Non-Fungible Token (NFT's) versus tokenisatie

NFT's (non-fungible tokens) en datatokenisatie delen een woord, maar lossen totaal verschillende problemen op. NFT's zijn op blockchain gebaseerde certificaten van digitaal eigendom die worden gebruikt in digitale handel en creatieve markten. Datatokenisatie is een beveiligingstechniek die gevoelige gegevens, zoals een creditcardnummer of burgerservicenummer, vervangt door een vervangende waarde, waardoor de kans op datalekken en de nalevingsvereisten worden verkleind. Organisaties die het verschil begrijpen, passen de juiste tool toe op het juiste probleem; organisaties die ze door elkaar halen, riskeren een verkeerde besteding van beveiligingsinvesteringen of een verkeerd begrip van de regelgeving.

Kort antwoord: NFT's versus datatokenisatie

Een NFT is een uniek, niet-uitwisselbaar digitaal document op een blockchain dat het eigendom van een specifiek digitaal activum bewijst. Twee NFT's kunnen niet gelijkwaardig worden uitgewisseld, omdat ze elk iets unieks vertegenwoordigen. Datatokenisatie is een methode voor gegevensbeveiliging waarbij gevoelige informatie wordt vervangen door een willekeurig gegenereerd surrogaattoken dat geen wiskundige relatie heeft met de oorspronkelijke waarde. NFT's functioneren in de context van digitaal eigendom en handel. Datatokenisatie functioneert in de context van gegevensbescherming en naleving van regelgeving, waardoor de reikwijdte van PCI DSS voor betaalkaartgegevens wordt beperkt, de blootstelling aan HIPAA voor gezondheidsinformatie wordt beperkt en de GDPR-aansprakelijkheid voor persoonsgegevens wordt verminderd. De overeenkomst zit hem in het woord 'token'; al het andere is anders.

Wat is een NFT (Non-Fungible Token)?

Een non-fungible token (NFT) is een uniek digitaal document dat is opgeslagen op een blockchain en dat het eigendom van een specifiek digitaal activum certificeert. De term non-fungible betekent dat de token niet één-op-één kan worden ingewisseld voor een andere token van hetzelfde type. Eén bitcoin is wel inwisselbaar voor een andere bitcoin (fungible). Een NFT die een specifiek digitaal kunstwerk vertegenwoordigt, is echter niet inwisselbaar met een andere NFT, omdat elke NFT iets unieks vertegenwoordigt.

Elke NFT heeft een unieke digitale handtekening die is ingebed in een smart contract dat is opgeslagen op de blockchain. Deze handtekening dient als een fraudebestendig bewijs van eigendom en herkomst. Omdat de blockchain een openbaar, onveranderlijk transactielogboek bijhoudt, kunnen kopers en verkopers de volledige eigendomsgeschiedenis van een NFT verifiëren zonder afhankelijk te zijn van een centrale autoriteit.

NFT's worden het meest geassocieerd met de Ethereum-blockchain, die de tokenstandaarden (ERC-721 en ERC-1155) ondersteunt die unieke digitale eigendomsregistraties mogelijk maken. Ook andere blockchainplatforms ondersteunen de uitgifte van NFT's.

Wat kan worden weergegeven als een NFT?

NFT's kunnen het eigendom vertegenwoordigen van elk uniek identificeerbaar digitaal of digitaal gekoppeld object. Veelvoorkomende categorieën zijn digitale kunstwerken, muziekbestanden, videoclips, GIF's, foto's, ruilkaarten, in-game items, domeinnamen en eigendomsbewijzen van onroerend goed die on-chain worden weergegeven. De NFT zelf is het eigendomsbewijs; het onderliggende object kan al dan niet op de blockchain worden opgeslagen (de meeste NFT's voor digitale kunst verwijzen naar een bestand dat off-chain wordt gehost).

