Je me suis coincé sur une toute petite ligne dans le flux Babylon aujourd’hui et, franchement, ça m’a dérangé plus que le bug lui-même… la course n’existe qu’entre la lecture de l’ancienne valeur et l’écriture de la nouvelle. Ça a l’air presque inoffensif quand je le dis comme ça : juste quelques instants dans le backend. Mais ensuite, je me suis mis à penser : attendez, la sécurité entière repose sur ce qui peut se passer pendant ces moments.
J’ai cessé de me dire : « est-ce que quelqu’un peut attaquer ça ? » et je me suis mis à regarder plutôt l’ordre des opérations. le service lit l’état, fait la vérification, quelque chose d’autre bouge à presque le même moment, puis la mise à jour est écrite. la plupart du temps, l’écart est tellement minuscule que rien ne se passe, et de l’extérieur tout paraît totalement sûr.
Mais « très improbable » et « impossible » ce n’est pas la même chose.
C’est ce qui m’est resté en tête.
Je pense que Babylon fait un compromis d’ingénierie plutôt normal ici… ne ralentissez pas tout le système avec un verrouillage lourd ou une coordination supplémentaire juste pour éliminer une micro-fenêtre de timing : rendez cette fenêtre assez petite pour qu’y accéder devienne extrêmement difficile. c’est peut-être le bon choix ; peut-être qu’en l’éliminant complètement, on créerait plus de délais et de nouveaux problèmes ailleurs.
Cela dit, je n’aime pas quand on explique la probabilité comme une garantie. si la sécurité dépend de validateurs et de services qui atteignent le même état dans le bon ordre attendu, alors le timing fait partie du modèle de sécurité — que les gens le disent à voix haute ou non.
Et je continue à me demander : où doit se situer la ligne… à quel point une fenêtre de course doit-elle devenir petite avant qu’on la juge acceptable, et quelles parties d’un protocole ne devraient jamais dépendre du timing du tout ?
Peut-être que le système ne supprime pas la course.
Peut-être qu’il rend juste la ligne d’arrivée presque impossible à atteindre.
@BabylonLabs_io #baby $BABY
J’ai cessé de me dire : « est-ce que quelqu’un peut attaquer ça ? » et je me suis mis à regarder plutôt l’ordre des opérations. le service lit l’état, fait la vérification, quelque chose d’autre bouge à presque le même moment, puis la mise à jour est écrite. la plupart du temps, l’écart est tellement minuscule que rien ne se passe, et de l’extérieur tout paraît totalement sûr.
Mais « très improbable » et « impossible » ce n’est pas la même chose.
C’est ce qui m’est resté en tête.
Je pense que Babylon fait un compromis d’ingénierie plutôt normal ici… ne ralentissez pas tout le système avec un verrouillage lourd ou une coordination supplémentaire juste pour éliminer une micro-fenêtre de timing : rendez cette fenêtre assez petite pour qu’y accéder devienne extrêmement difficile. c’est peut-être le bon choix ; peut-être qu’en l’éliminant complètement, on créerait plus de délais et de nouveaux problèmes ailleurs.
Cela dit, je n’aime pas quand on explique la probabilité comme une garantie. si la sécurité dépend de validateurs et de services qui atteignent le même état dans le bon ordre attendu, alors le timing fait partie du modèle de sécurité — que les gens le disent à voix haute ou non.
Et je continue à me demander : où doit se situer la ligne… à quel point une fenêtre de course doit-elle devenir petite avant qu’on la juge acceptable, et quelles parties d’un protocole ne devraient jamais dépendre du timing du tout ?
Peut-être que le système ne supprime pas la course.
Peut-être qu’il rend juste la ligne d’arrivée presque impossible à atteindre.
@BabylonLabs_io #baby $BABY