglio personale con una quantità relativamente piccola di monete è ONE cosa, ma questi siti memorizzano molti più bitcoin rispetto all'utente medio e sono quindi obiettivi PRIME per l'attaccoQuindi come proteggono i tuoi soldi?

Alcuni, come il sito di gioco d'azzardo Seals With Clubs, utilizzano una Tecnologie di portafoglio proprietaria, mentre altri lavorano con servizi di terze parti.

Esistono diverse tecniche e strumenti che le aziende possono utilizzare per cercare di KEEP le preziose monete dei clienti.

Conservazione a freddo

Un candidato ovvio è l'archiviazione a freddo, ed è proprio ciò che fa Coinbase, fornitore di portafogli e gateway di pagamento per commercianti.

L'azienda, che sostiene di conservare più Bitcoin di chiunque altro al mondo, ne detiene il 97% offline, su una combinazione di chiavi USB e backup cartacei. Le chiavi private sulle unità USB sono crittografate e conservate in cassette di sicurezza in tutto il mondo.

Anche gli exchange si affidano al cold storage per la loro sicurezza. "Tutti i fondi detenuti suIncastonatore di monetesono attualmente in celle frigorifere", ha affermato il fondatore della borsa di New York, Jaron Lukasiewicz. "Abbiamo più livelli di celle frigorifere, a seconda di diversi fattori".

Un'azienda può gestire il proprio cold storage oppure può farlo qualcun altro. Coinsetter conserva circa il 50% dei suoi fondi inXapoil caveau Bitcoin .

Xapo addebita circa lo 0,12% dell'importo depositato per la custodia dei bitcoin aziendali nel suo caveau Bitcoin , costituito da server offline situati in tre sedi in Asia, Sud America e Stati Uniti.

La distribuzione geografica T è solo per ridondanza di siti fisici. Si concentra anche sui governi come vettore di attacco. Se le autorità di ONE giurisdizione provano a sequestrare bitcoin in un caveau, allora ci sarebbero altre due sedi con i loro bitcoin ancora intatti.

Assicurazione contro la perdita

Ora, alcuni servizi di cold storage stanno integrando i progressi tecnici nell'archiviazione aziendale Bitcoin con un ONE finanziario: la cyber-assicurazione.

"Siamo stati la prima azienda Bitcoin a ottenere una Politiche assicurativa contro i reati informatici", ha affermato il co-fondatore e CEO di Coinbase Brian Armstrong. "Questa copre i Bitcoin che conserviamo in tempo reale sui server e copre cose come l'hacking, il furto interno e la perdita accidentale dovuta a bug del software".

La cassaforte di Xapo è assicurata dalla Meridian Insurance.

Un altro portafoglio che supporta l'archiviazione a freddo èArmeria, un portafoglio di archiviazione di classe enterprise sviluppato da Alan Reiner.

John Velissarios, entrato di recente in Armory in qualità di Chief Information Security Officer (CISO), ha spiegato che il portafoglio ha una speciale versione cold storage progettata per non connettersi alla blockchain, il che significa che T pubblica le transazioni.

"Puoi avere una macchina di stoccaggio a freddo completamente scollegata, senza alcuna connettività con il mondo esterno. La usi per liberare fondi dal tuo portafoglio", ha affermato.

Per sfruttare i vantaggi del cold storage, gli utenti aziendali possono preparare la loro transazione Bitcoin su un computer connesso a Internet, quindi copiarla su un'unità USB e trasferire la transazione sul computer offline del cold storage, dove verrà firmata.

"Poi lo si copia di nuovo sul computer online e lo si pubblica", ha continuato Velissarios.

Moduli di sicurezza hardware

Tuttavia, non tutti sono innamorati del cold storage. Trasferire i fondi da tale storage a un HOT wallet può richiedere molto tempo, sottolineano i critici del metodo.

"Le persone in un'azienda hanno bisogno di un accesso controllato ai fondi", ha affermato Rodolfo Novak, co-fondatore diMonetaKite"Ogni volta che si effettua la conservazione a freddo si aggiunge obbligatoriamente un Human al mix, quindi c'è il rischio di errore Human ."

A febbraio, CoinKitelanciatoun servizio che archivia le chiavi private in modo sicuro in moduli di sicurezza hardware (HSM), che non sono direttamente connessi a Internet, ma funzionano invece tramite un proxy che invia richieste al sistema. Ciò fornisce ciò che Novak chiama archiviazione "calda", ovvero chiavi conservate in modo sicuro e accessibili tramite un'API.

"L'HSM è isolato dall'Internet standard e T espone mai le sue chiavi. Quindi T puoi praticamente essere hackerato", ha detto.

L'HSM, che CoinKite ha costruito da sé, non ha un server web. Tutto ciò che può fare è supportare le richieste API dal server web di CoinKite. Il modulo deve firmare elettronicamente quel server prima di avviarsi, il che, secondo il co-fondatore di CoinKite Peter Gray, significa che non possono esserci processi dannosi in esecuzione sul server.

Gli utenti accedono al sistema utilizzando le proprie credenziali di accesso CoinKite, che l'azienda crittografa utilizzando un algoritmo di hashing, e possono proteggersi ulteriormente dalla compromissione utilizzando l'autenticazione a due fattori (2FA), tramiteAutenticazione Google, SMS o anchecartaceoautenticazione.

Una volta autenticato, l'utente può accedere al proprio cold storage tramite un'API, che può essere impostata in modo da Seguici determinati vincoli, come ad esempio consentire l'accesso solo da determinati indirizzi IP o limitare i prelievi a un importo stabilito in un periodo di tempo specificato.

