Zal deze Belgische startup bijdragen aan doorbraak cryptomunten?

Zelfs de veiligste worden bestolen

Zoals een recent artikel van MIT Technology Review illustreert, zijn hacks en beveiligingsinbreuken een van de fundamentele uitdagingen geworden voor aanhangers en ontwikkelaars van de blockchain. Het beveiligen van eigendommen en transacties in de blockchain is een must om de reputatie van deze revolutionaire technologie te beschermen en een breder draagvlak ervoor mogelijk te maken. En hoewel kleine, opkomende blockchain-initiatieven altijd al bekend zijn geweest als kwetsbaar, tonen recente gebeurtenissen aan dat zelfs de grootste en veiligste initiatieven niet onaantastbaar zijn. Nog maar een paar maanden geleden berichtten de media dat hackers voor 40 miljoen dollar aan bitcoins hadden gestolen van Binance, een van de grootste platforms ter wereld voor de aankoop en uitwisseling van cryptomunten. Het totaal aantal cryptomunten dat in de voorbije twee jaar werd gestolen door hacks, wordt geschat op een equivalent van meer dan vier miljard dollar. En dat zijn alleen de diefstallen die publiek zijn gemeld.

Ook de oprichters van NGRAVE zijn niet gespaard gebleven van crypto-aanvallen. Ruben Merre zegt: "Wij zijn alle drie early adopters van blockchain-technologie, elk om onze eigen redenen. Onze CTO is het slachtoffer geweest van verschillende diefstallen van zijn cryptomunten. En Edouard en ikzelf investeren nog steeds vrij conservatief in cryptomunten, omdat we het gevoel hebben dat het nog niet veilig genoeg is. Wat het meest frustrerend is aan cryptodiefstal, is dat je het gestolen geld kunt blijven traceren, maar dat je niet in staat bent om het ooit terug te krijgen. Hoewel dergelijk onrecht ons dwingt om waakzaam te blijven, is het tegelijkertijd precies wat ons drieën bij elkaar heeft gebracht: een streven naar veiligere interacties in de blockchain, zodat niemand meer het slachtoffer hoeft te worden van dit soort diefstal". 

Focus op A tot Z beveiliging van private sleutels

Begin 2018 staken de oprichters van NGRAVE de koppen bij elkaar en kwamen al snel met een zakelijk idee en het eerste ontwerp voor een prototype. Hoewel beveiliging van de blockchain vanuit verschillende invalshoeken kan worden benaderd, besloten ze zich te richten op de eindgebruiker. Ondersteund door een grondig markt- en klantenonderzoek werd de specifieke focus van NGRAVE de A tot Z bescherming van de private sleutels van de gebruikers van de blockchain: van de eerste aankoop van hun cryptomunten tot de overdracht van digitale bezittingen aan hun erfgenamen en alles ertussen.

Voor wie niet bekend is met cryptomunten: elke wallet – het crypto-equivalent van een bankrekening – wordt gedefinieerd door twee sleutels. Een openbare sleutel, het equivalent van je bankrekeningnummer, stelt mensen in staat om valuta van de ene rekening naar de andere over te maken. En een private sleutel, het equivalent van een 4-cijferige code of een andere authenticatie, waarmee je jezelf en je transacties kunt legitimeren. Belangrijke opmerking: omdat ze worden gegenereerd door asymmetrische cryptografie, zijn de twee sleutels inherent aan elkaar gekoppeld. Waarbij asymmetrisch betekent dat je private sleutel nooit kan worden verkregen of geraden uit je publieke sleutel; terwijl je private sleutel wél volledige toegang geeft tot de informatie over je publieke sleutel en de bezittingen die eraan gekoppeld zijn. In tegenstelling tot de 4-cijferige code van een gewone bankrekening, kan je je private sleutel niet wijzigen, aangezien deze onomkeerbaar gekoppeld is aan de openbare sleutel. Daarom is bij het betreden de blockchainwereld waarschijnlijk het allerbelangrijkste om je private sleutel(s) privé te houden. 

De online achilleshiel: waar bestaande oplossingen tekortschieten

Op het eerste zicht triviaal, maar de oprichters van NGRAVE leerden al snel dat geen enkele bestaande oplossing voldeed om private sleutels onzichtbaar - of onvindbaar - te houden. De achilleshiel is dat alle bestaande producten en diensten op een bepaald moment vereisen dat de gebruiker online gaat en daardoor het risico loopt zijn private sleutel te onthullen. Bijvoorbeeld door een waslijst aan malware, phishing-aanvallen, speciale zoekalgoritmen enz. Of simpelweg omdat een private sleutel wordt aangeleverd (en soms ook wordt opgeslagen) door een derde partij die misschien niet zo betrouwbaar is als ze lijkt.

