SLIP-39: Het einde van de enkele seed phrase
SLIP-39 is een back-upstandaard die een privésleutel opdeelt in meerdere delen, waarbij een vooraf bepaalde subset (bijvoorbeeld 3 van de 5) voldoende is om het geheim te reconstrueren.
Het onafhankelijk beheren van digitale activa berust op een paradox. De BIP-39 standaard genereert een unieke herstelzin (mnemonische zin) die volledige toegang geeft tot een wallet. Om zich in te dekken tegen het verlies van dit fysieke document, is de investeerder al snel geneigd om er meerdere kopieën van te maken. Elke nieuwe kopie vormt echter een extra kwetsbaarheid voor diefstal. Hierdoor komt de fysieke beveiliging direct in conflict met de operationele veiligheid.
Dit zogeheten 'single point of failure' (enkelvoudig storingspunt) vormt een groot risico voor langdurig vermogensbeheer. Het wiskundige antwoord op dit dilemma is het SLIP-39-protocol, een gestandaardiseerde implementatie van Shamir's Secret Sharing (SSS). Dit cryptografische mechanisme is ontworpen om de noodzaak van een monolithische back-up weg te nemen en spreidt het risico zonder het te vergroten.
Hoewel de methode lange tijd een technische bezienswaardigheid bleef, hebben inmiddels meerdere toonaangevende fabrikanten SLIP-39 standaard geïntegreerd, al blijft de acceptatie ervan wisselend. In juni 2024 maakte fabrikant Trezor de Shamir Backup de standaard back-upmethode voor diverse apparaten, waaronder de Safe-productlijn. Begrip van de fundamenten en de beperkingen van dit protocol is inmiddels onmisbaar om uw beveiligingsarchitectuur te optimaliseren.
Belangrijkste punten (key takeaways)
Dit zijn de fundamentele principes van deze decentrale back-uparchitectuur:
- Absolute weerstand: De beveiliging van Shamir's Secret Sharing is informatietheoretisch veilig (buiten het reconstructiemoment). Met K-1 of minder delen blijft elke mogelijke waarde van het geheim consistent met de bekende delen — op voorwaarde dat de gebruikte wachtwoordzin de mogelijke opties niet verkleint — en geen enkele rekenkracht kan deze wiskundige realiteit veranderen.
- Tolerantie bij calamiteiten: Een drempelconfiguratie (zoals '3-van-5') maakt het mogelijk om het verlies van bepaalde delen op te vangen, terwijl het systeem bestand blijft tegen de compromittering van meerdere, verschillende geografische locaties.
- Doelgericht risico: De grootste structurele beperking van het SSS-protocol ligt in het zogenaamde 'reconstructiemoment'. Dit vereist een volledig veilige omgeving wanneer het volledige geheim wordt samengesteld, wat we hieronder nader toelichten.
Hoe werkt SLIP-39 onder de motorkap?
Cryptografie van entropie
De werking van SLIP-39 wordt vaak verkeerd begrepen. Het gaat niet om het fysiek of digitaal in stukken knippen van een lijst met woorden. Volgens de specificaties van SatoshiLabs interageert het protocol niet rechtstreeks met de mnemonische woorden: het werkt op de onderliggende entropie, oftewel het ruwe mastergeheim. Het proces versleutelt eerst deze entropie met een sleutel die is afgeleid van een wachtwoordzin (passphrase), voordat de polynomiale interpolatiemethode van Shamir op het versleutelde resultaat wordt toegepast.
Het voorafgaande versleutelingsalgoritme is bijzonder robuust. SLIP-39 versleutelt het mastergeheim vóór de opdeling door middel van een Luby-Rackoff Feistel-cijfer met vier rondes. Dit mechanisme gebruikt PBKDF2-HMAC-SHA256 als rondefunctie, met een totaal aantal iteraties over de vier rondes vastgesteld op 10.000 × 2^e. Dit vertaalt zich standaard naar in totaal 20.000 iteraties (bij een exponent e = 1), verdeeld over de vier rondes (oftewel 5.000 per ronde). Deze bewuste vertraging maakt pogingen tot extractie of aanvallen op het generatieproces aanzienlijk moeilijker.
Een format dat fundamenteel verschilt van BIP-39
De uiteindelijke codering van de gegenereerde delen wijkt eveneens af van de historische standaard. Elk SLIP-39-deel wordt gecodeerd als een eigen mnemonische zin op basis van een aparte lijst met 1.024 woorden, vergeleken met de gebruikelijke 2.048 woorden in het BIP-39-woordenboek. In de praktijk bestaat een SLIP-39-back-up meestal uit meerdere lijsten van 20 woorden (voor een entropie van 128 bits) of 33 woorden (voor een entropie van 256 bits), hoewel de specificatie ook andere entropiegroottes toestaat. De standaard BIP-39-back-up daarentegen vereist één enkele zin van 12 of 24 woorden.
