מדוע אחסון קר בבורסת קריפטו נכשל בקנה מידה
אחסון קר בבורסת קריפטו בהיקפים קטנים נראה ללא רבב: כשמדובר בעשרות תשלומים ביום, טקס חתימה ידני מספיק לקצב. המפעיל מעביר את הנתונים למתחם חתימה מבודד, אוסף חתימות מבעלי המפתחות, מחזיר את החתום ושולח לרשת.
השיטה נשברת לא בתיאוריה אלא בצמיחה: זהו תהליך ליניארי שאי אפשר להקביל, כי כל שלב דורש אדם ומדיום פיזי.
צוואר בקבוק ראשון הוא משיכת נכסים. תור הבקשות גדל מהר יותר מהקצב שבו נערכים הטקסים, וחלק מהתשלומים מתחיל לזלוג דרך המתחם החם — רק כדי שהלקוח לא ימתין. בד בבד נשחקת ההפרדה עצמה: כדי לזרז חתימה, מעתיקים מפתחות למכונות עם רשת, ומעבירים שגרה לסקריפטים שרואים נתונים פרטיים. כך הסיכון לחשיפת מפתחות מפסיק להיות היפותטי.
צוואר בקבוק נפרד הוא השחזור. סדר הטקס, סף החתימות והקוורום של המחזיקים חיים בתקנון ובראשים, ולא בסכימה ניתנת לבדיקה, ולכן חידוש התשלומים לאחר תקלה נמשך יממה ולמעלה מכך, וכל החלפת מחזיק מפתח הופכת לפרויקט נפרד.
נפרק כיצד זה נסגר: החתימה הופכת לקו ייצור עם חותמים לא מקוונים, ריבוי חתימות מקבל סף מפורש ומטריצת גישה, והוכחת רזרבות נבנית כך שהפרדת המתחם לא תפריע לתפוקה.
מה נותן מתחם מבודד: זמן, סיכונים, סוג כשלים
מתחם מבודד מנתק את המסלול «בקשת משיכה → מפתח». כל עוד חומר המפתח נמצא על צומת עם ממשק רשת, שגיאת תצורה אחת הופכת למשיכת כספים שמבחינים בה רק בדיעבד. בסכימה מבודדת את הרזרבות משרת מתחם נפרד בלי מסלולי רשת: המשיכות נאספות לחבילה, מועברות דרך מדיום חתימה וחוזרות חתומות.
חלון החתימה של עסקאות הופך לגודל נשלט. משיכות גדולות אינן יוצאות מיד — הן ממתינות לפרק זמן מוגדר שבו פועלים מגבלות, ניטור ואישור לפי ריבוי חתימות. הסיכון נחסם לפני תנועת הכספים, ולא אחריה.
היקף הגישה למפתחות מצטמצם מ«למי יש גישה לשרת הרזרבות» לרשימה נקובה בשמות של מחזיקים. סף ריבוי החתימות קובע כמה חלקים צריך לאסוף, טקס החתימה מתועד בפרוטוקול, והחתימה עצמה מתבצעת במודול חומרה שמנותק פיזית מהרשת — סוג התקנים כמו Thales ומודולים דומים. המפתח הפרטי אינו יוצא מהמודול בצורתו הגלויה.
מכאן נעלם סוג שלם של כשלים: גניבת מפתח דרך צומת חם שנפרץ, החלפת כתובת במשיכה, הרחבת הרשאות שקטה של מפעיל. נשארים סיכונים פרוצדורליים, והם נסגרים בתקנון — רוטציה של מחזיקים, הפרדת תפקידים, יומן טקסים.
זמן השחזור של המתחם גם הוא נמדד: החלפת מודול וטקס פיצול מפתח חוזר — שעות של עבודה לפי תקנון במקום ימי השבתה של משיכות. לצורך הוכחת רזרבות אותו מתחם מספק תמונת מצב חתומה של יתרות: המבקר משווה אותן בלי לקבל גישה לניהול הכספים.