Hoe NFT's werken

Het creëren of verkrijgen van een NFT (minten) houdt in dat een nieuw, uniek token op een blockchain wordt vastgelegd door middel van een smart contract-transactie. Het proces:

1. slaan: Een maker dient een transactie in bij een smart contract op de blockchain, dat een nieuw token genereert met een unieke identificatiecode en dit koppelt aan het walletadres van de maker. De metadata van het token verwijst naar het digitale activum (via een URI) en kan gegevens bevatten over de handtekening van de maker.
2. Eigendomsgegevens: De blockchain registreert het walletadres van de huidige eigenaar. Wanneer een NFT wordt verkocht of overgedragen, werkt het smart contract de eigendomsgegevens op de blockchain bij. Er kan slechts één geregistreerde eigenaar tegelijk zijn.
3. Verificatie: Iedere partij kan de eigendomsgeschiedenis en authenticiteit van een NFT verifiëren door de blockchain te raadplegen, zonder contact op te nemen met een centrale autoriteit. De onveranderlijkheid van de blockchain betekent dat eigendomsgegevens niet met terugwerkende kracht kunnen worden gewijzigd.
4. Overdracht: Het eigendom wordt overgedragen door een transactie uit te voeren waarbij de NFT van de portemonnee van de verkoper naar de portemonnee van de koper wordt verplaatst. De transactie wordt on-chain vastgelegd en maakt deel uit van het permanente herkomstregister.

Zijn NFT's veilig?

NFT's erven de beveiligingseigenschappen van de blockchain waarop ze zijn vastgelegd. Gedistribueerde, onveranderlijke grootboeken maken directe manipulatie van het transactierecord computationeel onhaalbaar met de huidige technologie. Er bestaan ​​echter beveiligingsrisico's voor NFT's buiten de blockchain zelf:

• Platformrisico: Als het platform waarop een NFT of het bijbehorende digitale bestand wordt gehost offline gaat of gehackt wordt, kan de toegang tot het activum of het bestand waarnaar het verwijst verloren gaan. De blockchain-registratie blijft bestaan, maar het activum waarnaar wordt verwezen mogelijk niet meer.
• Portemonnee-compromis: Het eigendom van NFT's wordt beheerd door de privésleutel van de wallet van de eigenaar. Phishingaanvallen, malware of social engineering waarbij de privésleutel wordt blootgelegd, kunnen het eigendom van NFT's zonder toestemming overdragen. De beveiliging van wallets is de meest voorkomende aanvalsvector tegen NFT-houders.
• Kwetsbaarheden voor slimme contracten: Slecht opgestelde smart contracts kunnen worden misbruikt om NFT-tegoeden te stelen of de contractlogica op onbedoelde manieren te manipuleren.
• Namaak: Hoewel de blockchain-registratie niet kan worden gewijzigd, is het mogelijk om een ​​nieuwe NFT te creëren die beweert hetzelfde onderliggende activum te vertegenwoordigen. Kopers moeten de herkomst en de identiteit van de maker verifiëren, niet alleen de aanwezigheid op de blockchain.

Wat is datatokenisatie?

Datatokenisatie is een techniek voor gegevensbeveiliging waarbij gevoelige gegevens worden vervangen door een willekeurig gegenereerde vervangende waarde, een zogenaamd token. Het token heeft geen wiskundige of afleidbare relatie met de oorspronkelijke gegevens, wat betekent dat het niet kan worden teruggedraaid door middel van een cryptografische aanval. Omkering vereist toegang tot de tokenkluis, de beveiligde database waarin de koppeling tussen oorspronkelijke waarden en hun tokens is opgeslagen.

Tokenisatie wordt het meest gebruikt voor de beveiliging van betaalkaarten. Hierbij wordt het primaire rekeningnummer (PAN) dat op een betaalkaart staat afgedrukt, bij de eerste verwerking vervangen door een token. Alle daaropvolgende systemen, waaronder orderbeheer, loyaliteitsprogramma's en fraudebestrijding, gebruiken vervolgens het token in plaats van het echte PAN. Alleen het tokenisatiesysteem en de betalingsverwerker verwerken het echte PAN, waardoor het aantal systemen dat onder de PCI DSS-regelgeving valt, aanzienlijk wordt verminderd.

