Comment les entreprises Bitcoin KEEP vos fonds

Lorsque vous stockez vos bitcoins sur une plateforme d'échange, un site de jeu ou un site d'investissement, vous accordez beaucoup de confiance à l'entreprise.

La sécurité d'un portefeuille personnel avec une quantité relativement faible de pièces est une chose, mais ces sites stockent beaucoup plus de bitcoins que l'utilisateur moyen et sont donc cibles PRIME pour les attaquesAlors, comment protègent-ils votre argent ?

Certains, comme le site de jeu Seals With Clubs, utilisent leur propre Technologies de portefeuille propriétaire, tandis que d'autres travaillent avec des services tiers.

Il existe une variété de techniques et d’outils que les entreprises peuvent utiliser pour essayer de KEEP les pièces précieuses des clients.

Entreposage frigorifique

Le stockage à froid est un candidat évident, et c'est ce que fait le fournisseur de portefeuille et passerelle de paiement marchand Coinbase.

L'entreprise, qui prétend stocker plus de Bitcoin que quiconque au monde, détient 97 % de son capital hors ligne, sur une combinaison de clés USB et de sauvegardes papier. Les clés privées des clés USB sont chiffrées et stockées dans des coffres-forts partout dans le monde.

Les plateformes d'échange, elles aussi, s'appuient sur le stockage à froid pour leur sécurité. « Tous les fonds détenus surCoinsetter« Sont actuellement en stockage à froid », a déclaré Jaron Lukasiewicz, fondateur de la plateforme new-yorkaise. « Nous disposons de plusieurs niveaux de stockage à froid, en fonction de plusieurs facteurs. »

Une entreprise peut gérer son propre stockage à froid, ou elle peut demander à quelqu'un d'autre de le faire. Coinsetter stocke environ 50 % de ses fonds dansXapoLe coffre-fort Bitcoin de .

Xapo facture environ 0,12 % du montant stocké pour gérer les bitcoins d'entreprise dans son coffre-fort Bitcoin , qui se compose de serveurs hors ligne hébergés dans trois endroits en Asie, en Amérique du Sud et aux États-Unis.

La répartition géographique ne se limite T à la redondance des sites physiques. Elle cible également les gouvernements comme vecteur d'attaque. Si les autorités d' une juridiction tentent de saisir des bitcoins dans un coffre-fort, deux autres sites conserveront leurs bitcoins intacts.

Assurance contre les pertes

Aujourd’hui, certains services de stockage à froid complètent les avancées techniques du stockage de Bitcoin en entreprise par une ONE financière : la cyber-assurance.

« Nous avons été la première entreprise Bitcoin à souscrire une Juridique contre la cybercriminalité », a déclaré Brian Armstrong, cofondateur et PDG de Coinbase. « Cette assurance couvre les Bitcoin que nous stockons en direct sur nos serveurs, ainsi que des risques tels que le piratage, le vol interne et les pertes accidentelles dues à des bugs logiciels. »

Le coffre-fort de Xapo est assuré par Meridian Insurance.

Un autre portefeuille prenant en charge le stockage à froid estArsenal, un portefeuille de stockage de classe entreprise développé par Alan Reiner.

John Velissarios, qui a récemment rejoint Armory en tant que responsable de la sécurité de l'information (CISO), a expliqué que le portefeuille dispose d'une version spéciale de stockage à froid conçue pour ne pas se connecter à la blockchain, ce qui signifie qu'il ne publie T de transactions.

« Vous pouvez avoir une machine de stockage à froid complètement déconnectée, sans aucune connectivité avec le monde extérieur. Vous l'utilisez pour libérer des fonds de votre portefeuille », a-t-il déclaré.

Pour profiter du stockage à froid, les utilisateurs d'entreprise peuvent préparer leur transaction Bitcoin sur un ordinateur connecté à Internet, puis la copier sur une clé USB et transférer la transaction vers l'ordinateur de stockage à froid hors ligne, où elles sont signées.

« Vous le recopiez ensuite sur l'ordinateur en ligne et le publiez », a poursuivi Velissarios.

Modules de sécurité matérielle

Cependant, le stockage à froid ne séduit pas tout le monde. Transférer les fonds de ce stockage vers un portefeuille HOT peut prendre du temps, soulignent les détracteurs de cette méthode.

« Les gens d'une entreprise ont besoin d'un accès contrôlé aux fonds », a déclaré Rodolfo Novak, cofondateur deCoinKite« Chaque fois que vous effectuez un stockage à froid, vous ajoutez obligatoirement un Human au mélange, il y a donc une possibilité d'erreur Human . »

En février, CoinKitelancéun service stockant les clés privées en toute sécurité dans des modules de sécurité matériels (HSM), qui ne sont pas directement connectés à Internet, mais fonctionnent plutôt via un proxy qui envoie des requêtes au système. Cela fournit ce que Novak appelle un stockage « à chaud » – des clés conservées en toute sécurité et accessibles via une API.

« Le HSM est isolé de l'Internet standard et T divulgue jamais ses clés. Il est donc pratiquement T d'être piraté », a-t-il déclaré.

Le HSM, que CoinKite a lui-même construit, ne possède pas de serveur web. Il ne peut que prendre en charge les requêtes API provenant du serveur web de CoinKite. Le module doit signer électroniquement ce serveur avant de démarrer, ce qui, selon Peter Gray, cofondateur de CoinKite, signifie qu'aucun processus malveillant ne peut s'exécuter sur le serveur.

Les utilisateurs accèdent au système à l'aide de leurs identifiants de connexion CoinKite, que la société crypte à l'aide d'un algorithme de hachage, et peuvent se protéger davantage contre toute compromission en utilisant l'authentification à deux facteurs (2FA), viaGoogle Authenticator, SMS, ou mêmesur papierauthentification.

