Data science and data securityimec.istart

15 min

Zal deze Belgische startup bijdragen aan doorbraak cryptomunten?

 

Belgische startup en imec.istart alumnus NGRAVE lanceert weldra een unieke oplossing om private sleutels te beveiligen: tot nog toe de achilleshiel van blockchaintechnologie. 

Zullen de recente aankondigingen van enkele wereldspelers die een nieuwe cryptomunt lanceren een doorbraak van de blockchain in gang zetten? Of zal het NGRAVE zijn die de wereld verbaast door effectief een van de grootste uitdagingen van de blockchain aan te pakken: veiligheid? Als het aan de oprichters van NGRAVE, Ruben Merre (CEO), Edouard Vanham (COO) en Xavier Hendrickx (CTO) ligt, staan ze op het punt een revolutie te creëren, waardoor we eindelijk in de wereld van de blockchain kunnen bewegen met de gemoedsrust dat onze cryptomunten er nog steeds zullen zijn wanneer we inloggen en onze digitale portemonnee controleren. Deze maand zijn ze in San Francisco, waar ze zich samen met BelCham (de Belgisch-Amerikaanse Kamer van Koophandel) verdiepen in de Amerikaanse markt en ondernemerswereld. Tegelijkertijd bereiden ze een Kickstarter-campagne voor om in september de voorverkoop van hun producten te starten.

Zelfs de veiligste worden bestolen

Zoals een recent artikel van MIT Technology Review illustreert, zijn hacks en beveiligingsinbreuken een van de fundamentele uitdagingen geworden voor aanhangers en ontwikkelaars van de blockchain. Het beveiligen van eigendommen en transacties in de blockchain is een must om de reputatie van deze revolutionaire technologie te beschermen en een breder draagvlak ervoor mogelijk te maken. En hoewel kleine, opkomende blockchain-initiatieven altijd al bekend zijn geweest als kwetsbaar, tonen recente gebeurtenissen aan dat zelfs de grootste en veiligste initiatieven niet onaantastbaar zijn. Nog maar een paar maanden geleden berichtten de media dat hackers voor 40 miljoen dollar aan bitcoins hadden gestolen van Binance, een van de grootste platforms ter wereld voor de aankoop en uitwisseling van cryptomunten. Het totaal aantal cryptomunten dat in de voorbije twee jaar werd gestolen door hacks, wordt geschat op een equivalent van meer dan vier miljard dollar. En dat zijn alleen de diefstallen die publiek zijn gemeld.

Ook de oprichters van NGRAVE zijn niet gespaard gebleven van crypto-aanvallen. Ruben Merre zegt: "Wij zijn alle drie early adopters van blockchain-technologie, elk om onze eigen redenen. Onze CTO is het slachtoffer geweest van verschillende diefstallen van zijn cryptomunten. En Edouard en ikzelf investeren nog steeds vrij conservatief in cryptomunten, omdat we het gevoel hebben dat het nog niet veilig genoeg is. Wat het meest frustrerend is aan cryptodiefstal, is dat je het gestolen geld kunt blijven traceren, maar dat je niet in staat bent om het ooit terug te krijgen. Hoewel dergelijk onrecht ons dwingt om waakzaam te blijven, is het tegelijkertijd precies wat ons drieën bij elkaar heeft gebracht: een streven naar veiligere interacties in de blockchain, zodat niemand meer het slachtoffer hoeft te worden van dit soort diefstal". 

Focus op A tot Z beveiliging van private sleutels

Begin 2018 staken de oprichters van NGRAVE de koppen bij elkaar en kwamen al snel met een zakelijk idee en het eerste ontwerp voor een prototype. Hoewel beveiliging van de blockchain vanuit verschillende invalshoeken kan worden benaderd, besloten ze zich te richten op de eindgebruiker. Ondersteund door een grondig markt- en klantenonderzoek werd de specifieke focus van NGRAVE de A tot Z bescherming van de private sleutels van de gebruikers van de blockchain: van de eerste aankoop van hun cryptomunten tot de overdracht van digitale bezittingen aan hun erfgenamen en alles ertussen.

