# Gitleaks: проверка репозитория на утечки секретов
gitleaks detect --source . --verbose
# Или как pre-commit hook
gitleaks protect --staged

HashiCorp Vault — לאבטחה ברמת production. סודות מאוחסנים מוצפנים, גישה דרך סודות דינמיים עם TTL, יומן ביקורת לכל בקשה. Vault ניתן להרחבה פי 10 יותר מניהול סודות ידני. Cloud Secret Managers קלים פי 2 להגדרה מ-Vault לפרויקטים עם ענן יחיד אך חסרים סודות דינמיים.

# Получение секрета через Vault CLI
vault kv get -field=private_key secret/blockchain/signer

# В приложении: динамический токен с коротким TTL
vault token create -policy="blockchain-signer" -ttl=1h

ליישומים ב-Kubernetes — Vault Agent Injector או External Secrets Operator. הסוד מורכב כקובץ, לא נחשף במשתני סביבה (שלעתים קרובות מתועדים ביומנים).

כיצד להצפין מפתחות פרטיים?

הצפנת מפתחות פרטיים

HSM למפתחות חתימה

למפתחות חתימה ב-production (multisig, oracle, bridge) — HSM. המפתח לעולם לא עוזב את המכשיר, החתימה מתבצעת בפנים. שימוש ב-HSM מאובטח פי 100 יותר מאשר keystore מבוסס תוכנה. AWS CloudHSM / Google Cloud HSM תומכים ב-secp256k1 (בדוק תאימות). HashiCorp Vault יכול גם להשתמש ב-HSM כ-backend. עלות הטמעת HSM נעה בין 5,000 ל-15,000 דולר למכשיר.

Nitro Enclaves (AWS) — בידוד וירטואלי: ל-enclave אין אחסון מתמשך או גישה לרשת. אפילו root על המכונה המארחת לא יכול לגשת לנתונים בפנים. Nitro Enclaves מספקים בידוד טוב פי 100 ממכונות VM סטנדרטיות.

הצפנת Keystore

למפתחות פחות קריטיים (ארנקים חמים עם מגבלות) — פורמט keystore EIP-55:

// ethers.js: создание зашифрованного keystore
const wallet = ethers.Wallet.createRandom();
const encrypted = await wallet.encrypt(
  process.env.KEYSTORE_PASSWORD!,
  { scrypt: { N: 131072, r: 8, p: 1 } } // высокий cost factor
);
// Сохранить encrypted JSON, не приватный ключ
// Расшифровка при старте приложения
const wallet = await ethers.Wallet.fromEncryptedJson(
  keystoreJson,
  process.env.KEYSTORE_PASSWORD!
);

סיסמת ה-keystore היא גם סוד. אחסן אותה ב-Vault או ב-Secrets Manager.

הצפנת נתוני KYC של משתמשים

אם הפרויקט מאחסן מסמכי KYC — הם כפופים ל-GDPR. דרישות מינימליות:

• הצפנה במנוחה: AES-256-GCM לנתוני מסד הנתונים. KMS לניהול מפתחות.
• הצפנה בתעבורה: TLS 1.3 בכל מקום, הצמדת אישורים ליישומי מובייל.
• מזעור נתונים: אחסן רק את ה-hash של המסמך והסטטוס, לא את המסמך עצמו. זה מפחית חשיפת נתונים ב-99%.

-- Шифрование в PostgreSQL через pgcrypto
INSERT INTO kyc_data (user_id, encrypted_document_hash, verified_at)
VALUES ($1, pgp_sym_encrypt($2, current_setting('app.encryption_key')), NOW());

הצפנת נתונים ב-IPFS

IPFS היא רשת ציבורית. הכל נגיש לכולם. לנתונים פרטיים — הצפן לפני העלאה:

import { create } from 'ipfs-http-client';
import { box, randomBytes } from 'tweetnacl';
import { encodeBase64 } from 'tweetnacl-util';

async function uploadEncrypted(data: Uint8Array, recipientPublicKey: Uint8Array) {
  const nonce = randomBytes(box.nonceLength);
  const { publicKey, secretKey } = box.keyPair();
  const encrypted = box(data, nonce, recipientPublicKey, secretKey);
  const payload = {
    nonce: encodeBase64(nonce),
    ephemeralPublicKey: encodeBase64(publicKey),
    ciphertext: encodeBase64(encrypted)
  };
  const ipfs = create({ url: 'https://ipfs.infura.io:5001' });
  const result = await ipfs.add(JSON.stringify(payload));
  return result.cid.toString();
}

אבטחת תשתית

בידוד רשת

צמתי חתימה, מפעילי bridge, צמתי oracle — לא ציבוריים. VPC עם תת-רשתות פרטיות, קבוצות אבטחה עם הרשאות מינימליות. בידוד צמתי חתימה מפחית את משטח התקיפה ב-90%.

אבטחת נקודות קצה RPC

RPC ציבורי — וקטור תקיפה. סובב מפתחות Alchemy/Infura, השתמש ברשימות מותרות לפי מקור. צומת RPC ייעודי (geth/erigon) בתת-רשת פרטית עדיף. גישה רק דרך שירותים פנימיים.

ניטור והתראות

OpenZeppelin Defender Sentinel מנטר אירועים on-chain, שולח התראות על עסקאות חריגות מכתובות מורשות. Forta — ניטור מבוזר עם סוכני זיהוי קהילתיים. ההגדרה אורכת 1-2 שבועות אך מספקת ראות קריטית לתגובה לאירועים.

תוצרים

בהזמנת הגדרת הצפנה, אתה מקבל:

1. ביקורת תשתית נוכחית: הערכת סיכונים, זיהוי דליפות, המלצות.
2. עיצוב ארכיטקטורה: בחירת מנהל סודות, HSM, סכמת הצפנה.
3. יישום: פריסת Vault/HSM, הגדרת רוטציית מפתחות, אינטגרציה עם יישומים.
4. תיעוד: דיאגרמת תשתית, נהלי רוטציה, מדיניות אבטחה.
5. הכשרת צוות: סדנה על ניהול סודות ותגובה לאירועים.
6. תמיכה: ניטור, התראות, רוטציה מתוזמנת.

הגדרת הצפנה מלאה לפרויקט קריפטו ב-production אורכת 3-6 שבועות בהתאם להיקף התשתית. העלות להגדרה מלאה נעה בין 10,000 ל-50,000 דולר. החיסכון בעלויות ממניעת פרצה אחת יכול לעלות על 500,000 דולר. כ-60% מפרויקטי הקריפטו חוו אירוע אבטחה הקשור לתשתית off-chain; הטמעת הצפנה מפחיתה את הסבירות לאירוע ב-80%. כדי להעריך סיכונים, צור קשר — קבל ייעוץ תוך 2-3 ימים.