Türkiye’nin kendi geliştirdiği teknolojiyle hizmet veren birinci ve tek kripto varlık saklama hizmeti sağlayıcısı Paribu Custody, son webinarında dijital varlık güvenliğinde zorluklara ve tahlillere odaklandı. Yerli kripto varlık saklama teknolojisi ColdShield®’ın tahlilleri, teknik seviyede ele alındı.
Türkiye’nin kendi geliştirdiği teknolojiyle hizmet veren birinci ve tek kripto varlık saklama hizmeti sağlayıcısı Paribu Custody, sistemli olarak gerçekleştirdiği webinarların üçüncüsünü 31 Mart’ta tamamladı.
“Dijital varlık saklamada yetki, bütünlük, delil: ColdShield®” başlığıyla düzenlenen online yayında, yerli teknoloji ColdShield®’ın dijital varlık güvenliğinde hangi yapısal sıkıntıları nasıl çözdüğü, Paribu Custody Eserden Sorumlu Kıdemli Yöneticisi Burcu Atalan ve Paribu Custody Mühendislik Yöneticisi Ahmet Mesut Şahinoğlu’nun iştirakiyle teknik seviyede ele alındı.
ColdShield® bilimsel temeller üzerine inşa edildi
Paribu Custody Eserden Sorumlu Kıdemli Yöneticisi Burcu Atalan, ColdShield® teknolojisinin bir muhtaçlıktan doğduğunu; Paribu kullanıcılarının dijital varlıklarını dış sağlayıcılara bağımlı olmadan, bilgi egemenliği unsuruyla inançlı biçimde saklamak hedefiyle hayata geçirildiğini söyledi. Regülatif çerçevenin netleşmesiyle Paribu Custody markasıyla B2B bir esere dönüştüğünü belirten Atalan, “Gerçek dünya varlıklarının tokenizasyonu, staking ve ödeme altyapıları üzere gelişmelerin tümü güçlü bir varlık saklama altyapısına gereksinim duyuyor. ColdShield® tam olarak bu altyapı muhtaçlığını karşılamaya odaklanıyor” dedi.
Paribu Custody Mühendislik Yöneticisi Ahmet Mesut Şahinoğlu, “Dijital varlık güvenliğinde sisteme kimin, hangi yetkiyle eriştiği de en az anahtarın nasıl saklandığı kadar değerli. MPC, Secure Enclave ve HSM teknolojilerini bir ortaya getiren ColdShield®, güvenlik tezini mühendislik kararlarının ötesinde, bilimsel temeller üzerine inşa ediyor” tabirlerini kullandı.
Admin Meclisi yapısıyla tekil yetki riski ortadan kalkıyor
TÜBİTAK kriterlerinin soğuk cüzdan süreçlerinde vazifeler ayrılığı öngördüğünü hatırlatan Burcu Atalan, “ColdShield® ‘Admin Meclisi’ özelliğiyle bu gerekliliği mimari seviyede karşılıyor. Yeni yetkili tarifi, kural değişikliği ve inançlı adres eklenmesi üzere kritik süreçler, sadece Admin Meclisi’nin çok imzalı onayından geçtikten sonra sisteme girebiliyor. Her üyeye atanan ve aygıttan dışarıya çıkarılamayan dijital sertifikalar; tüm süreç geçmişini kayıt altına alıyor ve bu sayede yetkisiz rastgele bir teşebbüs, sistem tarafından anında alarm üretiyor” diye konuştu. Atalan ayrıyeten, fiyat verisi ve blokzincir düğümü (node) üzere dış bileşenlerden kaynaklanabilecek risklerin birden fazla kaynak kullanımıyla, yani çoklu kaynak doğrulamasıyla yönetildiğini paylaştı.
Kural motoru “varsayılan engelle” prensibiyle çalışıyor
Politika sisteminin teknik işleyişini anlatan Ahmet Mesut Şahinoğlu, ColdShield®’daki kural motorunun “varsayılan engelle” prensibiyle devreye girdiğini vurguladı. “Sistem birinci açıldığında tüm transferleri engelleyen değiştirilemez bir kural oluşuyor. Müsaadeler, sadece açıkça tanımlandıkları ölçüde genişliyor” diyen Şahinoğlu, “Her kural değişikliği bir evvelki değişikliğin izini taşıyor, bu zincirdeki rastgele bir müdahale bütünlüğü bozarak sistemi durduruyor. Siyaset sistemimiz sadece yapılabilecekleri değil, sürecin süreç içinde değiştirilip değiştirilmediğini de garanti altına alıyor” dedi.
Kör imzalama riski, çok katmanlı doğrulamayla engelleniyor
Webinarın öne çıkan başlıklarından birini oluşturan kör imzalama riski, iç ve dış tehdit senaryoları üzerinden somutlaştırıldı. Şahinoğlu, geçmişte yaşanan küresel güvenlik ihlallerinin büyük kısmında anahtara hiç dokunulmadığını, akınlarda üçüncü taraf kaynakların manipülasyonu yoluyla inançlı donanım modüllerinin (HSM) kör imzalamaya yönlendirildiğini hatırlattı.
ColdShield®’ın bu riskin üstesinden nasıl geldiğini açıklayan Şahinoğlu, sürecin oluşturulduğu anda tüm kritik parametrelerin hash alınıp siyaset sistemiyle doğrulandığını, en küçük bir data değişikliğinin akışın durmasına yol açtığını belirtti. Şahinoğlu, “HSM’e bilgi transferi sadece QR kodu üzerinden evvelce tanımlanmış bilgi yapıları ile gerçekleşiyor. Wi-Fi ve Bluetooth üzere hiçbir ağ kontağı kullanılmıyor. HSM aygıtları da onay öncesi birden fazla doğrulama yapacak halde çalışıyor. İsteği kimin gönderdiği, hangi siyaset kuralından geçtiği ve kaynağın yetkisi, imzalama öncesinde doğrulanıyor. Bu sayede HSM, bağlamı anlayan, doğrulayan ve fakat bu formda imzalamayı başlatan bir güvenlik katmanına dönüşüyor” dedi.
