Détenir une clé privée n’est pas suffisant pour la sécurité des actifs numériques

Les portefeuilles de calcul multipartite (MPC) sont la méthode dominante pour les institutions souhaitant assurer elles‑mêmes la garde de leurs actifs numériques. Typiquement, il s’agit d’un schéma de signature 2‑sur‑2 où le client détient une part de clé sur son appareil et le fournisseur détient l’autre. C’est préférable à faire confiance à un prestataire avec la clé entière et à échanger votre revendication de propriété directe d’un actif contre une revendication de propriété fractionnée si le fournisseur ne couvre pas ses passifs par des actifs à raison de 1 pour 1. Cependant, cela ne fait qu’effleurer la surface de ce que signifie le contrôle et la propriété des actifs numériques. Il existe de multiples autres composants dans l’architecture qui déterminent l’utilisation (ou l’abus) de la clé et qui se présentent actuellement sous la forme d’une boîte noire SaaS. Il est temps de mettre en lumière les portefeuilles MPC et de montrer pourquoi le simple fait de détenir une part de clé est bien loin de tout contrôle tangible ou de toute revendication légitime d’auto‑garde.

Le rôle des institutions dans l’évolution de la garde des actifs numériques

Sans surprise, les grandes institutions financières ont été les premières à remarquer cette illusion après avoir passé ces dernières années à surveiller le secteur des actifs numériques. En matière de garde, elles ont rapidement compris la question de la clé privée, le rôle du matériel et également du MPC. Cependant, en adoptant une approche basée sur le risque pour la gestion des fournisseurs, elles ont voulu comprendre quelles autres dépendances du côté du fournisseur existent. Il s’avère que les clients restent fortement dépendants du fournisseur pour de nombreuses choses qui constitueraient un service ordinaire ou l’utilisation du logiciel. Les exemples peuvent inclure la mise à jour des politiques et de la logique métier du portefeuille, l’ajout de nouvelles blockchains, la récupération douce et la récupération dure du compte ainsi que de multiples autres opérations quotidiennes assez routinières et attendues. Cela se traduit dans l’expérience utilisateur par plusieurs jours nécessaires à un prestataire pour traiter les changements au niveau du compte ou mettre à jour les règles du portefeuille, ce qui signifie en fin de compte que le principal contrôle du client contre certains risques opérationnels identifiés est temporairement rompu jusqu’à ce qu’il soit rétabli.

En approfondissant, les parties prenantes soucieuses de la sécurité comprennent qu’elles détiennent une part de clé mais souhaitent également comprendre le risque lié à la présence d’autres composants logiques dans l’architecture de garde hébergée par un fournisseur SaaS, la méthode dominante pour fournir aujourd’hui le logiciel de portefeuille MPC. Cela conduit à des questions telles que :

1. Si un fournisseur effectue la génération de la part de clé, quelles garanties ai‑je qu’il ne possède pas une copie de ma part de clé ?
2. Si un fournisseur héberge mes politiques, qu’est‑ce qui empêche le fournisseur de les modifier ?
3. Si le service est hébergé par le fournisseur, comment garantir la disponibilité du service et la continuité des activités ?
4. Si le fournisseur est hors ligne, à quelle vitesse puis‑je atteindre mon objectif de temps de récupération ?

Les réponses à ces questions percutent rapidement le voile de toute confiance que le client aurait dans le contrôle et la propriété de ses actifs. Le mot‑clé ici est « confiance », car les réponses à toutes ces questions prennent la forme élaborée de : « Faites‑nous confiance », et comme le montrent les récents événements du marché, cela n’a pas très bien fonctionné par le passé. Les institutions cherchent désormais à s’éloigner de ce type de pratique tout en renforçant leur résilience opérationnelle à l’horizon 2024. Ainsi, les acteurs du marché commencent à réfléchir à la manière dont ces risques et pertes opérationnelles potentielles s’accordent avec leur appétit pour le risque, leurs obligations réglementaires ou tout cadre pertinent imposant des exigences de fonds propres réglementaires pour les actifs pondérés par le risque. Les fournisseurs de services sont, après tout, une extension de la surface de risque de l’entreprise. Bien qu’une institution puisse déléguer une fonction à un tiers, elle ne peut pas déléguer la responsabilité d’une gestion saine du risque ou des obligations réglementaires. Plus une société dépend d’un tiers, comme c’est le cas avec un fournisseur de portefeuille MPC, plus la surveillance et la confiance requises sont importantes.

Accroître le contrôle sur les actifs numériques pour renforcer la sécurité

Une façon de réduire les dépendances à des tiers est que les institutions hébergent elles‑mêmes le logiciel dans leur propre centre de données ou cloud privé, la responsabilité du fournisseur se limitant alors à des tâches telles que la maintenance et les mises à jour du logiciel. Cela est préférable pour de nombreuses institutions financières, car les serveurs sont sur site pour l’accès, maintiennent la sécurité des données et permettent réellement de privilégier la propriété et le contrôle de leurs opérations de garde. Des discussions portent également sur un modèle co‑hébergé qui permettrait au client d’exécuter une instance du logiciel de garde tout en laissant le fournisseur ou un autre tiers exécuter leurs propres instances sur un réseau connecté. Cela pourrait être réalisé de manière à garantir le consensus entre chaque partie (faire confiance mais vérifier) dans un contexte où le fournisseur n’est pas une version centralisée et fiable de la vérité, comme c’est courant aujourd’hui. Ce modèle de déploiement distribué renforcerait également la tolérance aux pannes et constituerait une partie cruciale de la planification de la continuité des activités, sur laquelle les clients ont peu de contrôle aujourd’hui avec leur fournisseur de garde. Ces limitations existent depuis que les portefeuilles MPC ont été conçus à une époque antérieure et intégraient des informations client différentes ; les produits SaaS sont très dogmatiques, ce qui ne présage rien de bon pour les remodeler afin d’une nouvelle réalité qui donne plus de pouvoir aux mains du client. À mesure que ces besoins deviennent de plus en plus connus et recherchés, le marché cherche des fournisseurs prêts à s’insérer dans le sillage alors que l’industrie amorce son prochain cycle d’évolution.

En fin de compte, les institutions souhaitent de plus en plus être les administrateurs de ces produits d’auto‑garde et les gérer au sein de leur périmètre de sécurité tout en garantissant des niveaux élevés de disponibilité du service et de réactivité. Elles doivent démontrer leur résilience opérationnelle, leur continuité d’activité et leur capacité de reprise après sinistre avec des réponses claires sur la manière dont cela se réalise. Un produit SaaS boîte noire ou « Faites‑nous confiance » n’est pas une option. Pour ces raisons, un basculement s’opère du management côté fournisseur vers le management côté client lorsqu’il s’agit de la technologie d’auto‑garde. Cela a commencé avec les parts de clé privée, et cela continuera avec le moteur de politiques, les serveurs, et plus encore. Désintermédiatiser le fournisseur est bénéfique pour le client, sauf si le prestataire doit externaliser entièrement cette fonction, auquel cas l’entreprise pourrait avoir besoin d’un dépositaire régulé, car cela permet non seulement d’influencer et de résoudre le risque plus efficacement, mais pourrait même offrir des améliorations commerciales si la licence du logiciel autorise la création de solutions spécifiques ou de réseaux blockchain d’intérêt. Cette approche est cohérente avec un effort sectoriel visant à maturer en 2024, et les clients exigeront de plus en plus cela de leurs fournisseurs de technologie de garde ou passeront à un fournisseur capable de faciliter ces améliorations souhaitables.