Sécurité des applications dans l’écosystème de crypto-monnaie

Vous pouvez souvent entendre parler de moi et de mes collègues ingénieurs en sécurité sur l’approche de défense en profondeur pour protéger les données des utilisateurs. Cela signifie-t-il mettre autant d’outils et de contrôles de sécurité dans votre code ou votre système que l’ensemble du marché le suggère ? En aucun cas. Lorsque nous parlons de défense en profondeur, nous voulons dire que des outils, des contrôles, des politiques de sécurité, etc. soigneusement choisis doivent être interconnectés et travailler ensemble pour un objectif commun. 

Le nombre d’entreprises qui passent de correctifs de sécurité rapides à la construction d’une défense en profondeur comme élément clé de leur stratégie de sécurité ne cesse d’augmenter, de même que le nombre de cadres supérieurs et de développeurs soucieux de la sécurité. Si vous êtes sur le chemin, vous êtes en bonne compagnie. Lorsque ce type d’approche suit les meilleures pratiques de l’industrie, cela donne littéralement un coup de cœur à toutes les parties autour du projet, y compris les utilisateurs finaux.

Une application de portefeuille

Une énorme fondation de blockchain en tête des charts fait la promotion de ses portefeuilles de crypto-monnaie non dépositaires qui fonctionnent sur toutes les plateformes : en tant qu’extension Web et applications mobiles. Avec l’incroyable croissance de la popularité et de la base d’utilisateurs, l’équipe derrière le portefeuille commence à rechercher un niveau avancé de protection et de cryptage pour les données du portefeuille. 

Voici d’autres conseils en vidéo :

Une application de portefeuille non dépositaire est entièrement responsable de la dérivation et du stockage des mnémoniques et des clés privées du portefeuille, toutes les informations dont l’utilisateur a besoin pour accéder à ses fonds cryptographiques, et de la signature des transactions au nom de l’utilisateur.

Étant une application fintech, mais n’étant pas préparée par des équipes anti-abus ou de support client, les portefeuilles de crypto-monnaie nécessitent des protections de sécurité approfondies et éduquent les utilisateurs sur la façon de résister au phishing et aux abus.

Comment parvenir à une défense en profondeur ?

Tout d’abord, l’évaluation des risques et la modélisation des menaces pour les applications elles-mêmes et leur communication avec une blockchain. La modélisation des menaces ouvre un moyen de détecter les flux applicatifs les plus fragiles, de comprendre quelles menaces à l’échelle de la blockchain affectent leurs utilisateurs, quels contrôles de sécurité sont brisés, manquants ou peuvent être améliorés. Ensuite, en gardant à l’esprit la classification développée, l’équipe peut établir des priorités dans son travail de sécurité.

Un audit cryptographique approfondi du portefeuille, effectué par des ingénieurs en sécurité et en cryptographie, est la prochaine étape qui ouvre la voie à diverses modernisations du cœur cryptographique et à des dizaines d’améliorations de la sécurité des applications. Outre les contrôles de sécurité conçus et les problèmes typiques d’appsec, cela inclut la protection contre le phishing comme l’un des principaux vecteurs d’attaque, les améliorations de la logique métier et de l’expérience utilisateur, le durcissement du flux d’utilisateurs avec une authentification répétée avant toute action sensible, la sensibilisation des utilisateurs aux meilleures pratiques d’utilisation des portefeuilles.