Hoe gegevenstokenisatie werkt

Het tokenisatieproces volgt een consistente workflow, ongeacht het type gegevens dat wordt beschermd:

1. Vastlegging van gevoelige gegevens: De oorspronkelijke gevoelige gegevens (betaalkaartnummer, burgerservicenummer, identificatiecode van medisch dossier) worden vastgelegd op het moment van invoer.
2. Tokengeneratie: Het tokenisatiesysteem genereert een vervangende waarde. Dit kan een willekeurig gegenereerd getal zijn zonder verband met het origineel (niet-omkeerbaar zonder de kluis), een formaatbehoudende token die overeenkomt met het formaat van het origineel (handig wanneer downstream-systemen een specifiek gegevensformaat verwachten, zoals een getal van 16 cijfers), of een hash-gebaseerde token voor scenario's waarin consistentie zonder omkering vereist is.
3. Vault-opslag (tokenisatie in een kluis): De koppeling tussen de oorspronkelijke waarde en het token wordt opgeslagen in een beveiligde tokenkluis. De kluis is het enige onderdeel dat het token kan terugzetten naar de oorspronkelijke waarde.
4. Token distributie: Het token wordt teruggestuurd naar het systeem van herkomst en alle downstream-systemen die de daadwerkelijke gevoelige waarde niet nodig hebben, ontvangen alleen het token.
5. Onttokenisatie: Wanneer de oorspronkelijke waarde nodig is (bijvoorbeeld wanneer een handelaar een betaling moet verwerken), presenteert het geautoriseerde systeem het token aan de tokenisatieservice. Deze service raadpleegt de kluis en retourneert de oorspronkelijke waarde aan het aanvragende systeem, maar alleen als de toegang is geautoriseerd.

Tokenisatie versus encryptie: de juiste controle kiezen

Tokenisatie en encryptie zijn beide methoden voor gegevensbescherming, maar ze zijn niet uitwisselbaar. De verkeerde keuze voor een bepaalde toepassing leidt tot onnodige complexiteit of ontoereikende bescherming.

Kenmerk	Tokenisatie van gegevens	Encryptie
Mechanisme	Vervangt gegevens door een willekeurige surrogaatwaarde; geen wiskundig verband met het origineel.	Zet gegevens om in versleutelde tekst met behulp van een cryptografische sleutel; wiskundig gekoppeld aan het origineel.
Omkeerbaarheid	Alleen via toegang tot de tokenkluis; tokens zonder kluis kunnen helemaal niet worden teruggedraaid.	Omkeerbaar met de juiste sleutel; een gecompromitteerde sleutel legt alle versleutelde gegevens bloot.
Impact van PCI DSS op de reikwijdte	Tokens zijn geen kaartgegevens; systemen die uitsluitend tokens verwerken, vallen buiten het toepassingsgebied van PCI.	Versleutelde PAN-gegevens blijven kaarthoudergegevens; systemen die versleutelde PAN-gegevens verwerken, blijven binnen het toepassingsgebied van de code vallen.
Formaatbehoud	Formaatbehoudende tokenisatie (FPT) kan het oorspronkelijke gegevensformaat nabootsen.	Zonder formaatbehoudende versleuteling (FPE) komt de versleutelde tekst niet overeen met het oorspronkelijke formaat.
Beste gebruiksscenario	Betaalkaartnummers, burgerservicenummers en identificatienummers van medische dossiers worden verwerkt in workflows waar de oorspronkelijke waarde zelden nodig is op het moment van gebruik.	Documenten, communicatie en archiefstukken die in hun oorspronkelijke vorm moeten worden teruggevonden voor verwerking.
Sleutelbeheerafhankelijkheid	Beveiliging van de tokenkluis; geen cryptografische sleutel nodig.	Levenscyclus van sleutelbeheer: generatie, opslag, rotatie, vernietiging

Tokenisatie voor naleving: PCI DSS, HIPAA en GDPR

Datatokenisatie biedt concrete voordelen op het gebied van compliance binnen drie belangrijke raamwerken:

PCI DSS: De reikwijdte van PCI DSS wordt bepaald door de vraag of een systeem kaartgegevens (CHD) opslaat, verwerkt of verzendt, met name het primaire rekeningnummer (PAN). Wanneer een betaalkaartnummer bij de eerste vastlegging wordt vervangen door een token, worden downstream-systemen die alleen tokens verwerken niet beschouwd als systemen die CHD verwerken en vallen ze buiten de reikwijdte van PCI DSS. Het verkleinen van de reikwijdte vermindert direct het aantal systemen dat PCI DSS-controles vereist, de complexiteit van de jaarlijkse QSA-beoordelingen en de herstelkosten in geval van een inbreuk op een downstream-systeem. De PCI Security Standards Council heeft richtlijnen gepubliceerd over tokenisatie als methode om de reikwijdte te verkleinen.

HIPAA: Tokenisatie van identificatoren van beschermde gezondheidsinformatie (PHI), zoals patiëntnamen, geboortedata, dossiernummers en burgerservicenummers, ondersteunt de veilige haven voor anonimisering onder 45 CFR §164.514(b) van HIPAA. Gegevens die op de juiste wijze zijn geanonimiseerd met behulp van de deskundige beoordeling of de veilige havenmethode, zijn geen PHI meer en vallen buiten de vereisten van de Privacy- en Beveiligingsregel van HIPAA. Tokenisatie is een methode die organisaties gebruiken om anonimisering op grote schaal te implementeren.

AVG: Artikel 4(5) van de AVG definieert pseudonimisering als de verwerking van persoonsgegevens op een manier die niet aan een specifieke betrokkene kan worden toegeschreven zonder aanvullende informatie die afzonderlijk wordt bewaard. Getokeniseerde persoonsgegevens kwalificeren als gepseudonimiseerd volgens deze definitie wanneer de tokenkluis afzonderlijk van de getokeniseerde dataset wordt opgeslagen. Gepseudonimiseerde gegevens vormen nog steeds persoonsgegevens in de zin van de AVG, maar profiteren van minder verplichtingen en kunnen de wettelijke grondslag van gerechtvaardigd belang voor bepaalde verwerkingsactiviteiten ondersteunen.

NFT's versus datatokenisatie: een volledige vergelijking

Afmeting	NFT (niet-fungibel token)	Gegevenstokenisatie
Doel	Bewijs en draag het eigendom van een uniek digitaal object over.	Bescherm gevoelige gegevens door ze te vervangen door een niet-gevoelig alternatief.
Technologie	Blockchain smart contract; gedistribueerd grootboek	Tokenkluis of cryptografische functie; geen blockchain vereist.
Uniciteit	Elke NFT is uniek en per ontwerp niet uitwisselbaar.	Afhankelijk van de implementatie kunnen tokens uniek zijn per waarde of consistent (dezelfde invoer levert altijd hetzelfde token op).
Omkeerbaarheid	Eigendomsoverdracht wordt vastgelegd op de blockchain en is permanent; NFT's kunnen worden overgedragen, maar niet "teruggedraaid".	Tokens die in een kluis zijn opgeslagen, kunnen door geautoriseerde systemen worden teruggezet naar de oorspronkelijke gegevens; tokens die niet in een kluis zijn opgeslagen, kunnen niet worden teruggezet.
Regelgevende context	Opkomende regelgeving rond digitale activa, effectenrecht en intellectueel eigendomsrecht.	Vastgestelde nalevingscontext: PCI DSS, HIPAA, GDPR, CCPA
Gebruiksscenario voor bedrijven	Eigendom van digitale activa, herkomst, traceerbaarheid van de toeleveringsketen, digitale identiteit	Betalingsverwerking, gezondheidsgegevens, bescherming van persoonsgegevens, reikwijdtebeperking
Beveiligingsrisicoprofiel	Walletcompromis, kwetsbaarheden in slimme contracten, platformrisico	Compromittering van de tokenkluis, ongeautoriseerde detokenisatie, lacunes in de toegangscontrole
Verbinding met versleuteling	Digitale handtekeningen op NFT's maken gebruik van publieke sleutelcryptografie voor authenticatie.	Token vaults worden doorgaans versleuteld opgeslagen; tokenisatie zelf is geen versleuteling.