מצבי אחסון קר: השוואת גישות
מצבי אחסון קר נבדלים לא באלגוריתם החתימה, אלא במקום שבו נמצא חומר המפתח ובכמה צדדים בלתי תלויים צריכים להסכים לעסקה אחת. הבחירה נקבעת לפי זרימת המשיכות, מספר האתרים ועד כמה מהר צריך לאשר שאי אפשר לחלץ את המפתח. מתחם שנוח לקרן רזרבה עבור עשרה כתובות נתקע בגלל אנשים כשמדובר במאות משיכות ביום.
| אפשרות | מתי מתאימה | מגבלות |
|---|---|---|
| מתחם לא מקוון ידני | משיכות גדולות נדירות, היקף אחד | כל חתימה לא מקוונת היא פעולה ידנית, אין הפרדת תפקידים, ההרחבה נתקעת בגלל אנשים |
| מודול אבטחה חומרתי | משיכות סדירות, דרישת אי-חילוץ של המפתח | המפתח בהתקן אחד: כשל או פריצה של המודול עוצר משיכות, נדרש מודול גיבוי |
| סכימה עם כמה חתימות | ניהול מבוזר: גזברות, סיכון, הנהלה | אישור איטי יותר, אובדן קוורום כאשר מחזיק חלק אינו זמין |
| חתימה מבוזרת | כמה אתרים, זרימת משיכות, עמידות בכשלים | תפעול ועדכון מורכבים יותר, נדרשת משמעת ברוטציה של חלקים |
בפועל לא בוחרים מצב אחד בלבד: מודול אבטחה חומרתי הופך לאחד החותמים בסכימה עם כמה חתימות, וחתימה מבוזרת מפזרת חלקים בין אתרים שונים כך שאובדן אחד לא יעצור משיכות. חתימה לא מקוונת נשארת קו ההגנה האחרון לסכומים גדולים, שבהם השהיה לפעולה ידנית מוצדקת. המגבלה המרכזית של כל מצב היא לא מהירות החתימה, אלא מספר האנשים וההתקנים שבלעדיהם היא בלתי אפשרית.
שלבי יישום: מביקורת ועד מסירה לתפעול
את העבודה מבצעים באופן סדרתי: כל עוד המצב הנוכחי של המפתחות לא תועד, אין טעם לתכנן סכימת חתימה, ולהרכיב מתחם לפני שהסכימה אושרה פירושו לחזור ולעשות הכול מחדש. טעות בחלוקת החלקים זול יותר למצוא על הנייר מאשר בעת העברת מפתחות אמיתיים.
- ביקורת תשתית המפתחות. עורכים מלאי של מפתחות וכתובות: היכן הם מאוחסנים, למי יש גישה, אילו תהליכים משתמשים בהם. התוצר — מרשם עם בעלים, קריטיות ונקודות שבהן אדם אחד שולט ביותר מדי.
- תכנון סכימת החתימה. מגדירים ספי ריבוי חתימות, חלוקת חלקים בין מחזיקים, מגבלות וסדר אישור. את הסכימה מתארים פורמלית — לפני קוד וציוד.
- הרכבת מתחם מבודד. מכונות חתימה ללא ממשקי רשת, החלפה רק של ערכות חתומות על מדיה נשלפת, בקרת שלמות של תמונות בכל עדכון.
- תרגילי שחזור. מריצים תרחישים של אובדן חלק מפתח, כשל מדיה, אי-זמינות של מחזיק, פריצה של תחנת עבודה. מודדים זמן שחזור ומסירים שלבים שתלויים במהנדס אחד.
- תקנונים והדרכת משמרת תורנית. מוסרים את סדר המשיכות המתוכננות, רוטציית החלקים והתגובה לאירועים, מגדירים תפקידים. המשמרת מתרגלת פעולות תחת פיקוח עד שהיא עומדת בזמן התקני.
- מסירה לתפעול. חתימת בקרה, שחזור מגיבויים, השוואה עם מדגם ביקורת לצורך הוכחת רזרבות. נותר חבילת תיעוד וסדר שינויים מוסכם.
תיעוד, סכימות ותקנוני גישה למפתחות
מתחם אחסון קר נמסר לא כקופסה שחורה, אלא כמערכת של ארטיפקטים שלפיהם צוות הלקוח עצמו מבצע חתימה מתוכננת, רוטציית מפתחות ושחזור. בלי זה מתחם air-gapped הופך במהרה למערכת שאיש לא מעז לגעת בה, וכל שינוי שוב דורש ספק חיצוני.
- תצורת עבודה של המתחם — מניפסטים, פרמטרים של צמתים, כללי קוורום של ריבוי חתימות וסקריפטים לפריסה שמשחזרים את המערך מאפס.
- סכימת זרימות חתימה — מי יוזם את העסקה, היכן נוצרת החתימה, כיצד היא מגיעה למתחם המקוון ומי מוסיף את החלק השני של הקוורום.
- מדיניות גישה למפתחות ומטריצת תפקידים — הפרדה בין מפעיל, מבקר ומחזיק חלק, מגבלות משיכה, דרישות קוורום, סדר אישור חריגים.
- הוראות למשמרת תורנית — חתימה שגרתית, כשלים אופייניים, סדר הסלמה ורשימה מפורשת של פעולות האסורות מחוץ לתקנון.