Archiviazione multifirma

L'archiviazione multifirma ('multisig') è ONE degli sviluppi più importanti nella sicurezza aziendale Bitcoin fino ad oggi.

Vai a Bit

, che secondo il CEO e co-fondatore Will O'Brien si concentra su soluzioni per aziende e istituzioni, rinuncia completamente all'archiviazione a freddo in favore del multisig.

O'Brien ha detto:

"L'archiviazione a freddo con chiave singola è una pratica pericolosa e obsoleta. Come settore, dobbiamo porre fine all'era glaciale dell'archiviazione a freddo e adottare il multisig, con cui è possibile rendere "fredde" un numero qualsiasi di chiavi e avere protezioni molto più forti."

Standardizzato un paio di anni fa come parte diPIP 16 (in precedenza era una caratteristica non standard del protocollo), multisig consente a un mittente di richiedere più di ONE firma per confermare una transazione in quella che è nota come 'Mdi ' firma.

In unMdi transazione multisig, ci sono un totale di chiavi private disponibili per firmare una transazione e il portafoglio può essere impostato per richiedereMdi tali chiavi per firmare la transazione affinché la transazione venga eseguita.

L'idea è quella di impedire a una singola persona di compromettere un portafoglio, richiedendo a un'altra parte nota di co-firmare la transazione.

BitGo, che si vanta di essere il primo fornitore di funzionalità di portafoglio multisig, offre la conferma della firma "2 su 3", il che significa che per firmare una transazione devono essere utilizzate due chiavi private su un totale di tre disponibili.

ONE dei firmatari nello scenario è il portafoglio locale privato, e ONE di questi è la chiave privata Bitcoin . La terza chiave è una chiave di backup conservata sul server Bitgo.

Armeria ancheannunciatocapacità multisig completamente decentralizzata a luglio. L'azienda offre combinazioni multisig fino a m di 7, tramite portafogli Armory gestiti in modo indipendente, senza l'uso di un sito centralizzato.

"Le banche in genere hanno 2 su 3, o 3 su 6, ma in genere T vanno oltre 7", ha affermato Velissarios, ex dirigente senior nel ramo di consulenza sulla sicurezza di Accenture, con esperienza simile presso PricewaterhouseCoopers. "Ecco perché lo spazio aziendale è molto adatto per realizzare quel tipo di segregazione dei compiti e fornire quelle capacità".

Archiviazione decentralizzata delle chiavi private

L'archiviazione decentralizzata delle chiavi multisig offline rappresenta un vantaggio significativo per alcuni, tra cui il CEO di ONE Bitcoin finanziata da VC che ha raccolto diversi milioni di dollari.

"Posso fareM di strutture, dove tutte le chiavi private vengono create offline", ha detto il CEO, che ha chiesto di non essere nominato. "Quindi, come le tratto dipende da me. Potrei metterne ONE online, ma il punto è che la scelta è mia".

Il CEO ha affermato:

"Ci sono anche situazioni in cui, per quantità molto piccole di monete, ho un piccolo portafoglio HOT , dove KEEP 50 $ [in bitcoin]. Questo ha il suo posto."

Per quelle aziende che vogliono di piùMs per i loro s, il 18 novembre, CoinKite ha introdotto multisig per il suo modulo di sicurezza hardware. Il sistema offreM-transazioni su 15 e, come Armory, T richiede che nessuna delle chiavi sia archiviata su un server centrale, sebbene offra cinque diverse opzioni.

Nell'opzione di archiviazione più semplice, CoinKite archivia tutte le chiavi centralmente. L'archiviazione tramite passphrase conserva le chiavi nell'HSM, ma le crittografa utilizzando la password univoca dell'utente.

La terza opzione, "invita altri", consente agli utenti di invitare altri utenti di CoinKite a diventare cointestatari, i quali potranno quindi scegliere in quale opzione desiderano archiviare la propria chiave.

La quarta opzione, offline, utilizza uno strumento open source creato da CoinKite, che viene eseguito nel browser e genera chiavi multisig.

"Alcune delle persone che sono cofirmatarie di un account potrebbero voler usare l'HSM, quindi supportiamo l'archiviazione delle chiavi multisig nell'HSM", ha affermato Gray di CoinKite. "Allo stesso tempo, forniamo loro anche codice Javascript per generare una chiave offline, su un computer che T fa nient'altro. Così possono generare una chiave completamente al di fuori di CoinKite".

Infine, una quinta opzione consente agli utenti di importare le chiavi da altri portafogli.

Quale futuro per la sicurezza Bitcoin aziendali?

Le aziende di wallet stanno adattando specificamente le loro soluzioni alle aziende. BitGo ha unservizio aziendalecon funzionalità come limiti di spesa, avvisi e monitoraggio del portafoglio 24 ore su 24. In Armory, Velissarios dirige ilservizi di consulenzadivisione.

Ciò che aiuterebbe davvero le aziende che operano Bitcoin , però, è uno standard per la verifica della sicurezza, che vada oltre i classici standard di sicurezza dei data center e di sicurezza PCI, per riflettere la natura unica dell'archiviazione e dell'utilizzo Bitcoin .

Non esiste ancora nulla del genere. Un ente di standard di sicurezza esistente, o un'istituzione indipendente nel mondo Bitcoin , si farà avanti?

Cassaforte Bitcoinimmagine tramite Shutterstock.