Beperkingen: Wat elke aanpak niet kan doen

• NFT-beperkingen: Het eigendom van NFT's wordt in de meeste rechtsgebieden afgedwongen door slimme contracten en sociale conventies, niet door de wet. Het bezit van een NFT kan al dan niet auteursrecht op het onderliggende werk met zich meebrengen; dit hangt af van de specifieke voorwaarden van de NFT en de toepasselijke wetgeving. Als het platform waarop de digitale activa worden gehost offline gaat, blijft de eigendomsregistratie van de NFT on-chain behouden, maar de activa waarnaar de NFT verwijst, kan ontoegankelijk worden.
• Beperkingen van datatokenisatie: Tokenisatie vermindert, maar elimineert niet alle beveiligingsrisico's. De tokenkluis wordt het meest cruciale onderdeel van de tokenisatiearchitectuur. Een inbreuk op de tokenkluis legt de mapping bloot die het mogelijk maakt om alle tokens die erin zijn opgeslagen terug te zetten. Tokenisatie zonder kluis elimineert dit risico, maar verliest wel de mogelijkheid om tokens terug te zetten naar hun oorspronkelijke waarde.
• Tokenisatie biedt geen bescherming voor gegevens tijdens gebruik: Wanneer een systeem gegevens detokeniseert voor verwerking, is de oorspronkelijke gevoelige waarde nog even in het geheugen aanwezig. Toegangscontrole op detokenisatieverzoeken is op dit punt in de levenscyclus van de gegevens een cruciale verdediging.
• Tokenisatie is op zichzelf geen pseudonimisatie: Voor de AVG-doeleinden gelden getokeniseerde gegevens alleen als gepseudonimiseerd wanneer de tokenkluis apart wordt opgeslagen en de toegang daartoe op passende wijze wordt beperkt. Tokenisatie en opslag in dezelfde kluis heffen de scheiding op die pseudonimisering zinvol maakt.

Hoe encryptieconsultancy kan helpen

Encryption Consulting helpt organisaties bij het ontwerpen en implementeren van datatokenisatieprogramma's die de nalevingsvereisten verlagen, gevoelige gegevens beschermen en integreren met bestaande systemen zonder de bedrijfsvoering te verstoren.

• Adviesdiensten op het gebied van encryptie: Encryptie Adviesdiensten Organisaties helpen bepalen wanneer tokenisatie de juiste beveiligingsmaatregel is in plaats van encryptie, een architectuur voor token vaults ontwerpen die voldoet aan de PCI DSS- en HIPAA-vereisten, en bestaande implementaties van tokenisatie beoordelen op lacunes in toegangscontrole, beveiliging van de vault en governance rondom detokenisatie.
• Compliance-adviesdiensten: Nalevingsadviesdiensten Het in kaart brengen van tokenisatie-implementaties aan de hand van de PCI DSS-vereisten voor scopebeperking, de HIPAA-normen voor anonimisering en de GDPR-criteria voor pseudonimisering, en het produceren van documentatie die de effectiviteit van de naleving aantoont.
• HSM als een service: HSM als een service Biedt FIPS 140-3 gevalideerde hardwarebeveiliging voor de cryptografische bewerkingen en sleutelopslag die de beveiliging van de tokenkluis ondersteunen.

Conclusie

NFT's en datatokenisatie hebben het woord 'token' gemeen, maar verder niets van operationele betekenis. NFT's zijn blockchain-eigendomscertificaten voor unieke digitale activa, beheerd door slimme contracten en gewaardeerd om hun herkomst, schaarste en overdraagbaarheid. Datatokenisatie is een beveiligingsmaatregel voor gegevens die gevoelige waarden vervangt door surrogaten, waardoor het risico en de regelgeving met betrekking tot het opslaan, verwerken en verzenden van gevoelige informatie worden verminderd.