- תוכנית שחזור — תרחישים לאובדן התקן או חלק מהקוורום, סדר הרכבת המפתח מחלקי גיבוי ובדיקה שהשחזור באמת עובד.
- תקנון רוטציה והוצאה של מפתחות — תדירות ההחלפה, השמדת מדיה ישנה ואישור שהחלקים הקודמים אינם מורכבים למפתח עבודה.
- נוהל הוכחת רזרבות — אילו נתונים ובאיזה شكل מיוצאים לביקורת, מי חותם על הדוח וכיצד נבדקת שלמותו.
- יומן אירועים ומסירת משמרת — מה מתועד, כמה זמן נשמר וכיצד מהיומן משחזרים היסטוריה של כל חתימה.
מקרה בוחן: העברת רזרבות הבורסה למתחם מבודד
רזרבות הבורסה הוחזקו בארנקים חמים עם היקף גישה רחב: חתימה על משיכה נאספה מכמה עשרות מפעילים, ופעולות מפתח עברו אישור ידני.
כל עוד ההיקפים היו קטנים, הסכימה החזיקה מעמד — אבל בשיאי תשלומים המוניים התור לחתימה גדל מהר יותר מהקצב שבו הספיקו לטפל בו, וכל תקלה בצומת החתימה הפכה לתיאום הרשאות במקום לשחזור.
לפני: היקף של עשרות חותמים
תשלום המוני — למשל פיצוי לאחר תקלת רשת — נמשך כשלוש וחצי שעות: החתימות נאספו באופן סדרתי, וכל עסקה המתינה לאישור ידני. השחזור לאחר כשל בצומת החתימה — כ-14 שעות, ורוב הזמן לא הוקדש לטכני אלא לתיאום גישה לגיבויי המפתחות.
אחרי: מתחם מבודד ומטריקות
המפתחות הועברו להתקני חתימה במצב air-gap (בשילוב עם Ledger): העסקה נבנית בצומת מקוון, נחתמת באופן לא מקוון וחוזרת מוכנה. הסכימה היא ריבוי חתימות 4 מתוך 7 עם מחזיקים בתחומי שיפוט שונים, ולכן פריצה בודדת אינה שולטת ברזרבות. תשלום המוני קוצר ל-18 דקות, והשחזור לפי תרחיש מתורגל — ל-40 דקות.
חלק הפעולות במסלול האוטומטי עלה מ-22% ל-96%, והיקף הגישה הצטמצם מכמה עשרות אנשים לשבעה מחזיקי מפתחות. תמונות מצב של הוכחת הרזרבות נאספות מאותו מתחם, ואין יותר צורך בגישה נפרדת לארנקים לצורכי דיווח: הרזרבות נמצאות תמיד מחוץ לרשת, וכל חתימה נרשמת ביומן בלתי ניתן לשינוי.
במה שונה ריבוי חתימות מסכימת פיצול מפתח
ריבוי חתימות ופיצול מפתח מבלבלים לעיתים קרובות, כי שניהם עוסקים ב«כמה מחזיקים». אבל המכניקה שונה. בריבוי חתימות יש n מפתחות בלתי תלויים, שכל אחד מהם מלא: העסקה יוצאת כשנאספו m חתימות, וסף החתימות מוטבע בכלל הכתובת, ולא בהסכמה בין אנשים.
פיצול מפתח הוא המודל ההפוך. המפתח הפרטי הוא אחד, אבל מפרקים אותו לחלקים אצל מחזיקים כך שאף חלק לבדו אינו נותן חתימה, והשחזור דורש איסוף של k חלקים. עד להרכבה המפתח השלם אינו קיים במציאות — זה סוג הגנה עקרונית אחר מאשר אוסף של מפתחות מלאים.
מכאן ההבדל בעמידות החתימה בפני כשלים. אובדן חלק מפתח בריבוי חתימות הוא אובדן קול, לא אובדן גישה: בסכימת 2 מתוך 3 המשיכה ממשיכה לעבוד. בסכימת פיצול סוד אובדן חלק הוא קריטי: אם נותרו פחות מחזיקים מהסף, הכספים חסומים עד לשחזור, ולכן ערכת חלקי גיבוי נקבעת מראש.
יש גם צד שני. ריבוי חתימות משאיר כמה מפתחות מלאים על מדיה — שטח התקיפה גדל והרוטציה מסובכת יותר. בפיצול סוד המפתח השלם מורכב לזמן קצר בנקודה אחת, וזה חלון סיכון. גישה היברידית — ריבוי חתימות עם מודולי חתימה חומרתיים או סכימות סף, שבהן החלקים כלל אינם מצטברים למפתח שלם.