Voor wie niet bekend is met cryptomunten: elke wallet – het crypto-equivalent van een bankrekening – wordt gedefinieerd door twee sleutels. Een openbare sleutel, het equivalent van je bankrekeningnummer, stelt mensen in staat om valuta van de ene rekening naar de andere over te maken. En een private sleutel, het equivalent van een 4-cijferige code of een andere authenticatie, waarmee je jezelf en je transacties kunt legitimeren. Belangrijke opmerking: omdat ze worden gegenereerd door asymmetrische cryptografie, zijn de twee sleutels inherent aan elkaar gekoppeld. Waarbij asymmetrisch betekent dat je private sleutel nooit kan worden verkregen of geraden uit je publieke sleutel; terwijl je private sleutel wél volledige toegang geeft tot de informatie over je publieke sleutel en de bezittingen die eraan gekoppeld zijn. In tegenstelling tot de 4-cijferige code van een gewone bankrekening, kan je je private sleutel niet wijzigen, aangezien deze onomkeerbaar gekoppeld is aan de openbare sleutel. Daarom is bij het betreden de blockchainwereld waarschijnlijk het allerbelangrijkste om je private sleutel(s) privé te houden. 

cryptocurrency wallet security

Vanwege het inherente karakter van publieke en private sleutels zou het raden van een private sleutel honderd miljoen keer een miljard (1017) keer moeilijker zijn dan het raden van iemands bankrekeningnummer, PIN-code én twee-factor authenticatiecode. Maar, anders dan met conventionele authenticatiecodes, kan een private sleutel niet meer worden gewijzigd als deze eenmaal is gegenereerd. En iedereen met wie je je private sleutel deelt, heeft onmiddellijk toegang tot alle informatie op je publieke sleutel.

De online achilleshiel: waar bestaande oplossingen tekortschieten

Op het eerste zicht triviaal, maar de oprichters van NGRAVE leerden al snel dat geen enkele bestaande oplossing voldeed om private sleutels onzichtbaar - of onvindbaar - te houden. De achilleshiel is dat alle bestaande producten en diensten op een bepaald moment vereisen dat de gebruiker online gaat en daardoor het risico loopt zijn private sleutel te onthullen. Bijvoorbeeld door een waslijst aan malware, phishing-aanvallen, speciale zoekalgoritmen enz. Of simpelweg omdat een private sleutel wordt aangeleverd (en soms ook wordt opgeslagen) door een derde partij die misschien niet zo betrouwbaar is als ze lijkt.

Een ander aspect van de bescherming van je private sleutel is het opslaan en onthouden ervan. Hiervoor bestaan er verschillende offline oplossingen, de zogenaamde koude opslag of cold storage devices. Maar zelfs de meest geavanceerde, bijvoorbeeld op basis van robuuste staalgravures, bevatten als back-up nog steeds – zonder grap – ook een ordinaire pen en papier in de verpakking... Studies tonen aan dat meer dan 90% van de gebruikers vertrouwen op zo'n "papieren portemonnee", wat duidelijk niet de meest robuuste oplossing is. En als ze dat niet doen, bestaan hun alternatieve oplossingen meestal uit een apparaat of item dat uit één stuk is gemaakt. Dat betekent dat het nog steeds een "single point of failure" bevat: als je je koude opslag kwijtraakt (of als hij gestolen wordt), lopen je crypto-assets op je openbare sleutel onmiddellijk gevaar.

De customer journey: van warme naar koude wallets

Voor wie geen ervaring heeft met blockchain en wil begrijpen wat A tot Z bescherming betekent, kan het handig zijn om een idee te krijgen van de weg die je als gebruiker aflegt om een wallette verkrijgen en te gebruiken. Op zeer hoog niveau kan een crypto-avontuur worden onderverdeeld in drie soorten plekken waar valuta's worden opgeslagen of verhandeld. Ten eerste zijn er de wisselplatformen (exchange platforms): 'websites' waar je cryptomunten kunt kopen, verkopen en omwisselen. Om dit te doen, geven ze je een account om in te loggen op het platform. Het platform is de eigenaar van de private sleutels en de gebruiker kent ze niet eens. Meer specifiek: technisch gezien ben je als klant eigenlijk nooit echt eigenaar van de crypto op het platform (je hebt gewoon een volmacht voor een account). Een account waarvan je in principe geen inzicht hebt in hoe de publieke en private sleutels zijn gegenereerd, hoe ze zijn opgeslagen en wie er toegang toe heeft. Het is daarom ten zeerste aan te raden om deze accounts alleen te gebruiken voor het verhandelen van munten en de verkregen valuta zo snel mogelijk over te maken naar een veiligere walletwaar je meer controle over hebt.

