✍️ Traduzione by Dash Italia — Fonte originale
“Articolo tradotto per la community Italiana di Dash perchè ritenuto molto interessante e su un argomento importante”
Una storia vecchia come il mondo in questo settore: un utente o un cliente viene hackerato o smarrisce le chiavi e perde tutto.
Questo fenomeno ha portato molti a sostenere che la Self-Custody non è per tutti, che abbiamo bisogno di custodi per proteggere tutti tranne gli utenti più esperti.
Non credo in questo compromesso. Credo che ci si possa aspettare che ogni singolo utente si autocustodisca in qualche modo, e che senza questo i principali vantaggi che stiamo cercando di ottenere con le criptovalute andrebbero completamente persi.
Per fortuna, risolvere il problema della Self-Custody non è così difficile. In realtà ci siamo quasi.
Perché la Self-Custody fa schifo per i normali
Sentiamo costantemente affermazioni (spesso da parte dei massimalisti di Bitcoin, ma non esclusivamente) secondo cui non tutti impareranno ad autocustodirsi. Che è troppo difficile e complesso, e che la maggior parte delle persone non è semplicemente pronta ad assumersi questa responsabilità.
Sono completamente in disaccordo, ovviamente, ma riconosco anche che la Self-Custody, così com’è oggi, non è adatta all’uso di massa.
Ecco i tre motivi principali per cui le attuali soluzioni di Self-Custody non funzionerebbero per i normali utenti.
1: I backup sono difficili e poco familiari
Il problema più immediato con i backup crittografici è che sono poco familiari alle persone normali e incredibilmente facili da sbagliare.
Il backup standard più elegante è la frase di recupero di 12–24 parole: parole in inglese semplice, può essere registrata in diversi modi, funziona praticamente su qualsiasi dispositivo. Ma è poco familiare, richiede tempo per essere scritta, è facile commettere errori e, a seconda di come e dove viene archiviata, può causare facili perdite o compromissioni.
Il fatto che non ci sia un percorso semplice rende questo terrificante e confuso per i normali utenti, soprattutto perché un errore potrebbe far perdere loro tutti i soldi. Hanno bisogno di un modo semplice e infallibile per eseguire il backup delle proprie chiavi, che non sia complesso, dispendioso in termini di tempo o facilmente compromissibile a causa di errori dell’utente.
2: Chiavi private tutte in un unico posto (nessuna 2FA)
Il secondo problema è che le chiavi private sono (il più delle volte) interamente archiviate in un unico posto o dispositivo, quindi la compromissione del dispositivo equivale alla perdita completa di chiavi e fondi.
I portafogli hardware sono stati completamente etichettati come cold storage vault, quando in realtà sono più simili a dispositivi 2FA: forniscono un ulteriore livello di sicurezza durante le transazioni.
Tuttavia, troppi sono troppo costosi, complessi da configurare e difficili da usare. È necessario un metodo 2FA molto semplice. Alcuni portafogli NFC più moderni, come Tangem e la Vault Keycard di Zypto, lo fanno piuttosto bene, ma sono ancora pochi e rari.
3: Nessun modo per revocare l’accesso
Questo è il problema principale irrisolto su larga scala: cosa succede quando qualcun altro entra in possesso delle tue chiavi?
La maggior parte delle soluzioni di backup e ripristino gestisce il caso in cui l’utente perde l’accesso ai propri fondi, ma non quello in cui qualcun altro ottiene l’accesso alle sue chiavi e non può essere rimosso.
Per un caso d’uso puramente digitale, queste situazioni sono identiche: qualcuno ottiene le tue chiavi e si impossessa dei tuoi fondi, e tu puoi recuperare l’accesso in tempo per spostare i tuoi fondi, oppure li perdi. Tuttavia, nell’era in cui le tue chiavi sono legate all’accesso, all’autenticazione e all’identità, il tuo portafoglio reale è più prezioso dei fondi al suo interno.
Sfortunatamente, nella maggior parte delle configurazioni, quando qualcuno ottiene le tue chiavi, le ottiene. Fine della storia. Ricomincia da capo. Non c’è modo di recuperare effettivamente l’accesso ed espellere definitivamente l’aggressore.
Come NON risolvere la Self-Custody
Prima di passare alle soluzioni, accenniamo brevemente a cosa NON fare: rinunciare alla custodia parziale (o totale) dei tuoi fondi o introdurre la reversibilità delle transazioni.
Write on Medium
L’essenza delle criptovalute è la piena sovranità senza terze parti affidabili, e introdurle, anche come parte di una configurazione multisig, sembra essere un passo indietro per la maggior parte.
In secondo luogo, l’introduzione della reversibilità delle transazioni ripropone gli stessi problemi del sistema finanziario tradizionale, ovvero l’attesa che le transazioni vengano effettivamente regolate e l’aggiunta di commissioni e contingenze aggiuntive per addebiti, frodi e altri problemi.
Possiamo fare di meglio.
Cosa possiamo imparare dalle app di custodia
Allo stesso tempo, possiamo imparare dai sistemi finanziari tradizionali e dagli account web affidabili su come far funzionare la Self-Custody. Dobbiamo solo guardarla dalla giusta prospettiva: il percorso dell’utente.
