[论文解读] Wallet Attestations for Virtual Asset Service Providers and Crypto-Assets Insurance

Thomas Hardjono, Alexander Lipton+1 more|arXiv (Cornell University)|May 29, 2020

Blockchain Technology Applications and Security参考文献 19被引用 6

一句话总结

本文提出使用可信硬件实现钱包认证，为虚拟资产服务提供商（VASP）提供加密密钥完整性和运行状态的可验证证据，使其符合金融行动特别工作组（FATF）旅行规则要求，并增强加密资产保险机构的信任。通过实现不可伪造、保护隐私的钱包状态认证，该方法支持去中心化金融中的监管合规与可度量的风险评估。

ABSTRACT

The emerging virtual asset service providers (VASP) industry currently faces a number of challenges related to the Travel Rule, notably pertaining to customer personal information, account number and cryptographic key information. VASPs will be handling virtual assets of different forms, where each may be bound to different private-public key pairs on the blockchain. As such, VASPs also face the additional problem of the management of its own keys and the management of customer keys that may reside in a customer wallet. The use of attestation technologies as applied to wallet systems may provide VASPs with suitable evidence relevant to the Travel Rule regarding cryptographic key information and their operational state. Additionally, wallet attestations may provide crypto-asset insurers with strong evidence regarding the key management aspects of a wallet device, thereby providing the insurance industry with measurable levels of assurance that can become the basis for insurers to perform risk assessment on crypto-assets bound to keys in wallets, both enterprise-grade wallets and consumer-grade wallets.

研究动机与目标

• 解决虚拟资产服务提供商（VASPs）在FATF旅行规则下面临的监管挑战，特别是客户密钥所有权和加密密钥信息相关问题。
• 使VASP能够获得关于钱包设备状态和密钥管理实践的可验证、保护隐私的证据，而无需暴露私钥。
• 通过提供可度量的技术保障，支持保险行业对钱包中持有的加密资产进行风险评估。
• 建立标准化、可扩展的认证服务框架，用于VASP信任网络，以提升跨司法管辖区的合规性与互操作性。
• 提出创新方向，如钱包保障级别（LOA）、共享固件仓库和不可迁移密钥证书，以增强钱包系统中的信任。

提出的方法

• 利用设备认证技术——受可信平台模块（TPM）原理启发——生成关于钱包硬件和软件状态的密码学可验证证据。
• 设计一种标准化的认证架构，使钱包能够提供密钥存储、可信执行环境（TEE）完整性以及密钥使用策略的证据。
• 引入VASP联盟模型，其中共享认证服务（ASP）验证钱包认证，并根据设备可信度分配钱包保障级别（LOA）。
• 通过安全、密码学签名的认证实现远程验证钱包状态，且不泄露任何私钥信息。
• 提出基于X.509标准的不可迁移密钥证书配置文件，将公钥与可信硬件绑定，以增强交易对手方的信心。
• 建立VASP联盟仓库，用于存储经批准的软件、固件和补丁，确保钱包设备在上线后保持已知且安全的状态。

实验结果

研究问题

• RQ1 VASP如何获得关于客户钱包中密钥管理实践的可验证、保护隐私的证据，以符合FATF旅行规则？
• RQ2 钱包认证在哪些方面能够提升加密资产保险机构的风险评估能力？
• RQ3 VASP联盟如何实现认证服务的标准化与规模化，以支持跨司法管辖区的合规性与信任？
• RQ4 需要哪些技术和组织框架，才能基于硬件与软件完整性建立钱包保障级别（LOA）？
• RQ5 不可迁移密钥证书与安全固件仓库如何增强基于钱包的加密资产托管中的信任？

主要发现

• 钱包认证为VASP提供了不可伪造、保护隐私的密钥管理状态证据，使其在不暴露私钥的前提下符合旅行规则要求。
• 在VASP信任网络中使用认证服务，可实现跨不同钱包类型和司法管辖区的标准化、可扩展的钱包完整性验证。
• 钱包保障级别（LOA）可基于硬件可信度、生物识别认证和固件完整性来定义，为保险机构提供可度量的风险指标。
• 加密资产保险机构可利用认证证据进行更精确的风险评估，减少对主观文档的依赖，并增强对托管实践的信任。
• 提出建立VASP联盟共享仓库，用于存储经批准的软件与固件，可确保钱包设备在上线后保持已知且安全的配置状态。
• 通过X.509标准将不可迁移密钥证书与可信硬件绑定，可提升交易对手方对交易的信心，证明私钥无法被转移或复制。