Principales riesgos de seguridad a tener en cuenta antes de adoptar Blockchain en la empresa

3 – Desconocimiento de las vulnerabilidades de seguridad

Directamente relacionado con lo anterior, esto se debe a que a diferencia del software convencional, cuyos tipos de vulnerabilidades son de sobra conocidos, y en la mayoría de los casos están en un diccionario con una lista de las debilidades más comunes (CWE), el Blockchain no tiene sus vulnerabilidades en dicha lista. Tampoco están las de los contratos inteligentes con los que se usa dicha tecnología. Muchas herramientas que se utilizan para escanear código en busca de vulnerabilidade se basan en el diccionario CWE, por lo que ignoran las vulnerabilidades que no están en él.

Por suerte, hay varias iniciativas ya en marcha para documentarlas, entre las que está la base de datos de Ataques DLT (Distributed Ledger Technology, que quiere decir Tecnología de registro distribuido) y Debilidades de Blockchain, que ya supera las 200 entradas relacionadas con diversos lenguajes de contratos inteligentes y tecnologías Blockchain. Por lo tanto es necesario tenerla en cuenta a la hora de revisar código para dar con ellas.

4 – Falta de pruebas de seguridad y de escaneado del código

En la actualidad, las herramientas de escaneado de código de Blockchain y contratos inteligentes, a pesar de lo mencionado, no tienen un nivel de madurez demasiado elevado. Esto se debe sobre todo a la novedad de la tecnología y sus usos. Además, muchos contratos inteligentes se despliegan sin que se les haya realizado una auditoría de seguridad. Esto está empezando ya a cambiar, no sin antes causar numerosos incidentes de seguridad por no hacer cambios de forma previa a su despliegue.

Generalmente, el de las claves secretas creadas por su desarrollador, que por dudas sobre si han quedado expuestas es aconsejable cambiar en muchos casos. Por eso es importante asegurarse de que todo el código de los contratos inteligentes se escanea y audita, y de que todos los elementos relacionados con la criptografía se generan de manera segura y se utilizan de forma correcta.

5 – Riesgos en las operaciones con Blockchain

Aunque el Blockchain que utilice una empresa sea seguro y sus contratos inteligentes estén cuidadosamente revisiones y no tengan fallos de seguridad, todavía puede haber problemas al utilizarlos. Porque para que todo vaya bien es necesario ejecutar el Blockchain y el código del contrato inteligente sobre una plataforma que esté bien conectada y sea todo lo fiable posible. En caso de utilizar en el proceso la nube o un hosting de terceros, también es necesario asegurarse de que son seguros.

Por eso es necesario hacer preguntas a los proveedores y a quienes presten los servicios que vas a utilizar. Si las respuestas son claras y concretas, sin evasivas, serán más merecedores de confianza y su producto o servicio más seguro que si contestan con evasivas, o directamente no responden.

6 – Claves criptográficas y módulos de seguridad de hardware

Entre los elementos principales de cualquier servicio de Blockchain están las claves criptográficas. También hay que tener en cuenta que guardar las que sean más importantes en un ordenador ya no es suficiente para mantenerlas a salvo, aunque se trate de un equipo dedicado a ello.

Para mejorar la seguridad de estas claves, lo mejor es utilizar un módulo de seguridad de hardware (además de hacer una copia de seguridad de su contenido), que en esencia ofrece dos cosas que los ordenadores convencionales no pueden. La primera es que permiten que las claves se configuren de tal manera que no puedan ni exportarse ni copiarse para sacarlas del sistema.

La segunda es que permiten consultar un registro, bastante fiable, del uso de las claves. Se trata de una precaución crítica, porque si la red de la empresa queda comprometida, se puede saber para qué han utilizado las claves los atacantes, y estar seguros de si ha hecho algo malo con ellas o no.

7- Phishing y otros peligros para el Blockchain

Las Blockchain de empresa no suelen recibir ataques de gran envergadura, como el phishing o los intercambios de SIMs. Pero sí están expuestos a ataques de ransomware, entre otros, que cada vez están utilizando más phishing debido a su elevado índice de éxito.

Por eso hay que protegerse contra estos tipos de ataques, entre otras cosas, con autenticación de varios factores para el acceso a herramientas y aplicaciones. Si es posible, que estén radicados en tokens hardware, que evitan que los usuarios puedan dar información a los ciberdelincuentes. Así se evitan los errores y descuidos humanos.

8 – Ataques de 51%

La mayoría de despliegues de Blockchain empresariales no utilizan habitualmente el mecanismo de consenso conocido como Prueba de trabajo (PoW). Suelen utilizar otros mecanismos de voto más tradicionales, como la mayoría, porque ofrecen más seguridad. Aún así, pueden ser vulnerables al conocido como ataque del 51%. Este se da cuando una sola entidad controla la mayoría del hashrate o de los recursos de computación de un Blockchain. Su objetivo es provocar disrupciones o fallos en dicha red.

Por eso es importante conocer qué mecanismo de consenso emplea el Blockchain que se utiliza en la empresa. El hecho de que un atacante tenga que hacerse con el control de más de la mitad del sistema, lo que permitiría conseguir este ataque, hace que tenga más complicado conseguir su control. Quedaría protegido frente a otros ataques que permiten tomar el control con más facilidad, por lo que los ciberatacantes se lo pensarían dos veces antes de atacar un Blockchain con este tipo de sistemas de voto si pueden atacar otros más desprotegidos.