Solana-säätiön tietoturvajohtaja: hyökkääjien kohde ei ole enää koodi vaan ihminen
- Viime kuukausien suuret tietoturvatapaukset eivät johtuneet älysopimusten haavoittuvuuksista vaan väärennetyistä henkilöllisyyksistä ja tekoälyhuijauksista.
- Coates johti aiemmin tietoturvaa Twitterissä ja Mozillassa, ja nykyiseen työhön kuuluu myös tapaamisia sääntelijöiden kanssa.
- Avaimen vuotamiseen johtaa Coatesin mukaan monesti operatiivinen tai Web2-puolen ongelma, ei lohkoketju.
- Solana-säätiöllä on oma kvanttivalmiusstrategiansa, vaikka Q-päivän ajankohtaa ei tiedä kukaan.
Michael Coates aloitti Solana-säätiön tietoturvajohtajana tänä vuonna, ja hänen johtopäätöksensä on epämukava: huijauksen uhriksi joutumista ei voi estää, joten järjestelmien on kestettävä käyttäjän erehdys. Suojauksen on kestettävä silloinkin, kun ihminen tekee virheen.
Viime kuukausien isoimmat tietoturvatapaukset kryptovaluutta-alalla eivät alkaneet älysopimuksen virheestä. Ne alkoivat väärennetystä henkilöllisyydestä ja tekoälyn avulla rakennetusta huijauksesta.
Juuri siinä on seuraavan aallon ydin, arvioi Michael Coates, Solana-säätiön tietoturvajohtaja (CISO). Coates aloitti tehtävässä aiemmin tänä vuonna, ja hänellä on takanaan Twitterin tietoturvajohtajan pesti ja Mozillan tietoturvan luotsaaminen selainsotien aikaan.
Toimenkuva ei rajoitu säätiöön. Coates työskentelee myös Solana-ekosysteemin projektien kanssa ja tapaa sääntelijöitä asianmukaisten kyberturvastandardien laatimiseksi. Kryptovaluutta-alalla vastaavaa yhdistelmää nähdään toistaiseksi harvoin, sillä yleensä tietoturvajohtaja vastaa yhdestä yrityksestä eikä kokonaisesta lohkoketjuekosysteemistä.
– Pitää tehdä kaikki se, mitä Web2-yrityksen on tehtävä tietoturvan eteen, ja sen lisäksi vielä kaikki se, mitä Web3 erikseen vaatii, Coates sanoo CoinDeskin haastattelussa.
– Kun vastassa on äärimmäisen motivoitunut hyökkääjä, joka voi viedä varat peruuttamattomasti, hän etsii pienintäkin virhettä, Coates jatkaa.
Otsikoihin nousevat varastetut summat, mutta lähtöpiste on usein aivan muualla kuin lohkoketjussa. Harvemmin puhutaan siitä, miten avain ylipäätään päätyi hyökkääjän käsiin.
– Monessa tapauksessa avaimen vaarantumiseen johti operatiivisen turvallisuuden tai Web2-puolen ongelma, tietoturvajohtaja toteaa.
Tekoäly vie tilannetta huonompaan suuntaan, eikä Coates odota manipuloinnin jäävän nykytasolle.
– Tekoäly ja deepfaket tekevät sosiaalisesta manipuloinnista paljon pahempaa. Meidän on syytä varautua täysin väärennettyihin puheluihin, joissa kuuluu tuntemiemme ihmisten ääni, Coates arvioi.
Mitä sitten tehdään, kun huijaus on niin uskottava, ettei sitä enää tunnista?
– Kukaan ei voi täysin estää uhriksi joutumista. Jossain vaiheessa kuka tahansa menee lankaan, koska huijaukset ovat niin uskottavia, Coates myöntää.
Johtopäätös ei ole valistuskampanja vaan rakenne. Suojauksen kerroksia tarvitaan useita, jotta yhden pettäessä muut vielä pitävät. Yksittäisen käyttäjän tarkkaavaisuus on siis huono viimeinen puolustuslinja, ja organisaatioiden pitäisi mitoittaa kontrollinsa sen mukaan.
Galaxy Researchin analysoima Coldcard-lompakoiden tyhjennys muistuttaa, että virhemarginaali on kapea myös kokeneilla omistajilla.
Q-päivää ei voi ajoittaa
Pidemmällä aikavälillä kysymysmerkkinä on kvanttilaskenta. Solana-säätiö on julkaissut siitä oman kvanttivalmiusstrategiansa.
– Kvanttivalmiuden haaste on se, ettemme tiedä, milloin Q-päivä koittaa. Sen sijaan tiedämme, miten siihen valmistaudutaan. Se tapahtuu ottamalla käyttöön kvanttiturvalliset algoritmit, Coates sanoo.
Lopussa entinen Twitterin tietoturvajohtaja palaa käyttäjään. Malli, jossa jokaisesta kryptovaluutan omistajasta pitäisi tulla tietoturva-asiantuntija, ei hänen mielestään kanna pitkälle.
– Meidän täytyy sopeutua käyttäjien todellisuuteen ja tehdä turvallisesta vaihtoehdosta oletus.
Ala on siitä vielä melko kaukana. Jää nähtäväksi, syntyykö oletusarvoinen suojaus lompakoiden ja pörssien omasta aloitteesta vai vasta sääntelijöiden vaatimuksesta.
