Càng dành nhiều thời gian đọc qua các ví dụ chính sách của Newton Protocol, tôi càng nhận ra một điều cứ liên tục thu hút sự chú ý của mình: tất cả bắt đầu bằng "default allow = false." Ban đầu tôi cho rằng đó chỉ là một chi tiết kỹ thuật. Nhưng càng ngồi với nó lâu hơn, tôi càng nhận ra rằng nó không chỉ là một ghi chú—nó đang định hình toàn bộ mô hình bảo mật.
Newton đang đặt ra một ranh giới rõ ràng cho rủi ro. Theo thiết kế, không có gì được phép xảy ra nếu trước hết nó chưa chứng minh rằng mình đáp ứng mọi quy tắc bắt buộc. Mặc định sẽ chuyển từ "cho phép" sang "từ chối" khi có vẻ như có gì đó không ổn, thay vì cho phép trừ khi mọi thứ đã được kiểm tra ổn thỏa.
Hầu hết các hệ thống DeFi đều bận rộn tìm cách chặn các giao dịch xấu sau khi sự việc xảy ra—chúng khá phản ứng. Điều khiến tôi chú ý trong thiết kế của Newton là việc đánh giá chính sách diễn ra trước khi thanh toán (settlement), thay vì sau đó. Khác biệt này quan trọng vì mục tiêu không chỉ là phát hiện vi phạm—mà là ngăn các giao dịch không tuân thủ không bao giờ được chốt (finalize). Newton đảo ngược hành vi đó. Chỉ cần ngay cả một chính sách không được đáp ứng, giao dịch sẽ dừng ngay lập tức. Không có vùng xám, không có ngoại lệ “sành điệu”.
Với các đội tuân thủ, điều này gợi ý một cấu hình mặc định dễ hiểu. Dĩ nhiên, thỉnh thoảng nó có thể chặn nhầm một giao dịch hợp lệ, nhưng nhìn chung việc đó dễ xử lý hơn nhiều so với việc vô tình cho phép thứ gì đó rủi ro hoặc không tuân thủ. Trong môi trường được quản lý chặt chẽ, thất bại khi đóng thường hợp lý hơn thất bại khi mở.
Một lý do có thể là việc "tuân thủ có thể lập trình" đang dần trở thành một trong những câu chuyện hạ tầng lớn nhất trong crypto. Khi các tổ chức khám phá các tài sản được token hóa và tài chính on-chain chịu sự quản lý, câu hỏi không chỉ là liệu các giao dịch có hợp lệ về mặt mật mã hay không—mà là liệu lớp chính sách chi phối chúng có thể được tin cậy ở quy mô lớn hay không.
Khả năng cao điều này còn mở rộng ra ngoài chính Newton. Hiện nó vẫn là một câu chuyện sớm, nhưng có thể sẽ định hình cách dòng vốn được quản lý cuối cùng di chuyển qua DeFi.
Còn một mặt khác của vấn đề: điều này hiếm khi được nói rõ ràng.
Người ta thường tập trung vào việc mật mã giúp chúng ta "tin vào phép toán". Nhưng Newton không loại bỏ sự tin tưởng—mà chỉ chuyển vị trí của nó. Thay vì tin vào các nhóm tuân thủ không minh bạch, bạn đang tin vào tính đúng đắn của mã chính sách do con người viết. Đây là một giả định an ninh hoàn toàn khác.
Nhưng ai viết những chính sách này? Đó là con người thật. Sau khi tự dành thời gian viết các chính sách Rego, tôi nhận ra việc sơ sẩy dễ đến mức nào. Một lỗi gõ nhỏ hay một trường hợp biên bị bỏ sót có thể hoàn toàn làm thay đổi hành vi của một chính sách—hoặc là chẳng có gì hoạt động, hoặc là quá nhiều thứ lại được phép. Hôm nay tôi suýt tự đưa ra một chính sách sai trước khi kịp bắt một lỗi logic ở giây cuối. Đó là một nhận ra rất khó chịu khi bạn hiểu rằng mình suýt làm “hỏng toàn bộ” mọi thứ.
Vậy thì Newton đang thay thế lớp middleware tuân thủ mờ mịt bằng mã chính sách có thể đọc được, minh bạch hơn. Trên giấy tờ, điều đó nghe có vẻ trao quyền. Nhưng bạn biết đấy, phần mềm vẫn có thể làm sai. Chỉ một chính sách bị “bể” thôi thì giờ mọi giao dịch hợp lệ đều bị quét sạch. Hoặc có thể một sai sót tinh vi lọt qua và “xanh đèn” cho những thứ đáng lẽ phải bị chặn.
Tôi ủng hộ cách Newton chọn thất bại khi đóng (fail closed) thay vì thất bại khi mở (fail open). Phần lớn thời gian, đó là phương án an toàn hơn cho việc tuân thủ. Nhưng câu đố thực sự không nằm ở "mặc định cho phép = false". Mà là liệu những người vận hành các hệ thống này—quản trị giao thức, nhà phát triển chính sách, và các tổ chức dựa vào chúng—có thực sự để ý đủ tới những phần lộn xộn không: kiểm thử chính sách một cách kỹ lưỡng, hoàn tác các bản cập nhật lỗi nhanh chóng, có các cơ chế kiểm soát khẩn cấp, và xử lý tranh chấp khi mã không vận hành đúng như ý định. Tất cả những điều đó quan trọng ngang với chính bản thân mật mã.
Nếu bạn là một tổ chức đang “đậu” hàng tỷ đô ở đây, vậy đâu là lưới an toàn của bạn? Tin vào phép toán—hay tin vào quá trình lộn xộn, rất người, của việc xây dựng và sửa các quy tắc thực sự quyết định bạn được (hoặc không được) làm gì? Với tôi, đó chính là câu hỏi an ninh thực sự. Mật mã của Newton có thể mang tính quyết định (deterministic), nhưng các chính sách quản trị nó vẫn do con người viết. Và đó là giả định về bảo mật mà tôi nghĩ cần được chú ý nhiều hơn.