עבור אחסון קר של בורסת קריפטו הבחירה אינה «או-או»: ריבוי חתימות סוגר רזרבה גדולה, שבה נדרשת עמידות משיכה בפני כשלים ורוטציה באמצעות שינוי כלל הכתובת, ופיצול סוד — שחזור גישה אצל כמה מחזיקים. ההחלטה מתקבעת במדיניות החתימה, ובהכרח נבדקת בתרגילי שחזור.
ספקות טכניים: מה מבררים לפני תחילת העבודה
מנהלים טכניים שואלים את אותה קבוצת שאלות לפני ההתחלה — וזה סימן בריא: גבולות העבודה ברורים לשני הצדדים. אנחנו מפרקים אותן בשלב ההערכה, כדי לא לברר פרטים באמצע היישום.
כיצד מתחם קר ישתלב בתשתית הקיימת?
חותם מבודד לא אמור לשבור את מערכת החשבונאות והחיוב. לפני ההתחלה מתקבעים פורמט ההחלפה בין המתחם הקר לחם — קובץ חתימה, מתארי ארנקים, סכימת גזירת כתובות — ובודקים שמערכת החשבונאות מקבלת עסקאות חתומות בלי תיקונים ידניים.
איזה קצב יעמדו בו תשלומים המוניים?
תשלומים המוניים נתקעים בחתימה, לא ברשת. מגדירים את גודל חבילת היציאות, קצב החתימה ומגבלות המדיניות לפי סכומים, ותשלומים קטנים מפנים למתחם החם — גדולים נשארים במתחם הקר עם אישור מפעיל.
מה ייכנס ליומן הפעולות עם מפתחות?
מתעדים כל נגיעה במפתח: מי יזם, איזה קוורום נאסף, גיבוב העסקה, זמן, טביעת אצבע של ההתקן. היומן נכתב רק בהוספה ומיוצא למערכת חיצונית — לפי כל עסקה, גם אחרי חודשים, משחזרים את השרשרת המלאה.
כיצד יאושרו הרזרבות?
הוכחת רזרבות נבנית על תמונת מצב של יתרות, עץ מרקל וחתימות בעלות על כתובות. מחליטים מראש באיזו תדירות נבנית ההוכחה מחדש וכיצד ההתחייבויות מותאמות ליתרות אמיתיות, כדי שהדוח לא יסתור את השרשרת.
היכן מסתיימת האחריות שלכם?
המפתחות נוצרים ונשמרים בצד שלכם, וסכימת הגישה ללא שליטה בלעדית. אנחנו אחראים לתכנון, ליישום ולתקנונים; אבטחה פיזית ושחזור — בתחום שירות האבטחה שלכם.
ספרו על המתחם: נחזור עם הערכה ותוכנית
הערכה מדויקת של מתחם קר נשענת על נתוני המקור: מהיקף הקוורום תלוי נפח העבודה על חתימה, הפרדת הרשאות והוכחת רזרבות. ככל שהמתחם הנוכחי מתואר בפירוט רב יותר, כך יש פחות הנחות באומדן ובתוכנית היישום — ופחות אי-התאמות בקבלה.
להלן — מה שכדאי לשלוח לדיון במשימה. אין צורך במפרט פורמלי: תארו את המתחם בצורה חופשית, ופרטים חסרים נברר בשיחה.
- רשימת הרשתות והנכסים שעוברים למתחם הקר, ואיזה חלק נשאר בארנקים תפעוליים לצורכי תשלומים.
- סכימת החתימה הנוכחית: מספר החותמים, כיצד מחולקים חלקי המפתח, אילו קוורומים מעוגנים במדיניות.
- היכן מאוחסנים חומרי המפתח כעת, למי יש גישה פיזית למדיה ולחדרים.
- מגבלות ותקנון: סף סכום לעסקה אחת, מספר אישורים, סדר משיכה דחופה.
- כיצד נוצרת הוכחת הרזרבות: מקורות היתרות, מי מבצע התאמה, האם נדרשת פרסום התחייבויות.
- אילו מערכות פנימיות צריכות לקבל סטטוס חתימה וכיצד מתנהלת כעת חשבונאות הפעולות.
- דרישות המבקרים והרגולטור לתיעוד גישות ולשמירת עקבות פעולות.
- לוחות הזמנים הרצויים לשלבים ומה אתם מחשיבים כקבלת התוצאה.
תארו את המשימה — נחזור עם הערכת עבודה, הרכב שלבים ותוכנית יישום. אם חלק מהנתונים חסוי, נציע מתחם על בסיס שיטות מקובלות ונציין מה ידרוש בירור.