Daarmee betreed je dan een van de twee andere plekken: warme of koude wallets. Warme (hot) wallets zijn online accounts waar je je cryptomunten kan opslaan en er transacties mee kunt uitvoeren. Deze lijken iets veiliger dan de wisselplatformen, maar genereren toch de sleutels voor jou en vaak kan je er niet 100% zeker van zijn dat je de enige bent die je persoonlijke sleutel bewaart. Voor de meeste gebruikers zijn koude (cold) wallets dus een must-have. In deze gevallen koop je een speciaal hardware-apparaat waarmee je je wallet en sleutels genereert, opslaat en beheert. Anders dan de hot wallets, zijn cold wallets niet continu online of 'in de cloud', en dus inherent al een stuk veiliger. Bovendien geven cold wallets de gebruiker meer controle over zijn private sleutel en wie deze te zien krijgt. Maar omdat deze sleutels worden gegenereerd door de fabrikant, kan je nooit 100% zeker zijn dat jij de enige bent die de sleutel opslaat. De fabrikant kan een logboek bijhouden of malafide tussenpersonen in de toeleveringsketen kunnen met het apparaat knoeien voordat het bij jou wordt afgeleverd. Tot slot vereisen cold wallets (vaak USB-gebaseerde apparaten) nog steeds dat je ze op je pc aansluit en online gaat om ze te activeren of om transacties uit te voeren. Ook hier ben je dus een doelwit voor malware of online aanvallen.

High-level overview of the main types of places you can encounter in handling cryptocurrencies and their vulnerability: left: exchange accounts and hot wallets. Middle: cold wallets. Right: NGRAVE offline solution.

Overzicht van de belangrijkste soorten plekken waarin je je kan begeven bij het aankopen en verhandelen van cryptomunten en hun kwetsbaarheid: links: wisselrekeningen en hot wallets. Midden: cold wallets. Rechts: De offline oplossing van NGRAVE.

NGRAVE ontwikkelt 'koudste wallet' en houdt de doos van Pandora gesloten

Binnen dit hele verhaal heeft NGRAVE als het ware een totaal nieuw segment gecreëerd: de 'koudste (coldest) wallet'. In tegenstelling tot andere oplossingen die momenteel op de markt zijn, dekt NGRAVE de hele lijst van potentiële kwetsbaarheden af via een reeks slimme innovaties. In principe bestaat de NGRAVE-oplossing uit drie elementen: een offline elektronisch apparaat, een tweedelige cryptografische puzzel voor koude opslag van je private sleutel en een app. 

 

rendering of the deviceDe oplossing van NGRAVE bestaat uit drie elementen. Boven: een offline elektronische hardware apparaat met achteraan een camera en scanner voor vingerafdrukken. Onder-links: een cryptografische puzzel uit twee stukken als koude opslag voor je private sleutel. Onder-rechts: een app die met behulp van QR codes de link legt tussen het offline apparaat en online transacties zonder op enig moment je private sleutel zichtbaar te maken.

