En esta entrevista de Assist Net Protection, Jean-Philippe Aumasson, CSO de Taurus, enfatiza las complejidades de la generación, el almacenamiento y la distribución de claves que a menudo se pasan por alto, subrayando la necesidad de un alto nivel de madurez de seguridad en el manejo de activos digitales.
De cara al futuro, Aumasson predice que el futuro de la protección de los activos digitales estará influenciado por la madurez common, el desarrollo de habilidades internas, los avances tecnológicos y la evolución de las regulaciones. Se espera que las instituciones financieras inviertan estratégicamente en sistemas sólidos para enfrentar estos desafíos.
¿Cuáles son los desafíos más importantes que enfrentan las empresas al proteger sus activos digitales, especialmente en el contexto de la evolución de las amenazas cibernéticas?
El desafío número uno es la gestión de claves. Los activos digitales dependen fundamentalmente de las claves criptográficas: si pierde su clave, perderá el acceso a sus monedas para siempre, y si alguien roba su clave, lo más probable es que las robe. Por eso tu gestión de claves debe ser impecable, lo cual es más fácil decirlo que hacerlo. Desde la generación de claves, el almacenamiento y la distribución de claves hasta la recuperación y rotación de claves, todos los aspectos de la administración de claves parecen simples, pero incluso el más simple es difícil de hacer bien.
Por eso a menudo hago una mueca de dolor cuando escucho la frase “ni tus llaves, ni tu moneda”. Quienes advierten enfáticamente contra los custodios externos tienden a pasar por alto los desafíos clave de la gestión y el riesgo de asumir la responsabilidad uno mismo. Todos conocemos personas u organizaciones que perdieron el acceso a sus criptomonedas debido a copias de seguridad deficientes o inexistentes.
Profundicemos en la generación de claves. Una persona que adquiera bitcoins por valor de 10.000 dólares podría utilizar el generador pseudoaleatorio de una billetera de components y dar por terminado el día. Pero supongamos que usted es una empresa de servicios financieros. En ese caso, ese es un nuevo juego de pelota: estamos hablando de millones o miles de millones, requisitos de cumplimiento y seguimiento de auditoría, riesgo interno, riesgo de sabotaje de la cadena de suministro, recuperación de desastres, and so forth.
Asegurar sus monedas es prepararse para lo peor. Por ejemplo, ¿debería confiar en sistemas de terceros para generar sus claves? ¿Puede satisfacer las demandas de los auditores sin registros completos de la generación de claves? ¿Puede demostrarles a sus clientes que las copias de seguridad funcionarán cuando sea necesario? ¿Qué pasa si las personas encargadas de la gestión clave hoy abandonan la empresa mañana? Hay muchos desafíos que requieren una madurez de alta seguridad que las nuevas empresas Web3 a veces pasan por alto.
¿Cómo pueden las organizaciones equilibrar la necesidad de una sólida protección de los activos digitales con el impulso de la innovación y la agilidad empresarial?
Se trata de reducir la fricción y diseñar procesos fluidos para sus operaciones diarias. Comienza por definir claramente estos procesos desde el principio. Por ejemplo, considere cómo se pasa de una solicitud de transferencia de activos digitales a su aprobación, ejecución y liquidación. Necesita una visión clara de quién es responsable de qué y quién es responsable de cada paso de este proceso.
También me gustaría enfatizar que no debes usar blockchain cuando no lo necesitas. Las cadenas de bloques, al menos su “capa 1”, a menudo introducen retrasos y costos de procesamiento. Además, el flujo de transacciones y los datos asociados son públicos y están disponibles para siempre. No se deben descuidar los riesgos de adelantamiento y de anonimización. Por lo tanto, a veces es mejor trabajar fuera de la cadena. Por ejemplo, ¿tiene que automatizar la distribución de dividendos mediante un contrato inteligente complejo o puede hacer parte de ello fuera de la cadena?
Para integrar mejor los activos digitales en su negocio, es fundamental integrar su solución de gestión de activos digitales con sus sistemas de TI. Si es un banco, esto implica conectarlo a su purple bancaria y aprovechar la API de la solución de custodia para automatizar tareas como los informes financieros. También desea abstraer tanto como sea posible de los detalles técnicos esenciales, como los parámetros de derivación de claves de billetera jerárquica o los aspectos internos de los contratos inteligentes. Desde un punto de vista empresarial, su personal sólo debería ver el ID de una cuenta y su saldo.
¿Qué importancia tiene la implementación de las mejores prácticas de IAM para salvaguardar los activos digitales y cuáles son algunos de los errores comunes que las empresas deben evitar?
La gestión de identidades y los activos digitales no han funcionado bien juntos en el pasado. Esto se debe en parte a uno de los principios fundamentales de blockchain: la ausencia de una identidad tradicional debido a sus propiedades de seudónimo y anonimato. Recomiendo no manejar la identidad en la cadena, y mucho menos confiar a las cadenas de bloques el procesamiento o almacenamiento de información confidencial.
Dicho esto, si tiene una solución de gestión de activos digitales a nivel empresarial, necesita una gobernanza basada en roles y, por lo tanto, un management de acceso basado en roles. Por lo basic, esto implica soluciones de gestión de identidad y acceso (IAM) para autenticar e identificar a las partes y gestionar sus derechos. Por ejemplo, puede conectarse a su solución de activos digitales con el mismo portal de inicio de sesión único (SSO) que utiliza para sus otros servicios empresariales. Y podría implementar capas adicionales de seguridad, como credenciales específicas de aplicaciones o tokens de hardware, para operaciones confidenciales como aprobar transacciones o incluir direcciones en listas blancas.
