Hasta el 10% del PIB mundial podría almacenarse en blockchains para 2025, según el Foro Económico Mundial. Desde identificadores de productos, historiales médicos hasta registros de propiedad, académicos titulaciones y seguros contratos, blockchain y las tecnologías de libro mayor distribuido (DLT) ya funcionan en muchos sectores.
Lo que promete blockchain no es menos que la columna vertebral tecnológica del siglo XXI renacimiento de los bienes comunes sociales, devolviendo el poder a la gente. En este siglo más que nunca, el poder procede de los datos. Blockchain promete devolver el control de los datos a la gente. Pero esto requiere un elemento: confianza en la tecnología, confianza en que hace lo que se supone que debe hacer.
La paradoja aquí es que blockchain elimina la necesidad de confiar en el intermediario, es decir, notarios, aseguradoras y banqueros, al exigirnos confiar en la tecnología. Pero ¿qué probabilidades hay de que confiemos en la tecnología si se produce una brecha de seguridad repetidamente?
Imaginemos las posibilidades para 2050, cuando no el 10%, sino el 50% del PIB mundial esté en blockchain. Más allá de las consecuencias materiales, ¿en qué tipo de sociedades viviremos si carecemos de confianza en la tecnología en la que se fundamenta? Podría argumentarse que, si la tecnología resulta demasiado difícil de proteger, blockchain desaparecerá en un abismo digital. Pero la historia reciente nos demuestra que una seguridad deficiente no es un obstáculo para la adopción.
Una reputación que recuperar
En el célebre hackeo de Bitcoin de 2010, cuando solo unos pocos afortunados habían invertido en Bitcoin, una vulnerabilidad en el código permitió a alguien generar 184 000 millones de bitcoins en una sola transacción, de la nada. ¿Cómo? Una vulnerabilidad en el código, no en la lógica de blockchain. El problema se corrigió rápidamente.
En 2016, alguien se apropió temporalmente de 75 millones de dólares del DAO, aprovechando de nuevo una vulnerabilidad en el código, esta vez en un contrato inteligente. Una vez más, la lógica del DLT subyacente permanecía intacta.
Más recientemente, en 2019, falleció el director ejecutivo de un fondo de gestión de criptoactivos y, con él, las credenciales para acceder a las criptomonedas que gestionaba, por un valor superior a 150 millones de dólares. Imposible recuperarlas. ¿Fue culpa de blockchain? No, la empresa no implementó controles y contrapesos adecuados para evitar este escenario. Además, resulta que el director ejecutivo había robado los fondos antes de fallecer.
Blockchain es una tecnología nueva y no es de las más sencillas. Podrían pasar años hasta que la comunidad blockchain converja en estándares de seguridad que reduzcan la frecuencia de brechas de seguridad. No obstante, con el ritmo acelerado de estas perturbaciones, ¿realmente tiene blockchain años para recuperar su reputación?
¿Es realmente segura blockchain?
Blockchain, como tecnología conceptual, es segura. Eso es lo que afirma el MIT. Pero blockchain, sobre el papel, tiene poca utilidad.
1. Como ocurre con cualquier tecnología, surgen problemas de seguridad cuando los desarrolladores incorporan requisitos en productos y servicios. Las líneas de código, los mecanismos de consenso, los protocolos de comunicación, etc., tienen todos el potencial de albergar vulnerabilidades que pueden explotarse con fines maliciosos. Pero blockchain, por el momento, sigue siendo una tecnología divergente: se desarrollan en paralelo múltiples protocolos y lenguajes de programación. Como resultado, a los desarrolladores les resulta difícil adquirir la experiencia necesaria para asegurar su código, mientras que la mayoría está sometida a una estricta presión de tiempo para entregar sus productos.
2. Dado que blockchain depende en gran medida de la criptografía, la práctica de la comunicación segura, muchos tienen la impresión de que se trata de una tecnología autoprotegida. Esto está muy lejos de la realidad, ya que las cadenas de bloques se construyen sobre redes y equipos de comunicación que también deben protegerse. Los desafíos tradicionales de la seguridad de la información también se aplican a blockchain. Además, la criptografía es, como cualquier otra disciplina de seguridad, un campo en constante evolución: ya se prevé que los ordenadores cuánticos rompan varios algoritmos criptográficos.