Bij het elektronische apparaat, de kern van de oplossing van NGRAVE, is de belangrijkste innovatie dat je nooit online moet gaan voor de activering van je wallets of voor de validatie van transacties. Bovendien wordt het met de modernste technieken vervaardigd, zodat hij bij het verlaten van de fabriek volledig fraudebestendig is. Mocht iemand proberen in te breken in het apparaat, dan zal dit onmiddellijk blijvende zichtbare schade opleveren of zelfs een functionele onbruikbaarheid van het apparaat. Bovendien is het niet voorgeprogrammeerd met een wallet. Dus ook op dat niveau kunnen de fabrikant of hackers geen achterdeur creëren. Dankzij een geavanceerd algoritme kan je bij ontvangst met het apparaat een onbeperkt aantal wallets genereren, elk met een eigen publieke en private sleutel. Het proces om dit te doen omvat optionele invoer van uw vingerafdruk of andere biometrische gegevens, omgevingsparameters zoals de lichtomstandigheden bij het genereren van de sleutel en de mogelijkheid om met de sleutel te communiceren, bijvoorbeeld (hypothetisch) door willekeurig een aantal karakters te wijzigen naar eigen inzicht. Als je dit proces hebt doorlopen, kan je er vrij zeker van zijn dat je een sleutel hebt gegenereerd die statistisch uniek is, zodat geen enkele andere gebruiker ooit dezelfde sleutel zal genereren. En omdat dit alles offline wordt gedaan én met gebruikersinteractie, weet jij alleen de sleutel die je zojuist hebt aangemaakt. Zelfs de technische medewerkers van NGRAVE hebben geen enkele mogelijkheid om dit proces met zijn willekeurige externe variabelen te achterhalen. Om een idee te geven van hoe statistisch uniek en onbreekbaar het is: het raden van de sleutel zou 1078 pogingen vergen, bij benadering evenveel als het geschatte aantal atomen in het universum. 

Als je je sleutel eenmaal hebt gegenereerd, kan je deze veilig opslaan op de cold-storageoplossing die je ook bij NGRAVE kunt kopen. En ook hier introduceert het bedrijf enkele nieuwigheden. Ten eerste: geen pen en papier.... Belangrijker nog: hun oplossing zal geen single point of failurehebben, omdat het een cryptografische puzzel zal zijn die uit twee delen bestaat. Deel één is het reliëf van uw sleutel op een manier die alleen geïnterpreteerd kan worden door het hebben van deel twee. Deel twee is de 'geheime code', een ‘masker’ met de gegevens over hoe je deel één moet interpreteren. Beide delen zijn gemaakt van roestvrij staal dat bestand is tegen temperaturen tot 1400˚C en de zwaarste omstandigheden. Door ze apart van elkaar op te slaan (bijvoorbeeld in aparte kluizen in de bank), kan je er zeker van zijn dat niemand je sleutel kan terugvinden, zelfs niet als ze één van beide onderdelen te pakken zouden krijgen. NGRAVE biedt wel oplossingen om het tweede deel met de geheime code terug te genereren voor het geval dat je het verliest of het gestolen wordt. Ook bijvoorbeeld om je sleutel veilig aan potentiële erfgenamen over te dragen. Dit alles zonder dat NGRAVE zelf weet wat je private sleutel is.

Nu je het apparaat met je wallet(s)hebt geprogrammeerd en je private sleutel(s) veilig hebt opgeslagen, kan je deze gaan gebruiken. En hier komt de app in beeld. Door een slim samenspel van versleutelde communicatie en QR-codes kan je de app als interface gebruiken tussen de online wereld en je offline NGRAVE apparaat. Voor de authenticatie van transacties is het bijvoorbeeld voldoende om met de camera van je mobiele telefoon een QR-code op het NGRAVE-apparaat te scannen en vice versa. In dit hele proces worden private sleutels niet zichtbaar gemaakt en ze kunnen ook niet worden afgeleid van de QR-codes, omdat deze al het resultaat zijn van een offline authenticatieproces. Als zodanig blijven de private sleutels altijd offline en worden ze nooit blootgesteld aan online aanvallen.

Bouwen op gereputeerde partners

Op de vraag hoe NGRAVE als nieuwkomer op de markt geloofwaardigheid zal verzekeren naar klanten, antwoorden de oprichters: "We werken met partners die wereldwijd de beste zijn in hun domein. We hebben net het imec.istart programma afgerond, wat voor ons een ongelooflijke versnelling was voor ons idee, onze strategie en bedrijfsvoering. De hoeveelheid ondersteuning die je krijgt is echt enorm. Kris Mertens, ons belangrijkste aanspreekpunt bij imec.istart, is voor ons bijna als een teamlid: ze volgt onze vooruitgang, daagt ons uit en helpt om het maximale uit het programma te halen.  Als wereldwijd toonaangevende technologie-ontwikkelaar is imec ook onze hardwarepartner. We werken nauw met imec samen, zowel voor productontwikkeling als voor de uiteindelijke industrialisatie. Voor de evaluatie van een aantal van de veiligheidsaspecten en onze beveiligingsarchitectuur, kunnen we dan weer vertrouwen op de expertise van COSIC: een imec-onderzoeksgroep aan de KU Leuven met wereldberoemde experts op het gebied van cryptografie en hardwarebeveiliging. Onlangs hebben ze de beroemde Tesla-auto's gehackt en eerder hebben ze ook de wereldwijde standaard voor dataversleuteling uitgevonden, de zogenaamde "AES" ("Advanced Encryption Standard").”