Desde una perspectiva de seguridad, los IAM centralizados tienen ventajas y desventajas. Existe la obvia objeción al punto único de falla, pero me gusta ver los beneficios: un único sistema para configurar y administrar, la agregación y correlación de registros de actividad de múltiples sistemas y los mecanismos de detección de amenazas.
¿Qué elementos clave deberían incluirse en una política de ciberseguridad para garantizar la protección de los activos digitales en una escisión empresarial?
Primero hay que conseguir los derechos fundamentales. Estos no son específicos de los activos digitales, ya que estamos hablando de políticas y procedimientos básicos de seguridad de TI, desde control de acceso y gestión de vulnerabilidades hasta seguridad de terminales y gestión de cambios. El nivel de madurez necesario depende de sus objetivos, el tamaño de su organización y sus obligaciones regulatorias.
En cuanto a las particularidades de los activos digitales, podemos volver a la gestión de claves. Las políticas deberían, por ejemplo, cubrir aspectos de respaldo y recuperación ante desastres. He visto organizaciones imponer un «período criptográfico» de uno o dos años, después del cual deben rotar sus claves por otras nuevas. También he visto políticas que exigen una revisión trimestral de la integridad de las copias de seguridad y una prueba anual de las mismas. En dicha prueba, obtiene los recursos compartidos de respaldo de acuerdo con sus procedimientos de seguridad y verifica que puede restaurar las claves utilizadas en sus sistemas de producción. Este proceso puede involucrar a auditores externos, cuyo informe daría fe de que la prueba fue exitosa y que los valores de respaldo no han sido expuestos de otra manera.
Por último, es posible que necesite políticas que definan qué tipo de activo digital es aceptable o no. Una política puede definir los criterios de aceptación, incluidos los aspectos técnicos de seguridad. Por ejemplo, es posible que deba realizar la debida diligencia de seguridad de las nuevas plataformas y protocolos de blockchain y organizar auditorías de seguridad de terceros de cualquier contrato inteligente que vaya a utilizar. Una vez revisé los protocolos criptográficos de una plataforma blockchain que un cliente quería usar y les desaconsejé después de encontrar varias vulnerabilidades de seguridad en el código.
¿Puede compartir concepts o lecciones aprendidas de violaciones notables de activos digitales y cómo estas han dado forma a las mejores prácticas actuales en protección de activos?
No faltan ejemplos para elegir, así que veamos dos tipos de desastres de seguridad:
Primero, trucos para los intercambios: los intercambios deben almacenar muchas monedas digitales y necesitan un sistema automatizado para retirar criptomonedas de sus billeteras activas a cuentas externas. Muchos intercambios han aprendido por las malas que las siguientes opciones generalmente no terminan bien: poner demasiado dinero en una billetera caliente, dejar que el CEO y solo ellos administren las billeteras criptográficas, confiar exclusivamente en program puro (a diferencia de las basadas en hardware). entornos seguros) y alardear de lo inhackeables que son sus sistemas.
En segundo lugar, los hackeos de contratos inteligentes, o lo que inevitablemente se obtiene cuando se combinan complejidad técnica, falta de responsabilidad y enormes recompensas financieras con poco o ningún riesgo para los atacantes. Tomemos, por ejemplo, los hacks de puentes, como el hack de Wormhole de 2022. Los puentes son protocolos complejos que conectan dos cadenas de bloques, que tienen el poder de crear monedas de la nada y son mantenidos por organizaciones con poca supervisión regulatoria. Además, las aplicaciones de “finanzas descentralizadas” (DeFi) tienen su propia cuota de historias de terror cuando se trata de hacks de contratos inteligentes. Tratar con este tipo de sistemas es siempre una apuesta riesgo-recompensa y, a veces, es más prudente no apostar, especialmente si está en juego el dinero de sus clientes.
De cara al futuro, ¿qué tecnologías o estrategias emergentes cree que desempeñarán un papel essential en el futuro de la protección de activos digitales?
Hay muchas innovaciones tecnológicas que están ganando terreno, como sistemas a prueba de conocimiento cero y protocolos entre cadenas. Pero no imagino que una sola tecnología desempeñe un papel importante en la protección de los activos digitales empresariales. Básicamente se lessen a la madurez normal, determinada por factores internos y externos. Internamente, esto significa más private capacitado y aprender mediante prueba y error. Externamente, implica maduración tecnológica, marcos y estándares de auditoría mejor alineados y regulaciones que proporcionen la supervisión necesaria.
Concretamente, observamos que las instituciones financieras abordan los activos digitales desde un ángulo estratégico e invierten en sistemas robustos. El cambio está impulsado por una visión de los sistemas financieros que integran valores tokenizados y activos del mundo real, monedas estables y posibles CBDC.
Dichas vistas pueden incluir o no criptomonedas y pueden involucrar libros de contabilidad distribuidos privados/autorizados (a diferencia de cadenas de bloques públicas). Por ejemplo, en Suiza tenemos leyes que reconocen los valores tokenizados y tenemos marcos donde la pérdida de su clave privada no conduce a la pérdida de activos.