Een ander aspect van de bescherming van je private sleutel is het opslaan en onthouden ervan. Hiervoor bestaan er verschillende offline oplossingen, de zogenaamde koude opslag of cold storage devices. Maar zelfs de meest geavanceerde, bijvoorbeeld op basis van robuuste staalgravures, bevatten als back-up nog steeds – zonder grap – ook een ordinaire pen en papier in de verpakking... Studies tonen aan dat meer dan 90% van de gebruikers vertrouwen op zo'n "papieren portemonnee", wat duidelijk niet de meest robuuste oplossing is. En als ze dat niet doen, bestaan hun alternatieve oplossingen meestal uit een apparaat of item dat uit één stuk is gemaakt. Dat betekent dat het nog steeds een "single point of failure" bevat: als je je koude opslag kwijtraakt (of als hij gestolen wordt), lopen je crypto-assets op je openbare sleutel onmiddellijk gevaar.

De customer journey: van warme naar koude wallets

Voor wie geen ervaring heeft met blockchain en wil begrijpen wat A tot Z bescherming betekent, kan het handig zijn om een idee te krijgen van de weg die je als gebruiker aflegt om een wallette verkrijgen en te gebruiken. Op zeer hoog niveau kan een crypto-avontuur worden onderverdeeld in drie soorten plekken waar valuta's worden opgeslagen of verhandeld. Ten eerste zijn er de wisselplatformen (exchange platforms): 'websites' waar je cryptomunten kunt kopen, verkopen en omwisselen. Om dit te doen, geven ze je een account om in te loggen op het platform. Het platform is de eigenaar van de private sleutels en de gebruiker kent ze niet eens. Meer specifiek: technisch gezien ben je als klant eigenlijk nooit echt eigenaar van de crypto op het platform (je hebt gewoon een volmacht voor een account). Een account waarvan je in principe geen inzicht hebt in hoe de publieke en private sleutels zijn gegenereerd, hoe ze zijn opgeslagen en wie er toegang toe heeft. Het is daarom ten zeerste aan te raden om deze accounts alleen te gebruiken voor het verhandelen van munten en de verkregen valuta zo snel mogelijk over te maken naar een veiligere walletwaar je meer controle over hebt.

Daarmee betreed je dan een van de twee andere plekken: warme of koude wallets. Warme (hot) wallets zijn online accounts waar je je cryptomunten kan opslaan en er transacties mee kunt uitvoeren. Deze lijken iets veiliger dan de wisselplatformen, maar genereren toch de sleutels voor jou en vaak kan je er niet 100% zeker van zijn dat je de enige bent die je persoonlijke sleutel bewaart. Voor de meeste gebruikers zijn koude (cold) wallets dus een must-have. In deze gevallen koop je een speciaal hardware-apparaat waarmee je je wallet en sleutels genereert, opslaat en beheert. Anders dan de hot wallets, zijn cold wallets niet continu online of 'in de cloud', en dus inherent al een stuk veiliger. Bovendien geven cold wallets de gebruiker meer controle over zijn private sleutel en wie deze te zien krijgt. Maar omdat deze sleutels worden gegenereerd door de fabrikant, kan je nooit 100% zeker zijn dat jij de enige bent die de sleutel opslaat. De fabrikant kan een logboek bijhouden of malafide tussenpersonen in de toeleveringsketen kunnen met het apparaat knoeien voordat het bij jou wordt afgeleverd. Tot slot vereisen cold wallets (vaak USB-gebaseerde apparaten) nog steeds dat je ze op je pc aansluit en online gaat om ze te activeren of om transacties uit te voeren. Ook hier ben je dus een doelwit voor malware of online aanvallen.

NGRAVE ontwikkelt 'koudste wallet' en houdt de doos van Pandora gesloten

Binnen dit hele verhaal heeft NGRAVE als het ware een totaal nieuw segment gecreëerd: de 'koudste (coldest) wallet'. In tegenstelling tot andere oplossingen die momenteel op de markt zijn, dekt NGRAVE de hele lijst van potentiële kwetsbaarheden af via een reeks slimme innovaties. In principe bestaat de NGRAVE-oplossing uit drie elementen: een offline elektronisch apparaat, een tweedelige cryptografische puzzel voor koude opslag van je private sleutel en een app. 