Het marktpotentieel voor NGRAVE is enorm. De huidige markt voor cryptomunten wordt geschat op iets minder dan 300 miljard dollar. En, hoewel deze onderhevig is aan substantiële schommelingen ten gevolge van de instabiele koersen van cryptomunten, is het aantal gebruikers van wallets non-stop gegroeid. Het aantal gebruikers is sinds 2015 jaarlijks verdubbeld en gangbare voorspellingen stellen dat het aantal gebruikers midden tegen 2020 de kaap van honderd miljoen zal ronden. Voor NGRAVE zijn enkele andere cijfers minstens even belangrijk: bijvoorbeeld het aantal mensen dat vooral "koopt en houdt". Met andere woorden: gebruikers die substantieel investeren in cryptomunten en blockchainprojecten, maar hun wallet vooral zien als een soort spaarrekening. Net zoals een gemiddelde persoon zijn vermogen 80/20 verdeelt over conventionele spaar- en zichtrekeningen, maakt deze doelgroep naar schatting 80 à 90% van de markt uit. Een recente Amerikaanse studie leert dat de wereldmarkt voor hardware wallets zal groeien van honderd miljoen naar meer dan acht miljard dollar tegen 2025.

En hoe zit het met het ‘echte’ vermogensbeheer? Zoals onroerend goed, diamanten, aandelen, aandelen, vastrentende waarden.... die op dit moment op andere platformen dan de blockchain bij worden gehouden. Momenteel is dit een markt van 2 tot 3 miljard euro, waarvan McKinsey en Boston Consulting Group voorspellen dat hij bijna duizend keer zo groot zal worden tot meer dan 27.000 miljard euro in 2027. Voor dit type gebruikers biedt de blockchain, ten opzichte van de bestaande backendoplossingen, tal van voordelen op het vlak van snelheid, consensusmechanismen (zodat geen enkele centrale speler dingen kan aanpassen), het feit dat transacties niet meer kunnen aangepast worden, enz. En NGRAVE is misschien wel de enige die in staat is om de veiligheid van private sleutels aan die lijst van voordelen toe te voegen...

Toch laten de oprichters van NGRAVE deze potentiële afzetmarkten niet naar hun hoofd stijgen, zoals blijkt uit hun slotopmerking: "Uiteindelijk zien we de hele uitdaging om de blockchaintechnologie te laten doorbreken als een gemeenschappelijke inspanning. Het gaat ons niet om concurrentie of het wijzen naar anderen die het beter of slechter zouden doen. Het belangrijkste is dat we wereldwijd de kennis en expertise kunnen bundelen om een aantal belangrijke uitdagingen voor de blockchain aan te pakken, zoals de beveiliging ervan.”

Meer weten?

Over Ruben Merre

Ruben Merre is een ondernemer pur sang en startte zijn eerste bedrijf toen hij acht jaar oud was toen hij speelgoed uit verkoopautomaten kocht en doorverkocht aan zijn medeleerlingen. Voorafgaand aan NGRAVE werkte Ruben voor een startup in strategie- en managementadvies en speelde hij een integrale rol in de schaalvergroting van het bedrijf in binnen- en buitenland. Ruben spreekt vloeiend zes talen en kon echt het verschil maken door projecten in de lokale taal te leiden. Naast het verzamelen van meerdere postgraduaatdiploma's parallel aan zijn professionele leven, speelde Ruben een cruciale rol bij de lancering van het eerste geautomatiseerde portfolio-investeringsplatform in België. Ruben leidde het project niet alleen, hij ontrafelde ook de zwarte doos van het algoritme door de volledige wiskundige logica van nul af aan opnieuw op te bouwen en stelde uiteindelijk belangrijke kwantitatieve aanpassingen van de geïmplementeerde modellen voor. Na de opschaling van het platform naar andere landen, maakte deze combinatie van een strategische, visionaire helikoptervisie, ervaren projectmanagement en oog voor detail, Ruben de voor de hand liggende keuze om leiding te geven aan de ondernemingsinspanning van een grote internationale financiële instelling om een groepsbreed algoritmisch handels-/investeringsplatform vanaf nul op te zetten. Ruben leidde alle twintig deelprojecten gedurende ongeveer twee jaar, maar besloot toen zijn focus volledig te verleggen naar blockchain en uiteindelijk NGRAVE.