Voor organisaties die beslissingen nemen over gegevensbescherming, is de relevante vraag niet zozeer NFT's versus tokenisatie, maar of tokenisatie of encryptie de juiste beheersmaatregel is voor een specifiek type gevoelige gegevens. Tokenisatie is de betere keuze wanneer de oorspronkelijke waarde zelden nodig is tijdens de verwerking, wanneer het beperken van de PCI DSS-scope prioriteit heeft, of wanneer het verminderen van het aantal systemen dat ooit met echt gevoelige waarden in aanraking komt, zowel de beveiliging als de compliance vereenvoudigt. Encryptie is de betere keuze wanneer gegevens in hun oorspronkelijke vorm moeten worden hersteld en wanneer de infrastructuur voor sleutelbeheer al aanwezig is om dit te ondersteunen.

Als u de mogelijkheden van tokenisatie voor betaalgegevens, gezondheidsinformatie of de bescherming van persoonsgegevens overweegt, neem dan contact op met Encryption Consulting voor een implementatiebeoordeling.

Veelgestelde Vragen / FAQ

Wat is het verschil tussen een NFT en datatokenisatie?

Een NFT is een op blockchain gebaseerd eigendomsbewijs voor een uniek digitaal activum dat wordt gebruikt in de digitale handel. Datatokenisatie is een beveiligingstechniek waarbij gevoelige gegevens worden vervangen door een vervangende waarde die geen wiskundige relatie heeft met het origineel, waardoor de kans op datalekken en de reikwijdte van de regelgeving worden verkleind.

Hoe verkleint datatokenisatie de reikwijdte van PCI DSS?

De reikwijdte van PCI DSS wordt bepaald door de vraag of een systeem kaartgegevens (het PAN) opslaat, verwerkt of verzendt. Wanneer het PAN bij de vastlegging wordt vervangen door een token, vallen downstream-systemen die alleen tokens verwerken niet onder de reikwijdte van PCI DSS. Een beperking van de reikwijdte vermindert het aantal systemen dat PCI-controles vereist en de kosten van jaarlijkse beoordelingen.

Wat is een tokenkluis en waarom is die belangrijk voor de beveiliging?

Een tokenkluis is de beveiligde database die de koppeling opslaat tussen originele gevoelige waarden en hun vervangende tokens. Het is het enige onderdeel dat een token kan terugzetten naar de oorspronkelijke waarde. Een inbreuk op de tokenkluis legt alle originele waarden in de koppeling bloot. De beveiliging van de kluis, inclusief encryptie van gegevens in rust, strikte toegangscontroles en monitoring van afwijkende toegang, is het meest cruciale element van een tokenisatiearchitectuur.

Wat is het verschil tussen tokenisatie en encryptie?

Versleuteling zet gegevens om in versleutelde tekst die met de juiste sleutel omkeerbaar is. Tokenisatie vervangt gegevens door een willekeurige surrogaat die geen wiskundige link heeft met het origineel; om de gegevens om te keren is toegang tot de kluis vereist. Versleutelde PAN-gegevens blijven kaarthoudergegevens volgens PCI DSS; tokens zijn geen kaarthoudergegevens en beperken de reikwijdte. Beide vereisen beveiligingsbeheer: versleuteling vereist sleutelbeheer, tokenisatie vereist kluisbeveiliging.

Zijn NFT's veilig tegen hacking?

NFT's erven de onveranderlijkheid van blockchain, maar lopen buiten de blockchain wel degelijk veiligheidsrisico's: diefstal van de privésleutel van de wallet, phishingaanvallen gericht op NFT-houders, kwetsbaarheden in smart contracts en platformstoringen die de toegang tot het activum waarnaar een NFT verwijst, kunnen blokkeren. De beveiliging van blockchain geldt niet voor de beveiliging van wallets of off-chain bestandsopslag.

Wanneer moet een organisatie kiezen voor tokenisatie in plaats van encryptie?

Kies voor tokenisatie wanneer de oorspronkelijke gevoelige waarde zelden nodig is tijdens de verwerking, wanneer het beperken van de PCI DSS-scope prioriteit heeft, of wanneer het verminderen van het aantal systemen dat ooit met werkelijk gevoelige waarden werkt de naleving vereenvoudigt. Kies voor encryptie wanneer gegevens in hun oorspronkelijke vorm moeten worden hersteld voor verwerking of wanneer een gecentraliseerde tokenkluis onaanvaardbare operationele afhankelijkheden creëert.