Безопасность криптовалюты: три подхода к кастодиальному хранению ключей

Кастодиан — доверять другому

Разберёмся сначала с тем, что такое кастодиан. Термин пришёл к нам из английского языка: custodian — «хранитель». Это организация, которая берёт на себя хранение и защиту закрытых ключей (секретный цифровой код, который подтверждает право распоряжаться криптовалютой) или цифровых активов пользователя. В зависимости от архитектуры кастодиан может также выполнять функции биржи и предлагать дополнительные сервисы: стейкинг, кредитование, восстановление учётной записи или повышенные меры безопасности. Для фондов и институциональных инвесторов кастодиан — необходимость: закон не позволяет, чтобы доступом к деньгам клиентов распоряжался один человек с одним ключом, — нужны разделение доступа, аудит и понятная ответственность на случай проблем. Но у этого есть цена: сервис может заблокировать вывод, обанкротиться или смешать клиентские активы с собственными. Этим кастодиальное хранение отличается от некастодиального, где ключи и полный контроль остаются у самого владельца.

HSM: неизвлекаемый криптоключ

Первое решение — специализированный физический модуль безопасности (HSM). Аппаратные модули остаются одним из самых надёжных вариантов на рынке. Криптоключ генерируется и хранится прямо внутри железа — извлечь его оттуда невозможно.

Для взаимодействия сервера с HSM используются кардридер и смарт-карта. Она выступает фактором аутентификации и содержит ключ, необходимый для установления защищенного соединения с модулем. Без такой карты и соответствующих прав злоумышленник не сможет воспользоваться HSM, даже при физическом доступе к устройству.

Аппаратный модуль работает исключительно в криптографической плоскости: он не хранит сведения о конкретных пользователях, не ведёт учёт токенов и не реализует бизнес‑правила вроде лимитов или ролевой модели. Эти функции возлагаются на слой сервисных политик — там задаются правила: кто может инициировать операцию, какие согласования требуются и какие лимиты применяются к пользователю, токену или периоду.

Решение на базе HSM представляет собой связку: надежный модуль плюс тщательно защищённые сервисные политики. Такие системы относительно легко проверять. Многие крупные отечественные финансовые институты выбирают HSM, когда нужна максимальная изоляция ключей. На практике HSM часто выступает основой для холодного хранения ключей в проектах с жёсткими регуляторными требованиями. Например, когда кастодиан должен соответствовать законодательным нормам для работы с резидентами.

MPC: раздробленный на три доли криптоключ

Второй криптографический подход предполагает, что закрытый ключ доступа не существует как единая сущность. Он разделяется на несколько секретных долей (shares), которые распределяются между разными устройствами или участниками. Ни одна часть ключа по отдельности не даёт возможности подписать транзакцию.

В основе подхода — криптографически минималистичные многосторонние вычисления (MPC) для распредёленной генерации долей. Внутри самой криптографии нет никакой сложной бизнес-логики.

Типичная схема хранения и использования распределенного ключа — два из трёх. Например, одна доля — у кастодиана, вторая — у клиента. Третья хранится полностью вне любой сети: в сейфе, банковской ячейке или просто записана на листе бумаги. Никто не владеет полным ключом. Для подписания транзакции достаточно двух подписей из трех.

MPC-схема остается минималистичной: она отвечает за пороговую подпись. Лимиты, согласования и проверки реализуются на уровне сервисных политик, которые регулируют доступ кастодиана к его доле. Кастодиан участвует в подписании своей доли только после прохождения сервисных политик.

В качестве дополнительного уровня защиты долю ключа клиента можно хранить в трех разных режимах.

• Горячий режим — на онлайн-сервере в постоянном доступе. Даже если сервер полностью взломают, одной доли недостаточно для кражи активов.
• Теплое хранение — на доверенном устройстве, подключенном к интернету, но не на сервере, который всегда онлайн. Самый простой вариант — это мобильный телефон. Чтобы подписать транзакцию, используется биометрия, и ответственный за подписание транзакций прикладывает палец к сенсору.
• Холодное хранение предполагает наличие физической смарт-карты, которая общается с доверенным смартфоном по NFC. Когда понадобится финально согласовать транзакцию, пользователь прикладывает к телефону смарт-карту. Это физическое действие, требующее наличие смарт-карты в руках, — только через радиочастотный механизм ближнего действия можно обеспечить связь. Это максимально безопасный способ хранения, который практически не подвержен компрометации, а как и где хранится смарт-карта — не важно, она не подключена к интернету.

Если кастодиан попытается незаконно присвоить средства, у него это не получится: он имеет доступ только к своей доле ключа, но не к долям клиента. При закрытии кастодиана как компании — отключении серверов и прекращении сервисов — клиент может использовать свою долю и долю из сейфа для восстановления доступа к средствам. Деньги не остаются «заблокированными»: после восстановления доступа транзакции продолжают работать.

То, как и где хранится третья доля, во многом определяет всю модель хранения. Если она находится у кастодиана, это полноценное кастодиальное хранение. Кастодиан может восстановить доступ пользователю или заблокировать активы по решению суда. Для резидентов РФ такое кастодиальное хранение в большинстве случаев обязательно по законодательству.

Если клиент держит две из трёх долей сам, и кастодиан их никогда не видел — это некастодиальная модель. Здесь кастодиан выступает скорее технологическим провайдером. Но если клиент скомпрометирует обе свои доли, то его деньги, скорее всего, пропадут безвозвратно, и никто их не восстановит.

TEE: «безопасная комната» внутри самого чипа

Третий подход использует встроенные возможности современных серверных процессоров, такие как доверенная среда выполнения (Trusted Execution Environments, TEE). Это технология, которая предоставляет защищённую и изолированную область внутри основного процессора, работающую независимо от операционной системы.

Процессоры Intel, начиная с 4-го поколения, умеют создавать абсолютно изолированный «сейф» внутри себя (enclave). Ещё на стадии изготовления в кристалл каждого такого процессора зашиты уникальные ключи-идентификаторы (fuse keys), которые своими корневыми сертификатами восходят к корневому сертификату Intel.

Код или виртуальную машину запускают внутри enclave. Память в ней шифруется на лету. Root-пользователь, гипервизор, администратор сервера — никто не имеет доступа к этой памяти. Процессор просто забирает область под свой полный контроль.

При обращении третьей стороны процессор выполняет удалённую аттестацию (Remote Attestation) и использует fuse keys, чтобы криптографически подписать справку о том, что этот конкретный код с этим хешем запустился именно на этом железе, а не на подделке или эмуляторе.

Извлечь ключ доступа из такого процессора — задача лабораторного уровня с использованием электронной микроскопии. Исследователи в области безопасности провели эксперимент и заявили, что им удалось извлечь ключ из чипа Intel SGX Fuse Key0. Правда, в официальном ответе Intel говорилось, что это был лишь зашифрованный ключ из конкретного экземпляра процессора без компрометации всей платформы. Чтобы его использовать, требуется отдельная расшифровка. А это уже нетривиальная криптографическая задача, которая на практике не решена.

TEE дополняет подходы на основе HSM и MPC. Доступ к HSM контролируется через смарт-карты и сервисные политики — TEE позволяет усилить эту защиту: он гарантирует, что с модулем безопасности работает именно доверенная версия политик и легитимный обладатель смарт-карты, а не поддельный или модифицированный код. TEE не заменяет HSM или MPC, но усиливает их, контролируя не только владельца карты, но и сам исполняемый код. В аттестованном ЦОДе с физической охраной и строгим контролем доступа такой комбинированный барьер становится практически непреодолимым.