Ruben heeft een M.Sc. in Business Engineering (MBE), verschillende postgraduaatsdiploma's, en is een gecertificeerde PMP (Project Management Professional) en LEAN Six Sigma Black Belt. Ruben heeft ook met succes het Oxford University's Blockchain Strategy Program afgerond.

Over Edouard Vanham

Edouard Vanham is een voormalig IT- en managementconsultant, waardoor hij de ideale vertaler is van zakelijke behoeften naar de back-end. Edouard is een verbinder, wat ook voor NGRAVE cruciaal is gebleken, want het was Edouard die Ruben en Xavier leerde kennen en enthousiast maakte voor een samenwerking. Edouard heeft de kracht om snel te leren en structuur aan te brengen in elke vorm van chaos. Al vroeg in zijn carrière werd Edouard geconsulteerd om een grote verscheidenheid aan IT- en bedrijfsprojecten te doorlopen, van digitale transformatie- en IT-implementatieprojecten tot de vraag om de crisiscommunicatie van een financiële instelling te managen wanneer het platform ten onder ging. In 2016 richtte Edouard voor zijn werkgever ook een blockchain task force op en leidde deze, met als doel zoveel mogelijk belanghebbenden enthousiast te maken over de technologie. Edouard is dé persoon die, wanneer mensen hem vertellen dat iets niet mogelijk is, een nog grotere motivatie krijgt om dingen gedaan te krijgen. Vandaag de dag leidt Edouard bij NGRAVE de operationele kant en maakt hij van zijn passie zijn beroep. Edouard heeft een M.Sc. in Business Engineering (MBE).

Over Xavier Hendrickx

Xavier Hendrickx is het archetype van de briljante CTO, deels universitair geschoold in de informatica, meestal autodidact. Xavier is sinds begin 2013 actief in de crypto-wereld en heeft sinds begin 2013 een aantal beruchte beveiligingsinbreuken vanop de eerste rij meegemaakt. Hij was het slachtoffer van o.a. de Mount Gox hack in 2014 en de DAO hack in 2016. Dit maakte hem zeer bewust van het veiligheidsprobleem in de nieuwe wereld van de blockchain. Terwijl Xavier computerwetenschappen studeerde, hield hij zich ook bezig met de ontwikkeling van geautomatiseerde bots voor het verhandelen van specifieke cryptomunten. Dit leidde er uiteindelijk toe dat hij werd gescout door een Belgisch-Amerikaans blockchainproject genaamd SwarmCity, een project dat in 2016 (onder de naam Arcade City) ongeveer 62.000 ETH's in een ICO heeft opgeleverd. Xavier begon als blockchain developer in het project, maar groeide al snel in de gelederen. In 2017 was Swarm City een van de projecten die het meest getroffen werd door de Parity hack, met een verlies van bijna 44.000 ETH.  Xavier stond aan de frontlinies in de herstelpogingen die volgden en waarbij meerdere projecten ethisch werden gehackt om ze te beschermen tegen het verlies van hun geld. In 2018 werd Xavier CTO van Swarm City. Een paar maanden later kwam Xavier in contact met Edouard en Ruben en startte het trio NGRAVE. Terwijl Xavier in eerste instantie beide functies combineerde, ging hij uiteindelijk voor een fulltime baan bij NGRAVE, in zijn streven om de onveiligheid van crypto uit te roeien.

Deze website maakt gebruik van cookies met als enige doel het analyseren van surfgedrag, zonder enige commerciële insteek. Lees er hier meer over. Lees ook ons privacy statement. Sommige inhoud (video's, iframes, formulieren,...) op deze website zal pas zichtbaar zijn na het accepteren van de cookies.

Accepteer cookies