Dijital varlık güvenliğinin üç katmanı, Paribu Custody webinarında ele alındı
Türkiye’nin kendi geliştirdiği teknolojiyle hizmet veren birinci ve tek kripto varlık saklama hizmeti sağlayıcısı Paribu Custody, son webinarında dijital varlık güvenliğinde zorluklara ve tahlillere odaklandı. Yerli kripto varlık saklama teknolojisi ColdShield®’ın tahlilleri, teknik seviyede ele alındı.
Türkiye’nin kendi geliştirdiği teknolojiyle hizmet veren birinci ve tek kripto varlık saklama hizmeti sağlayıcısı Paribu Custody, nizamlı olarak gerçekleştirdiği webinarların üçüncüsünü 31 Mart’ta tamamladı.
“Dijital varlık saklamada yetki, bütünlük, ispat: ColdShield®” başlığıyla düzenlenen online yayında, yerli teknoloji ColdShield®’ın dijital varlık güvenliğinde hangi yapısal meseleleri nasıl çözdüğü, Paribu Custody Eserden Sorumlu Kıdemli Yöneticisi Burcu Atalan ve Paribu Custody Mühendislik Yöneticisi Ahmet Mesut Şahinoğlu’nun iştirakiyle teknik seviyede ele alındı.
ColdShield® bilimsel temeller üzerine inşa edildi
Paribu Custody Eserden Sorumlu Kıdemli Yöneticisi Burcu Atalan, ColdShield® teknolojisinin bir muhtaçlıktan doğduğunu; Paribu kullanıcılarının dijital varlıklarını dış sağlayıcılara bağımlı olmadan, bilgi egemenliği prensibiyle inançlı biçimde saklamak emeliyle hayata geçirildiğini söyledi. Regülatif çerçevenin netleşmesiyle Paribu Custody markasıyla B2B bir esere dönüştüğünü belirten Atalan, “Gerçek dünya varlıklarının tokenizasyonu, staking ve ödeme altyapıları üzere gelişmelerin tümü güçlü bir varlık saklama altyapısına muhtaçlık duyuyor. ColdShield® tam olarak bu altyapı gereksinimini karşılamaya odaklanıyor” dedi.
Paribu Custody Mühendislik Yöneticisi Ahmet Mesut Şahinoğlu, “Dijital varlık güvenliğinde sisteme kimin, hangi yetkiyle eriştiği de en az anahtarın nasıl saklandığı kadar kıymetli. MPC, Secure Enclave ve HSM teknolojilerini bir ortaya getiren ColdShield®, güvenlik argümanını mühendislik kararlarının ötesinde, bilimsel temeller üzerine inşa ediyor” sözlerini kullandı.
Admin Meclisi yapısıyla tekil yetki riski ortadan kalkıyor
TÜBİTAK kriterlerinin soğuk cüzdan süreçlerinde misyonlar ayrılığı öngördüğünü hatırlatan Burcu Atalan, “ColdShield® ‘Admin Meclisi’ özelliğiyle bu gerekliliği mimari seviyede karşılıyor. Yeni yetkili tarifi, kural değişikliği ve inançlı adres eklenmesi üzere kritik süreçler, sadece Admin Meclisi’nin çok imzalı onayından geçtikten sonra sisteme girebiliyor. Her üyeye atanan ve aygıttan dışarıya çıkarılamayan dijital sertifikalar; tüm süreç geçmişini kayıt altına alıyor ve bu sayede yetkisiz rastgele bir teşebbüs, sistem tarafından anında alarm üretiyor” diye konuştu. Atalan ayrıyeten, fiyat verisi ve blokzincir düğümü (node) üzere dış bileşenlerden kaynaklanabilecek risklerin birden fazla kaynak kullanımıyla, yani çoklu kaynak doğrulamasıyla yönetildiğini paylaştı.
Kural motoru “varsayılan engelle” prensibiyle çalışıyor
Politika sisteminin teknik işleyişini anlatan Ahmet Mesut Şahinoğlu, ColdShield®’daki kural motorunun “varsayılan engelle” prensibiyle devreye girdiğini vurguladı. “Sistem birinci açıldığında tüm transferleri engelleyen değiştirilemez bir kural oluşuyor. Müsaadeler, sırf açıkça tanımlandıkları ölçüde genişliyor” diyen Şahinoğlu, “Her kural değişikliği bir evvelki değişikliğin izini taşıyor, bu zincirdeki rastgele bir müdahale bütünlüğü bozarak sistemi durduruyor. Siyaset sistemimiz sırf yapılabilecekleri değil, sürecin süreç içinde değiştirilip değiştirilmediğini de garanti altına alıyor” dedi.
Kör imzalama riski, çok katmanlı doğrulamayla engelleniyor
Webinarın öne çıkan başlıklarından birini oluşturan kör imzalama riski, iç ve dış tehdit senaryoları üzerinden somutlaştırıldı. Şahinoğlu, geçmişte yaşanan küresel güvenlik ihlallerinin büyük kısmında anahtara hiç dokunulmadığını, ataklarda üçüncü taraf kaynakların manipülasyonu yoluyla inançlı donanım modüllerinin (HSM) kör imzalamaya yönlendirildiğini hatırlattı.
ColdShield®’ın bu riskin üstesinden nasıl geldiğini açıklayan Şahinoğlu, sürecin oluşturulduğu anda tüm kritik parametrelerin hash alınıp siyaset sistemiyle doğrulandığını, en küçük bir bilgi değişikliğinin akışın durmasına yol açtığını belirtti. Şahinoğlu, “HSM’e data transferi sadece QR kodu üzerinden evvelce tanımlanmış bilgi yapıları ile gerçekleşiyor. Wi-Fi ve Bluetooth üzere hiçbir ağ ilişkisi kullanılmıyor. HSM aygıtları da onay öncesi birden fazla doğrulama yapacak formda çalışıyor. İsteği kimin gönderdiği, hangi siyaset kuralından geçtiği ve kaynağın yetkisi, imzalama öncesinde doğrulanıyor. Bu sayede HSM, bağlamı anlayan, doğrulayan ve lakin bu biçimde imzalamayı başlatan bir güvenlik katmanına dönüşüyor” dedi.