Weerbaarheid tegen menselijke fouten is eveneens in de kern van het protocol ingebouwd. De RS1024-checksum van SLIP-39 gebruikt drie specifieke woorden aan het einde van elk deel. Deze cryptografische controle garandeert de detectie van transcriptiefouten bij maximaal drie woorden. Bij grotere typefouten is de kans dat corruptie van een deel niet wordt gedetecteerd, verkleind tot ongeveer één op een miljard.
SLIP-39 vs. multisig vs. seed XOR: de architecturen vergeleken
Geavanceerde beveiliging van digitale activa is gebaseerd op redundantie, maar de mechanismen die op de markt beschikbaar zijn, dienen verschillende doelen. Veel investeerders verwarren de bescherming van de back-up van een sleutel met de bescherming van het gebruik van die sleutel.
Bij Shamir Secret Sharing bestaat het volledige geheim wel degelijk op één apparaat op het moment van creatie en bij de reconstructie ervan. In tegenstelling tot een multisig-architectuur (multisignature), waar alle privésleutels die nodig zijn om een transactie te ondertekenen, nooit samen op één locatie aanwezig zijn. Een derde benadering, gebruikt door de fabrikant Coldcard, implementeert een ander opdelingsmechanisme, genaamd Seed XOR. In plaats van te vertrouwen op polynomiale interpolatie, gebruikt Seed XOR een bitgewijze exclusieve logische operator (XOR).
Vergelijking van redundantiemodellen
| Operationeel criterium | SLIP-39 (Shamir) | Multisignature (Multisig) | Seed XOR (Coldcard) |
|---|---|---|---|
| Doel van bescherming | De back-up van de sleutel | Het gebruik van de sleutels | De back-up van de sleutel |
| Hersteldrempel | Flexibel (bijv. 3 van de 5) | Flexibel (bijv. 2 van de 3) | Strikt N-van-N |
| Risico bij verlies van een deel | Opgevangen door de drempel | Opgevangen door het quorum | Definitief verlies van het geheim |
| Voetafdruk op de blockchain | Onzichtbaar (uiteindelijk één sleutel) | Zichtbaar (zwaardere transacties, dus hogere kosten) | Onzichtbaar (uiteindelijk één sleutel) |
| Wanneer te kiezen | Particulier die fysieke redundantie zoekt | Instituut of gedeeld beheer | Gebruiker die een strikt N-van-N risico accepteert |
De starheid van Seed XOR vormt de voornaamste operationele risicofactor voor particulieren. Dit systeem werkt uitsluitend zonder enige tolerantiedrempel; het verlies van slechts één deel betekent onherroepelijk het verlies van het geheim. Multisig garandeert dat het geheim nooit op één plek wordt gecentraliseerd, maar vereist wel een complex beheer van meerdere hardware wallets. Hierdoor is SLIP-39 een ideaal compromis voor particuliere investeerders die fysieke redundantie willen, zonder de dagelijkse rompslomp van multisig-beheer.
Hoe implementeert u SLIP-39? De '3-van-5'-strategie
De wiskundige flexibiliteit van SLIP-39 is pas waardevol als deze gepaard gaat met een gedisciplineerde fysieke uitvoering. Het doel is om specifieke dreigingen in kaart te brengen (brand, gerichte diefstal, verlies van toegang tot de bank, overlijden) en hierop in te spelen met een doordachte geografische verspreiding.
Geografische verspreiding
Een '3-van-5'-configuratie is het meest evenwichtige operationele model: het kan het verlies of de vernietiging van twee van de vijf delen opvangen, en tegelijkertijd dwingt het een aanvaller om drie afzonderlijke locaties te compromitteren om het geheim te reconstrueren. Voor een particuliere investeerder zou de verdeling van de vijf delen van 20 of 33 woorden — idealiter gegraveerd in stalen back-upplaten om bestand te zijn tegen corrosie en brand — deze logica van ruimtelijke scheiding moeten volgen:
- Kluis in huis: Biedt snelle toegang tot een eerste deel, maar is wel de meest voor de hand liggende plek bij een inbraak of woningbrand.
- Primaire bankkluis: Besteedt de fysieke beveiliging uit aan een financiële instelling. Dit deel is beschermd tegen rampen binnenshuis, maar wel gebonden aan de openingstijden van de bank.
- Secundaire bankkluis: Ondergebracht bij een concurrerende bank of in een andere stad. Hiermee dekt u het risico op systeemuitval of ontoegankelijkheid van de eerste bank af.
- Huis van een vertrouwd familielid of vriend: Biedt redundantie buiten het bancaire systeem, wat cruciaal is mochten financiële instellingen ontoegankelijk blijken. Wel is de fysieke beveiliging op deze locatie doorgaans lager.
- Notariskantoor of kluis van verre familie: Zorgt voor een soepele overdracht van de erfenis of fungeert als het ultieme uitwijkpunt bij een grootschalige geografische ramp (zoals een regionale overstroming).