Bij het elektronische apparaat, de kern van de oplossing van NGRAVE, is de belangrijkste innovatie dat je nooit online moet gaan voor de activering van je wallets of voor de validatie van transacties. Bovendien wordt het met de modernste technieken vervaardigd, zodat hij bij het verlaten van de fabriek volledig fraudebestendig is. Mocht iemand proberen in te breken in het apparaat, dan zal dit onmiddellijk blijvende zichtbare schade opleveren of zelfs een functionele onbruikbaarheid van het apparaat. Bovendien is het niet voorgeprogrammeerd met een wallet. Dus ook op dat niveau kunnen de fabrikant of hackers geen achterdeur creëren. Dankzij een geavanceerd algoritme kan je bij ontvangst met het apparaat een onbeperkt aantal wallets genereren, elk met een eigen publieke en private sleutel. Het proces om dit te doen omvat optionele invoer van uw vingerafdruk of andere biometrische gegevens, omgevingsparameters zoals de lichtomstandigheden bij het genereren van de sleutel en de mogelijkheid om met de sleutel te communiceren, bijvoorbeeld (hypothetisch) door willekeurig een aantal karakters te wijzigen naar eigen inzicht. Als je dit proces hebt doorlopen, kan je er vrij zeker van zijn dat je een sleutel hebt gegenereerd die statistisch uniek is, zodat geen enkele andere gebruiker ooit dezelfde sleutel zal genereren. En omdat dit alles offline wordt gedaan én met gebruikersinteractie, weet jij alleen de sleutel die je zojuist hebt aangemaakt. Zelfs de technische medewerkers van NGRAVE hebben geen enkele mogelijkheid om dit proces met zijn willekeurige externe variabelen te achterhalen. Om een idee te geven van hoe statistisch uniek en onbreekbaar het is: het raden van de sleutel zou 10⁷⁸ pogingen vergen, bij benadering evenveel als het geschatte aantal atomen in het universum. 

Als je je sleutel eenmaal hebt gegenereerd, kan je deze veilig opslaan op de cold-storageoplossing die je ook bij NGRAVE kunt kopen. En ook hier introduceert het bedrijf enkele nieuwigheden. Ten eerste: geen pen en papier.... Belangrijker nog: hun oplossing zal geen single point of failurehebben, omdat het een cryptografische puzzel zal zijn die uit twee delen bestaat. Deel één is het reliëf van uw sleutel op een manier die alleen geïnterpreteerd kan worden door het hebben van deel twee. Deel twee is de 'geheime code', een ‘masker’ met de gegevens over hoe je deel één moet interpreteren. Beide delen zijn gemaakt van roestvrij staal dat bestand is tegen temperaturen tot 1400˚C en de zwaarste omstandigheden. Door ze apart van elkaar op te slaan (bijvoorbeeld in aparte kluizen in de bank), kan je er zeker van zijn dat niemand je sleutel kan terugvinden, zelfs niet als ze één van beide onderdelen te pakken zouden krijgen. NGRAVE biedt wel oplossingen om het tweede deel met de geheime code terug te genereren voor het geval dat je het verliest of het gestolen wordt. Ook bijvoorbeeld om je sleutel veilig aan potentiële erfgenamen over te dragen. Dit alles zonder dat NGRAVE zelf weet wat je private sleutel is.

Nu je het apparaat met je wallet(s)hebt geprogrammeerd en je private sleutel(s) veilig hebt opgeslagen, kan je deze gaan gebruiken. En hier komt de app in beeld. Door een slim samenspel van versleutelde communicatie en QR-codes kan je de app als interface gebruiken tussen de online wereld en je offline NGRAVE apparaat. Voor de authenticatie van transacties is het bijvoorbeeld voldoende om met de camera van je mobiele telefoon een QR-code op het NGRAVE-apparaat te scannen en vice versa. In dit hele proces worden private sleutels niet zichtbaar gemaakt en ze kunnen ook niet worden afgeleid van de QR-codes, omdat deze al het resultaat zijn van een offline authenticatieproces. Als zodanig blijven de private sleutels altijd offline en worden ze nooit blootgesteld aan online aanvallen.