Immaginiamo un’ipotetica app finanziaria come un conto bancario e seguiamo come l’utente la utilizzerebbe e come recupererebbe i suoi fondi in caso di perdita dell’accesso.
Innanzitutto, accedono con nome utente e password. Spendono importi e modalità prestabilite utilizzando una carta, ma se la situazione dovesse cambiare, potrebbero dover confermare tramite il telefono o un altro sistema di verifica di backup. Se perdono l’accesso al loro account, possono reimpostarlo con un documento d’identità. Se perdono completamente il documento d’identità, non è la fine del mondo, poiché possono utilizzare un certificato di nascita o altri documenti d’identità per ottenere il rilascio del documento originale.
A pensarci bene, nessuno di questi passaggi richiede un custode. Possiamo emulare l’accesso di base con un dispositivo e una password, e una forma di autenticazione a due fattori per importi maggiori. Possiamo archiviare l’account di recupero su una carta di plastica e avere un altro oggetto fisico per quando la carta di plastica viene smarrita.
Dobbiamo solo creare l’esperienza giusta. E credo che possiamo farlo.
Come risolvere la Self-Custody
C’è un primo passo semplicissimo, quasi troppo semplice a prima vista, per risolvere la Self-Custody: abilitare dispositivi fisici (come NFC) per le condivisioni del vault Vultisig.
Vultisig è un portafoglio multi-coin e un SDK che funziona con firme di soglia: essenzialmente come un multisig, solo che in realtà sono più elementi a formare un’unica firma, il che significa che è possibile avere supporto multi-coin e (soprattutto) aggiungere o rimuovere partecipanti o dispositivi senza dover riconfigurare completamente il portafoglio e trasferire fondi.
In pratica, ciò significa per l’utente finale che può configurare il proprio portafoglio su diversi dispositivi separati: il telefono, il laptop, il desktop e il tablet. Due dispositivi qualsiasi (ad esempio) possono firmare una transazione e aggiungere o rimuovere dispositivi.
Ciò che manca è la possibilità di farlo senza possedere un sacco di dispositivi. Per un utente medio che ha solo un telefono e un computer, le configurazioni che può utilizzare sono limitate e non può archiviare in modo sicuro il backup senza preoccuparsi di accendere un dispositivo che non usa da molto tempo. L’aggiunta di un’opzione per un dispositivo fisico risolve questo problema.
Ecco come i tre grandi problemi della Self-Custody vengono risolti con questa configurazione.
1: Backup istantanei dei dispositivi fisici
Senza seed phrase, condivisione di file crittografata o altri backup complessi, i backup possono essere eseguiti istantaneamente, facilmente e senza margine di errore da parte dell’utente. Il backup di base di Vultisig consente facilmente di ottenere questo risultato aggiungendo un nuovo dispositivo.
Dispositivi fisici come le schede NFC risolvono il problema di non avere, o non voler gestire, un sacco di dispositivi diversi che devono essere caricati e trasportati. In caso di smarrimento del dispositivo principale, è sufficiente toccare tre schede in sequenza per aggiungere nuovamente il dispositivo, molto più semplice che leggere e inserire manualmente una seed phrase.
2: Niente più chiavi singole
Con questa configurazione a chiave divisa, non si verifica più il caso in cui un singolo dispositivo o oggetto contenga chiavi sufficienti a compromettere effettivamente i fondi. Sono necessari almeno due dispositivi (o, più realisticamente, il dispositivo e una carta offline) per effettuare qualsiasi transazione, il che significa che il furto o la compromissione di un dispositivo non rappresenteranno la fine del mondo.
E, con un potenziale mix di tipologie di dispositivi (dispositivi elettronici o oggetti offline), è molto più facile avere un accesso diversificato alla condivisione del vault, rendendo la superficie di attacco molto più complessa.
3: Accesso revocabile
Infine, grazie alla configurazione della firma di soglia e alla sua capacità di revocare le condivisioni del vault, se un wallet viene effettivamente compromesso, è possibile recuperarlo ed espellere la parte indesiderata.
Questo è il vantaggio principale rispetto alla maggior parte degli schemi di backup: la possibilità di riformattare i backup senza dover rifare completamente il wallet.
Livello successivo: Recupero social
Naturalmente, anche con una configurazione ideale come questa, possiamo fare di meglio.
A volte si verifica uno scenario peggiore, in cui persino tutti i vari backup vengono persi o distrutti. Nel “mondo reale”, questo equivarrebbe a perdere tutti i documenti d’identità, incluso il certificato di nascita.
Il metodo definitivo per il ripristino delle chiavi è il social recovery. Non ci sono ancora molte buone soluzioni che lo implementano, sebbene GridlockCrypto sembri promettente.
Una volta che saremo in grado di unire tutte queste funzionalità chiave (firme di soglia, condivisioni di vault fisici e social recovery) in un’unica configurazione standardizzata, potremo finalmente avere la configurazione di Self-Custody perfetta e dire addio per sempre al rischio di controparte depositaria.
🌐 V️isita il nostro Sito Web 🌐