Une fois l'utilisateur authentifié, il peut alors accéder à son stockage à froid via une API, qui peut être configurée pour Réseaux sociaux certaines contraintes, comme autoriser l'accès uniquement à partir de certaines adresses IP ou limiter les retraits à un montant défini sur une période de temps spécifiée.

Stockage multisignature

Le stockage multi-signatures (« multisig ») est ONEun des développements les plus importants en matière de sécurité Bitcoin d’entreprise à ce jour.

BitGo

, dont le PDG et cofondateur Will O'Brien affirme qu'il se concentre sur les solutions pour les entreprises et les institutions, évite complètement le stockage à froid au profit du multisig.

O'Brien a déclaré :

Le stockage à froid d'une clé unique est une pratique dangereuse et obsolète. En tant qu'industrie, nous devons mettre fin à cette ère glaciaire du stockage à froid et adopter le multisig, qui permet de rendre un nombre illimité de clés « à froid » et de bénéficier de protections bien plus solides.

Normalisé il y a quelques années dans le cadre deBIP 16 (c'était auparavant une fonctionnalité non standard du protocole), multisig permet à un expéditeur d'exiger plus d' une signature pour confirmer une transaction dans ce que l'on appelle «mde ' signature.

Dans unmd'une transaction multisig, il existe un total de clés privées disponibles pour signer une transaction, et le portefeuille peut être configuré pour exigermde ces clés pour signer la transaction pour que la transaction soit exécutée.

L’idée est d’empêcher une seule personne de compromettre un portefeuille, en exigeant qu’une autre partie connue co-signât cette transaction.

BitGo, qui prétend être le premier fournisseur de fonctionnalités de portefeuille multisig, propose une confirmation de signature « 2 sur 3 », ce qui signifie que deux clés privées doivent être utilisées pour signer une transaction parmi un total de trois disponibles.

ONEun des signataires du scénario est le portefeuille local privé, et l' autre est la clé privée Bitcoin . La troisième clé est une clé de sauvegarde conservée sur le serveur Bitgo.

Armurerie égalementannoncécapacité multisig entièrement décentralisée en juillet. L'entreprise propose des combinaisons multisig jusqu'à m de 7, via des portefeuilles Armory gérés indépendamment, sans l'utilisation d'un site centralisé.

« Les banques ont généralement 2 ou 3 niveaux de sécurité, voire 3 ou 6 niveaux de sécurité, mais elles ne dépassent généralement T 7 niveaux », explique Velissarios, ancien directeur principal du pôle conseil en sécurité d'Accenture, fort d'une expérience similaire chez PricewaterhouseCoopers. « C'est pourquoi le secteur des entreprises est particulièrement adapté à ce type de séparation des tâches et à la fourniture de ces fonctionnalités. »

Stockage décentralisé de clés privées

Le stockage décentralisé de clés multisig hors ligne constitue un avantage considérable pour certains, notamment le PDG d' une entreprise Bitcoin financée par du capital-risque qui a levé plusieurs millions de dollars.

"Je peux fairem « Des structures où toutes les clés privées sont créées hors ligne », a déclaré le PDG, qui a requis l'anonymat. « Ensuite, c'est à moi de décider comment je les traite. Je pourrais en mettre une en ligne, mais le fait est que c'est moi qui décide. »

Le PDG a déclaré :

« Il y a aussi des situations où, pour de très petites sommes d'argent, j'ai un petit portefeuille HOT , où je KEEP 50 $ [en bitcoins]. C'est utile. »

Pour les entreprises qui en veulent plusmLe 18 novembre, CoinKite a lancé le multisig pour son module de sécurité matériel. Le système offrem-de 15 transactions et, comme Armory, ne nécessite T qu'aucune des clés soit stockée sur un serveur central, bien qu'il offre cinq options différentes.

Dans l'option de stockage la plus simple, CoinKite stocke toutes les clés de manière centralisée. Le stockage par phrase secrète conserve les clés dans le HSM, mais les crypte à l'aide du mot de passe unique de l'utilisateur.

La troisième option, « inviter d'autres », permet aux utilisateurs d'inviter d'autres utilisateurs de CoinKite à être cosignataires, qui peuvent ensuite choisir l'option dans laquelle ils souhaitent stocker leur clé.

La quatrième option, hors ligne, utilise un outil open source créé par CoinKite, qui s'exécute dans le navigateur et génère des clés multisig.

« Certaines personnes cosignataires d'un compte pourraient vouloir utiliser le HSM. Nous prenons donc en charge le stockage des clés multisig dans le HSM », explique Gray de CoinKite. « Nous leur fournissons également du code JavaScript pour générer une clé hors ligne, sur un ordinateur T . Ils peuvent ainsi générer une clé totalement hors de CoinKite. »

Enfin, une cinquième option permet aux utilisateurs d’importer des clés à partir d’autres portefeuilles.

Quelle est la prochaine étape pour la sécurité du Bitcoin en entreprise ?

Les entreprises de portefeuilles adaptent spécifiquement leurs solutions aux entreprises. BitGo dispose d'unservice aux entreprisesavec des fonctionnalités telles que les limites de dépenses, les alertes et la surveillance continue du portefeuille. Chez Armory, Velissarios dirigeservices de consultationdivision.

Ce qui aiderait réellement les entreprises Bitcoin , cependant, serait une norme d’audit de sécurité, qui irait au-delà des normes classiques de sécurité des centres de données et de sécurité PCI, pour refléter la nature unique du stockage et de l’utilisation du Bitcoin .

Rien de tel n'existe encore. Un organisme de normalisation de sécurité existant, ou une institution indépendante du secteur Bitcoin , interviendra-t-il ?

Coffre-fort Bitcoinimage via Shutterstock.