Opkomst blockchains zorgt voor nieuwe beveiligingsuitdaging

Een belangrijk verschil tussen blockchains en traditionele financiële systemen is dat transacties in een blockchain onomkeerbaar zijn. Vanwege het decentrale karakter van blockchains, is er geen partij die foutieve of frauduleuze transacties terug kan draaien. Bovendien zijn fraudeurs vaak anoniem.

Beveiligingsincidenten
Het is dan ook niet verrassend dat Bitcoin-bedrijven vaak te maken hebben met beveiligingsincidenten. Het bekendste is waarschijnlijk Mt. Gox, ooit de grootste Bitcoin exchange. De beurs raakte meer dan 650,000 bitcoins kwijt, een verlies dat uiteindelijk tot het faillissement van het bedrijf leidde. 

Maar de lijst is veel groter: in 2012 werden Bitcoinica en Bitfloor gehackt, Bitstamp werd in 2015 succesvol aangevallen, en ook Bitfinex raakte in 2016 voor meer dan 72 miljoen euro aan bitcoins kwijt. Al deze aanvallen hadden grote gevolgen voor de betreffende bedrijven (en hun klanten). En waar bij traditionele systemen frauduleuze transacties vaak (gedeeltelijk) ongedaan gemaakt kunnen worden, is dit bij Bitcoin niet mogelijk.

4 beveiligingstips voor blockchain
Nog meer dan bij traditionele (financiële) systemen vraagt het implementeren van blockchain-technologie dus om grote zorgvuldigheid op beveiligingsvlak. Daarom is het goed in ieder geval de volgende 4 maatregelen te nemen:
1.    Breng de bitcoins of andere crypto-valuta zoveel mogelijk onder in ‘cold wallets’, welke opgeslagen worden op computers die niet met een netwerk verbonden zijn. Alleen kleine hoeveelheden valuta die direct nodig zijn om mee te handelen kunnen ondergebracht worden in een ‘hot wallet’ die wel rechtstreeks toegankelijk is.

2.    Scherm de server die de cryptovaluta beheert zoveel mogelijk af van andere systemen. Deze server hoeft dan alleen API-calls voor het doen van transacties te bevatten. Zo wordt voorkomen dat een aanvaller die toegang weet te verkrijgen tot de webserver ,ook meteen toegang heeft tot de wallet met cryptovaluta.

3.    Onderschat het risico op insider-attacks niet. Ter bescherming hiertegen kan gebruik gemaakt worden van zogenaamde multi-signatures zodat elektronische handtekeningen van meerdere personen nodig zijn om een transactie uit te kunnen voeren. 

4.    Maak beveiliging integraal onderdeel van het ontwikkelproces en niet een element ‘dat er later bijkomt’.

Matthijs Melissen is Security Consultant bij Computest