[論文レビュー] Wallet Attestations for Virtual Asset Service Providers and Crypto-Assets Insurance

Thomas Hardjono, Alexander Lipton+1 more|arXiv (Cornell University)|May 29, 2020

Blockchain Technology Applications and Security参考文献 19被引用数 6

ひとこと要約

本論文は、信頼できるハードウェアを活用したウォレット認証を提案し、仮想資産サービスプロバイダー（VASP）が暗号鍵の整合性と運用状態の検証可能な証明を提供できるようにすることで、FATFトランジット規則への準拠を可能にするとともに、暗号資産保険会社の信頼を高める。非改ざん可能でプライバシーを保護するウォレット状態の認証を可能にすることで、分散型金融における規制準拠と測定可能なリスク評価を支援する。

ABSTRACT

The emerging virtual asset service providers (VASP) industry currently faces a number of challenges related to the Travel Rule, notably pertaining to customer personal information, account number and cryptographic key information. VASPs will be handling virtual assets of different forms, where each may be bound to different private-public key pairs on the blockchain. As such, VASPs also face the additional problem of the management of its own keys and the management of customer keys that may reside in a customer wallet. The use of attestation technologies as applied to wallet systems may provide VASPs with suitable evidence relevant to the Travel Rule regarding cryptographic key information and their operational state. Additionally, wallet attestations may provide crypto-asset insurers with strong evidence regarding the key management aspects of a wallet device, thereby providing the insurance industry with measurable levels of assurance that can become the basis for insurers to perform risk assessment on crypto-assets bound to keys in wallets, both enterprise-grade wallets and consumer-grade wallets.

研究の動機と目的

• FATFトランジット規則の下で、仮想資産サービスプロバイダー（VASP）が直面する規制的課題に取り組むこと、特に顧客の鍵所有権と暗号鍵情報に関するもの。
• VASPが、プライベートキーを暴露せずに、ウォレットデバイスの状態と鍵管理手法に関する検証可能でプライバシーを保護する証明を取得できるようにすること。
• 暗号資産をウォレットに保持する際のリスク評価のための測定可能で技術的な保証を提供することで、保険業界を支援すること。
• VASP信頼ネットワーク内での認証サービスのための標準的で拡張可能なフレームワークを確立し、国境を越えた準拠性と相互運用性を向上させること。
• ウォレットの信頼性を強化するためのイノベーション分野を提案すること、例えばウォレットの保証レベル（LOA）、共有ファームウェアリポジトリ、移行不能鍵証明書など。

提案手法

• 信頼できるプラットフォームモジュール（TPM）の原則にインspiredされたデバイス認証技術を活用し、ウォレットのハードウェアおよびソフトウェア状態の暗号的に検証可能な証明を生成する。
• ウォレットが鍵の保存状態、信頼実行環境（TEE）の整合性、鍵使用ポリシーに関する証明を提供する標準化された認証アーキテクチャを設計する。
• 共有認証サービス（ASP）がウォレット認証を検証し、デバイスの信頼性に基づいてウォレットの保証レベル（LOA）を割り当てる、VASPコンsortiumモデルを導入する。
• 暗号的に署名された安全な認証を通じて、プライベートキーの情報が露呈されない形で、リモートでウォレット状態を検証可能にする。
• X.509標準を用いて、公開鍵を信頼できるハードウェアに束縛する非移行可能鍵証明書のプロファイルを提案し、取引相手の信頼を高める。
• 承認済みのソフトウェア、ファームウェア、パッチを保証するVASPコンsortiumリポジトリを確立し、ウォレットデバイスがオンボーディング後も、既知かつ安全な状態を維持できるようにする。

実験結果

リサーチクエスチョン

• RQ1 VASPは、FATFトランジット規則への準拠を図るために、顧客ウォレットにおける鍵管理手法に関する検証可能でプライバシーを保護する証明をどのように取得できるか？
• RQ2 ウォレット認証は、暗号資産保険会社のリスク評価能力をどのように向上させることができるか？
• RQ3 VASPコンソーシアムは、国境を越えた準拠性と信頼性を支援するため、認証サービスをどのように標準化・スケーリングできるか？
• RQ4 ハードウェアおよびソフトウェアの整合性に基づくウォレット保証レベル（LOA）を実現するための技術的および組織的フレームワークは何か？
• RQ5 非移行可能鍵証明書と安全なファームウェアリポジトリは、ウォレットベースの暗号資産管理における信頼をどのように高めることができるか？

主な発見

• ウォレット認証により、VASPは改ざん不能でプライバシーを保護する鍵管理状態の証明を入手でき、プライベートキーを暴露せずにトランジット規則への準拠が可能になる。
• VASP信頼ネットワーク内での認証サービスの利用により、異なるウォレットタイプや国境を越えて、ウォレットの整合性を標準的かつスケーラブルに検証できるようになる。
• ウォレットの保証レベル（LOA）は、ハードウェアの信頼性、バイオメトリクス認証、ファームウェアの整合性に基づいて定義可能であり、保険会社が測定可能なリスク指標を提供できる。
• 暗号資産保険会社は、認証証明を活用することで、より正確なリスク評価を実施でき、主観的な文書に依存するのを減らし、保管手法に対する信頼を高められる。
• 承認済みソフトウェアおよびファームウェアの共有VASPコンソーシアムリポジトリの提案により、オンボーディング後もウォレットデバイスが既知かつ安全な構成を維持できる。
• X.509を介して信頼できるハードウェアに束縛された非移行可能鍵証明書により、プライベートキーが移転または複製できないことを証明することで、取引相手の信頼が向上する。