mất một khoảng thời gian để suy nghĩ về việc cần phải xảy ra điều gì khi một hệ thống ủy quyền thất bại một cách an toàn trong quá lâu.
Newton’s VaultKit được thiết kế để fail closed cho các hành động của trình quản lý vault được bảo vệ. Nếu Gateway không khả dụng, các nhà vận hành không đạt được quorum, việc đánh giá chính sách sẽ từ chối hành động, việc xác thực ủy nhiệm thất bại, hoặc việc xác thực bằng chứng onchain thất bại thì Shield sẽ không chuyển tiếp lệnh gọi vault.
Ban đầu, điều đó nghe có vẻ như đã hoàn chỉnh.
Một lớp kiểm soát không nên biến sự không chắc chắn thành sự cho phép.
Nhưng quản lý vault theo quyền đặc quyền vẫn có thể cần một lối khôi phục khi đường dẫn ủy quyền thông thường không khả dụng, trong khi vault bên dưới lại cần được can thiệp.
Câu trả lời của Newton không phải là một sự ghi đè ngay lập tức từ phía chủ sở hữu.
Tài liệu chính thức của nó mô tả lối bỏ qua được xếp hàng bởi chủ sở hữu như lối thoát khẩn cấp duy nhất của VaultKit. Lối bỏ qua phải chờ ít nhất độ trễ đã cấu hình trước khi thực thi, và việc sử dụng nó sẽ phát ra các sự kiện có thể quan sát được. Newton’s VaultKit SDK đặt độ trễ đó mặc định là một tuần và không cho phép cấu hình dưới một ngày.
Đó là phần đã thu hút sự chú ý của tôi.
Lối bỏ qua thừa nhận rằng một hệ thống ủy quyền fail-closed có thể cần một lối khôi phục, nhưng nó từ chối biến lối đó thành ngay lập tức hay âm thầm. Chủ sở hữu có thể xếp hàng cho lộ trình ngoại lệ, trong khi khóa thời gian ngăn việc thực thi ngay lập tức và các sự kiện phát ra khiến lộ trình bỏ qua có thể quan sát được trên chuỗi.
Đó là một thỏa hiệp có ý nghĩa.
Việc bỏ qua ngay lập tức có thể làm suy yếu lực thực tế của cổng chính sách mỗi khi chủ sở hữu thấy việc đó bất tiện. Không có bất kỳ lối bỏ qua nào có thể khiến các hoạt động của người quản lý được bảo vệ bị chặn bất cứ khi nào đường ủy quyền thông thường còn không khả dụng.
Khóa thời gian nằm giữa những thái cực đó.
Nhưng có điều gì đó cứ làm tôi băn khoăn.
Thời gian trễ quyết định khi nào việc bỏ qua có thể thực thi.
Nó không chứng minh lý do tại sao lối bỏ qua được sử dụng.
Việc bỏ qua được xếp hàng có thể là một phản ứng cần thiết trước một Gateway không khả dụng hoặc thất bại trong việc đạt đủ số lượng (quorum) của các nhà khai thác. Nó cũng có thể cho phép một thao tác của người quản lý được bảo vệ tiếp tục thông qua lộ trình khẩn cấp do chủ sở hữu điều khiển thay vì thông qua luồng xác thực theo chính sách thông thường của Newton.
Các sự kiện có thể quan sát được khiến việc sử dụng lộ trình đó trở nên rõ ràng.
Chúng không biến quyết định của chủ sở hữu thành sự chấp thuận từ các nhà khai thác của Newton.
Vì vậy, độ trễ đã cấu hình trở thành nhiều hơn một thiết lập triển khai.
Hãy đặt nó gần với mức tối thiểu trong một ngày và lộ trình đặc biệt có thể đạt tới việc thực thi sớm hơn. Nếu đặt lâu hơn, thì một can thiệp cần thiết có thể đến sau khi vault đã cần nó.
Không có một độ trễ đơn lẻ nào có thể làm mọi loại lỗi trở nên an toàn như nhau, vì một số tình huống tưởng thưởng cho sự kiên nhẫn trong khi những tình huống khác lại trừng phạt nó.
Điểm nổi bật không chỉ là việc Newton cho phép một lối thoát.
Đó là việc lối thoát thay đổi bảo đảm đang được dựa vào.
Trong hoạt động bình thường, một thao tác của người quản lý được bảo vệ trở thành một Intent chính xác. Các nhà khai thác của Newton đánh giá Intent đó dựa trên chính sách đã cấu hình, một sự chấp thuận đạt quorum, và Shield xác thực bản xác nhận (attestation) kết quả trước khi chuyển tiếp lệnh gọi. Sự chấp thuận được ràng buộc với người ký, đích, giá trị, calldata, chuỗi và chữ ký hàm.
Trong lộ trình bỏ qua, sự bảo vệ thực tế đến từ quyền của chủ sở hữu, thời gian chờ đã cấu hình và các sự kiện có thể quan sát được.
Đó là những bảo đảm khác nhau.
Phần tôi chưa hoàn toàn làm rõ là liệu người dùng có đánh giá chúng một cách riêng biệt hay không. Việc quản lý vault theo chính sách có thể được mô tả là bị ràng buộc theo chính sách, nhưng vẫn mang một lối thoát khẩn cấp do chủ sở hữu điều khiển đã được ghi nhận, cuối cùng có thể được thực thi mà không cần hoàn tất luồng xác thực theo chính sách thông thường.
Điều đó không làm chính sách trở nên vô nghĩa.
Nó có nghĩa là ranh giới bảo mật thực sự bao gồm cả quy tắc ủy quyền tự động và ngoại lệ của chủ sở hữu bị trì hoãn.
Phạm vi cũng quan trọng.
VaultKit bảo vệ các hoạt động của curator và manager đặc quyền như phân bổ lại (reallocations) và thay đổi cap (cap changes). Các khoản tiền gửi và rút của người dùng cuối vẫn tiếp tục thông qua luồng bình thường của giao thức vault nền tảng, trừ khi vault cố ý định tuyến các thao tác đó thông qua Shield.
Việc bỏ qua bị khóa thời gian của Newton có cung cấp cho quản lý vault bị ràng buộc theo chính sách lối khôi phục mà nó cần không, hay nó giữ lại một ngoại lệ do chủ sở hữu điều khiển—trở thành giả định tin cậy quan trọng nhất bất cứ khi nào việc ủy quyền theo chính sách thông thường ngừng hoạt động?
#Newt #NEWT @NewtonProtocol col $NEWT $VANRY $TLM