3. Por último, las malas prácticas de seguridad en torno a la gestión de claves, el alojamiento de monederos y la aplicación de parches a los nodos, entre otras, generan posibles problemas de seguridad que proyectan una sombra sobre la tecnología, cuando formar a los administradores de sistemas y a los usuarios resolvería la gran mayoría de los problemas de seguridad.
¿Qué podemos hacer hoy?
1. En primer lugar, debemos desarrollar una fuerza laboral de desarrolladores de blockchain con mentalidad de seguridad. Esto requerirá planes de estudio que comiencen con clases de programación en la educación secundaria, hasta titulaciones universitarias con cursos obligatorios de programación segura en blockchain. En el momento de redactar este texto, la Universidad de Nicosia en Chipre es la única universidad del mundo que ofrece un máster en blockchain, en particular en monedas digitales. Estas titulaciones deberán complementarse con certificaciones profesionales reconocidas en seguridad de blockchain, como CBSP, pero también con la inclusión de blockchain como tema en certificaciones de ciberseguridad como CISSP.
2. En segundo lugar, debemos formar a los usuarios sobre los riesgos de seguridad que asumen y sobre cómo mitigarlos de forma eficaz y a bajo coste. Para ello harán falta campañas de sensibilización y cooperación público-privada que acompañen a las personas en la transición hacia blockchain. Las blockchains con permisos, aunque algo contrarias a la visión descentralizada original de Satoshi Nakamoto, bien podrían ser la transición suave que blockchain necesita para demostrar su valor, del mismo modo que las intranets de los años ochenta demostraron al mundo el valor de internet. En ese sentido, la adopción de blockchain por gigantes de la industria como Facebook, con su criptomoneda Libra, ofrece oportunidades bienvenidas para educar al público sobre lo que se necesita para usar blockchain, siempre que no haya brechas de seguridad. Aunque asegurar las blockchains con permisos puede resultar más fácil debido a su menor exposición, por el contrario, la menor presión para hacerlo podría dar lugar a brechas digitales.
3. En tercer lugar, los líderes públicos y privados deben comprender que blockchain no es una panacea para la seguridad. En otras palabras, debemos desmitificar la seguridad de blockchain y dejar claro que, si bien la tecnología ofrece ventajas en términos de disponibilidad e integridad, estas no mejoran la calidad de la información que almacenan: basura que entra, basura que sale. El despliegue seguro de una solución blockchain requerirá tiempo e integración en el ecosistema de seguridad más amplio, formado por equipos de red tradicionales que requieren seguridad de la información tradicional.
En el caso de los operadores consolidados, esto comienza por formar a los consejos de administración y al equipo directivo sobre qué es y qué no es blockchain, y cuáles son los riesgos inherentes. También exigirá que los directores de seguridad de la información (CISO) integren blockchain en sus planes y procedimientos de gestión de incidentes, y empiecen a considerar el impacto de los modelos de negocio descentralizados en el ámbito de la seguridad.
En el caso de las startups, el 92% de los proyectos de blockchain todavía fracasan y tienen una vida media de unos 15 meses. Con ciclos de vida tan cortos, la rapidez de salida al mercado casi siempre prevalece sobre la seguridad: esto debe cambiar, y la mejor forma de lograrlo es a través de los inversores, como recomienda el Foro Económico Mundial.
Los estándares están en marcha y sin duda ayudarán a que la tecnología blockchain converja, reduciendo su complejidad, un enemigo conocido de la seguridad.
Pero los estándares por sí solos no pueden hacer mucho, ya que los humanos siguen siendo los guardianes de la tecnología: debemos desarrollar hoy las competencias de seguridad en blockchain. Si no lo hacemos, mañana no será el renacimiento, sino el epílogo de los bienes comunes sociales.