De grenzen van SLIP-39: kwetsbaarheden en het reconstructiemoment
Ondanks de wiskundige robuustheid is Shamir Secret Sharing niet zonder risico's. De voornaamste zwakke plek in dit beveiligingsmodel is onlosmakelijk verbonden met de architectuur: het zogeheten 'reconstructiemoment' (de window of reconstruction). Het volledige geheim moet immers kortstondig op één enkel apparaat bestaan, zowel bij het aanmaken als bij het herstellen van de delen. Het is precies tijdens dit specifieke moment dat het apparaat kan worden blootgesteld aan eventuele malware, zogenaamde side-channel-aanvallen of een directe fysieke compromittering door een aanvaller.
Het cruciale belang van standaardisatie
De geschiedenis van de financiële cryptografie toont het gevaar aan van gepatenteerde (proprietary) oplossingen als het gaat om het opsplitsen van geheimen. De interne SSS-implementatie van de Armory-wallet is hiervan het meest leerzame voorbeeld. In plaats van een cryptografisch veilige random number generator te gebruiken om de delen te creëren, maakte Armory gebruik van herhaalde hashing. Deze programmeerfout had desastreuze gevolgen: een aanvaller kon hiermee potentieel het volledige geheim achterhalen met minder delen dan de door de gebruiker ingestelde beveiligingsdrempel. Vasthouden aan de strikte, door de industrie gevalideerde SLIP-39-standaard is daarom absoluut noodzakelijk.
Operationele beperkingen en vendor lock-in
In het kader van onderhoud vereist het beheer van een Shamir-schema aanzienlijke administratieve discipline. Mocht een van de geografische locaties gecompromitteerd raken, dan is het onmogelijk om een onderschept deel op afstand in te trekken. De enige mogelijke oplossing om de tegoeden te beschermen, is de vereiste drempelwaarde samen te brengen om het geheim op een veilig apparaat te reconstrueren, een compleet nieuwe wallet te genereren, alle activa hiernaartoe over te maken, en vervolgens een nieuwe set SLIP-39-delen te creëren en te herverdelen.
Ten slotte vormt de ongelijke adoptie van deze standaard een ecosysteemrisico voor de investeerder. Volgens een analyse van Ryder.id is vendor lock-in (leveranciersafhankelijkheid) de grootste zwakte van SLIP-39. Aangezien de standaard niet wordt ondersteund door de meerderheid van de software- en hardware wallets op de markt, kan een onverwachte wisseling van apparatuur een gebruiker dwingen om zijn master seed te reconstrueren en deze tijdelijk in het klassieke BIP-39-formaat te importeren. Hierdoor gaan de voordelen van het opsplitsen tijdelijk verloren.
Compatibele hardware: wie ondersteunt SLIP-39?
De levensvatbaarheid van een SLIP-39-back-up op de lange termijn hangt rechtstreeks af van hardware die deze kan uitlezen en genereren zonder dat het reconstructiemoment wordt blootgesteld aan een met het internet verbonden omgeving (zoals een computer). Het hardwarelandschap blijft verdeeld over de invoering van deze cryptografische standaard.
Volledige ondersteuning van SLIP-39, met inbegrip van de lokale creatie van delen en hun directe herstel op het apparaat zelf, wordt momenteel aangeboden door een kleine selectie van next-generation cold wallets. Zowel de Trezor Safe 5 als de Trezor Safe 3 ondersteunen de standaard, net als de Trezor Model T (mits voorzien van firmwareversie 2.7.2 of nieuwer). Ook de Keystone 3 Pro biedt een naadloze integratie van dit volledige proces.
Daartegenover staat dat een grote speler als Ledger deze standaard nog niet in haar ecosysteem heeft opgenomen. Alle walletmodellen van dit merk beperken zich strikt tot het genereren en uitlezen van klassieke BIP-39. Voor een gebruiker die de overstap wil maken van een monolithische architectuur naar een gefragmenteerde back-up via Shamir, bepaalt de keuze van het instapapparaat zodoende de volledige beveiligingsstrategie.
Conclusie: de abstractie van de 'seed phrase'
De BIP-39-standaard, die in 2013 werd bedacht, bereikt vandaag de dag conceptueel gezien zijn grenzen als het gaat om modern vermogensbeheer. Het SLIP-39-protocol is een logische stap vooruit voor particuliere investeerders, omdat het de kwetsbaarheid van een uniek fysiek storingspunt (single point of failure) op ingenieuze wijze oplost. Hoewel het de risico's rondom de initiële omgang met het volledige geheim niet helemaal uitsluit, vormt het momenteel de meest robuuste methode om digitale soevereiniteit te combineren met operationele gemoedsrust.
--- Dit artikel wordt uitsluitend ter informatie gepubliceerd en vormt geen beleggingsadvies. Raadpleeg altijd een gecertificeerd financieel adviseur voordat u investeringsbeslissingen neemt.