Como uma instituição guarda chave privada, destrinchado na prática: HSM como cofre digital, sala-cofre e três custodiantes.
Diferente de uma assinatura digital comprometida, em que dá para estancar o problema naquele momento, expor ou vazar a chave privada significa simplesmente perder os ativos.
Além do ataque externo, descrito como exponencial e cada vez mais sofisticado, o problema nomeado como o maior de hoje é o crime organizado cooptando gente de dentro da própria empresa.
O banco nasceu para guardar bens e riqueza, e o Hardware Security Module cumpre esse papel para a chave criptográfica: posse, controle e governança ficam com quem opera o equipamento.
O mesmo equipamento atende os dois ambientes: no hot dá para transacionar com certa liquidez; no cold o sistema fica fora da internet, em air gap, para impedir acesso físico à chave.
A transação entra na sala-cofre como QR Code e só é emitida depois de SmartCard e assinatura de três custodiantes que normalmente não se conhecem, não se falam e estão em ambientes diferentes.
A empresa se apresenta com mais de 20 anos por trás da segurança do sistema financeiro nacional e da cadeia do ICP-Brasil, e diz ter ajudado bancos a habilitar operação em cripto.
Keynote solo do Trends Stage, na tarde de 12/08, com Alexandre Gomes (Dinamo). A sessão apresentou a Dinamo — empresa nacional de mais de 20 anos que diz estar por trás da segurança do sistema financeiro nacional, do PIX ao ICP-Brasil — e foi dedicada a mostrar como uma instituição financeira guarda chave privada: fundamentos de criptografia, incidentes recentes, o papel do HSM e o fluxo de assinatura na sala-cofre.
Abertura
A Dinamo se apresentou como empresa nacional com mais de 20 anos, por trás da segurança do sistema financeiro nacional — o PIX citado como o maior caso de sucesso —, das principais instituições financeiras do país, de órgãos de governo e de toda a cadeia de certificados do ICP-Brasil. Proteção de identidades entra na mesma lista.
A proteção declarada vai do sistema financeiro nacional à PKI do país, passando por identidades e por instituições de governo. É essa base que a empresa diz transportar para o cripto.
Ficou dito que a Dinamo trabalhou no projeto do DREX e ajudou vários bancos a desenvolver soluções que os habilitassem a trabalhar também no mundo cripto.
Além da criptografia, a empresa se descreveu funcionando como companhia de cibersegurança de fato, com parceiros em proteção de aplicativos, antifraude, biometria e controle de acesso.
Definição
O conceito básico veio em dois blocos. Na criptografia simétrica, a mesma chave fecha e abre o dado — hoje normalmente uma AES-256, apresentada como chave com resistência quântica. Na assimétrica, usada em redes blockchain e nas assinaturas digitais, existe um par: a chave privada, criada a partir de uma seed phrase, e o endereço público, que é derivação matemática dela.
Quem vai enviar a informação pede a chave pública do destinatário e cifra o dado com ela; só o destinatário abre, porque só ele tem a chave privada correspondente.
Gera-se um resumo criptográfico do dado, cifra-se com a chave privada e envia-se junto do original; a verificação refaz o hash com a chave pública e compara, para ver se houve quebra no caminho.
O padrão simétrico usado hoje foi apresentado como resistente a computador quântico, enquanto a criptografia assimétrica é a que sustenta Bitcoin, Ethereum e qualquer assinatura digital.
A chave privada é a famosa NotYourKey. Então, você precisa manter essa chave extremamente segura.
Prova de campo
Do quadro teórico a sessão passou aos casos reais. O ataque à Bybit entrou como exemplo do que uma série de técnicas hoje em uso teria evitado, ao lado de um caso mais recente de carteira de hardware comprometida não pela chave em si, mas pelo componente que deveria gerar aleatoriedade.
O dispositivo precisava gerar números randômicos e os produzia previsíveis. Foi essa previsibilidade que tornou possível descobrir a chave privada a partir do que estava exposto.
Os ataques cibernéticos foram descritos como em crescimento exponencial e cada vez mais sofisticados. A resposta pedida é infraestrutura construída de forma cada vez mais resiliente.
O que trava
Depois do ataque externo veio o que a sessão nomeou como grande desafio atual da custódia: a ameaça interna, com o crime organizado cooptando gente de dentro da própria empresa. E a consequência de uma chave exposta não se parece com a de uma assinatura digital comprometida — ali dá para estancar o problema naquele momento; aqui, não.
Expor a chave privada ou sofrer um vazamento significa perder os ativos. Não existe a janela de contenção que aparece quando o problema surge numa assinatura digital comum.
A saída apresentada é montar o sistema seguindo as melhores práticas homologadas pelo NIST, num país em que o Banco Central vem publicando normas que precisam ser atendidas no dia a dia.
Já existem normas definidas especialmente para criptomoedas lá fora, e a custódia digital brasileira está evoluindo para essas práticas — os padrões, porém, não foram nomeados.
Qual é a consequência? [...] Você simplesmente perde os seus ativos.
A tese
O Hardware Security Module foi apresentado como o equivalente digital do cofre: o banco nasceu para guardar bens e riqueza, e o HSM cumpre esse papel para a chave criptográfica, com posse, controle e governança do lado da instituição. Pode ser dedicado ou compartilhado — em criptoativos, normalmente dedicado — e opera tanto em hot wallet, com certa liquidez, quanto em cold wallet.
Na ponta fria o ambiente sai da internet e da rede, no conceito de air gap, justamente para impedir que o atacante alcance fisicamente a chave guardada ali dentro.
Pela apresentação, os equipamentos da empresa já trazem os algoritmos pós-quânticos e estão preparados para esse tipo de solução. Nenhum prazo de migração foi dado na sessão.
Além do equipamento, a empresa citou custódia SaaS, certificações e consultoria de levantamento do ambiente, com casos na Caixa Econômica, no CPQD, no Serpro e integração com a BitGo.
O banco, ele originalmente foi criado para armazenar bens, dinheiro, riqueza. E o HSM, ele tem exatamente esse papel, de uma forma institucional, de uma forma digital.
Em produção
O fecho foi o fluxo de assinatura, descrito passo a passo: a transação financeira vira um QR Code, que é exportado para dentro da sala-cofre. Lá dentro, o que se vê é o que se assina — e a autorização não é de uma pessoa só.
O primeiro custodiante apresenta o SmartCard e assina; chama o segundo e chama o terceiro. É a terceira autorização que faz a transação ser emitida e assinada.
Os três estão normalmente em ambientes diferentes, não se conhecem e não conversam entre si. A separação é parte do desenho de controle apresentado no palco.
A transação assinada retorna ao ambiente online como um novo QR Code; é por esse ambiente que o dado é transmitido e publicado dentro da rede blockchain.
Chamo três custodiantes. Normalmente eles não se conhecem e não se falam, estão em ambientes diferentes.
Citados na sessãoDinamo·PIX·ICP-Brasil·DREX·Banco Central·Bybit·NIST·Caixa Econômica·CPQD·Serpro·BitGo·Bitcoin·Ethereum
TemasCustódia institucional·Cibersegurança·HSM·Chaves criptográficas·Cold wallet
Tradução simultânea em legendas — PT, EN e ES — durante todo o evento.
Ver a programação