Bouwen op gereputeerde partners

Op de vraag hoe NGRAVE als nieuwkomer op de markt geloofwaardigheid zal verzekeren naar klanten, antwoorden de oprichters: "We werken met partners die wereldwijd de beste zijn in hun domein. We hebben net het imec.istart programma afgerond, wat voor ons een ongelooflijke versnelling was voor ons idee, onze strategie en bedrijfsvoering. De hoeveelheid ondersteuning die je krijgt is echt enorm. Kris Mertens, ons belangrijkste aanspreekpunt bij imec.istart, is voor ons bijna als een teamlid: ze volgt onze vooruitgang, daagt ons uit en helpt om het maximale uit het programma te halen.  Als wereldwijd toonaangevende technologie-ontwikkelaar is imec ook onze hardwarepartner. We werken nauw met imec samen, zowel voor productontwikkeling als voor de uiteindelijke industrialisatie. Voor de evaluatie van een aantal van de veiligheidsaspecten en onze beveiligingsarchitectuur, kunnen we dan weer vertrouwen op de expertise van COSIC: een imec-onderzoeksgroep aan de KU Leuven met wereldberoemde experts op het gebied van cryptografie en hardwarebeveiliging. Onlangs hebben ze de beroemde Tesla-auto's gehackt en eerder hebben ze ook de wereldwijde standaard voor dataversleuteling uitgevonden, de zogenaamde "AES" ("Advanced Encryption Standard").”

Het marktpotentieel voor NGRAVE is enorm. De huidige markt voor cryptomunten wordt geschat op iets minder dan 300 miljard dollar. En, hoewel deze onderhevig is aan substantiële schommelingen ten gevolge van de instabiele koersen van cryptomunten, is het aantal gebruikers van wallets non-stop gegroeid. Het aantal gebruikers is sinds 2015 jaarlijks verdubbeld en gangbare voorspellingen stellen dat het aantal gebruikers midden tegen 2020 de kaap van honderd miljoen zal ronden. Voor NGRAVE zijn enkele andere cijfers minstens even belangrijk: bijvoorbeeld het aantal mensen dat vooral "koopt en houdt". Met andere woorden: gebruikers die substantieel investeren in cryptomunten en blockchainprojecten, maar hun wallet vooral zien als een soort spaarrekening. Net zoals een gemiddelde persoon zijn vermogen 80/20 verdeelt over conventionele spaar- en zichtrekeningen, maakt deze doelgroep naar schatting 80 à 90% van de markt uit. Een recente Amerikaanse studie leert dat de wereldmarkt voor hardware wallets zal groeien van honderd miljoen naar meer dan acht miljard dollar tegen 2025.

En hoe zit het met het ‘echte’ vermogensbeheer? Zoals onroerend goed, diamanten, aandelen, aandelen, vastrentende waarden.... die op dit moment op andere platformen dan de blockchain bij worden gehouden. Momenteel is dit een markt van 2 tot 3 miljard euro, waarvan McKinsey en Boston Consulting Group voorspellen dat hij bijna duizend keer zo groot zal worden tot meer dan 27.000 miljard euro in 2027. Voor dit type gebruikers biedt de blockchain, ten opzichte van de bestaande backendoplossingen, tal van voordelen op het vlak van snelheid, consensusmechanismen (zodat geen enkele centrale speler dingen kan aanpassen), het feit dat transacties niet meer kunnen aangepast worden, enz. En NGRAVE is misschien wel de enige die in staat is om de veiligheid van private sleutels aan die lijst van voordelen toe te voegen...

Toch laten de oprichters van NGRAVE deze potentiële afzetmarkten niet naar hun hoofd stijgen, zoals blijkt uit hun slotopmerking: "Uiteindelijk zien we de hele uitdaging om de blockchaintechnologie te laten doorbreken als een gemeenschappelijke inspanning. Het gaat ons niet om concurrentie of het wijzen naar anderen die het beter of slechter zouden doen. Het belangrijkste is dat we wereldwijd de kennis en expertise kunnen bundelen om een aantal belangrijke uitdagingen voor de blockchain aan te pakken, zoals de beveiliging ervan.”

Meer weten?

• Blijf op de hoogte van de laatste nieuwtjes en de productlancering via de NGRAVE website.
• Bekijk een interview met NGRAVE CEO Ruben Merre op Vimeo.
• Recent publiceerde De Standaard een (betalend) artikel over NGRAVE.
• Een recent article op MIT Technology Reviewgeeft inzicht in de meer diverse aspecten van beveiliging van de blockchain.
• Een aantal basisconcepten van blockchain technologie (Eng).
• Het concept van een cryptomunt en hoe het een bepaalde waardering kan krijgen.