Ce qui arrête vraiment une transaction
Tout produit de conservation possède une page de fonctionnalités énumérant des contrôles : listes blanches, plafonds de dépense, verrous temporels, circuits d'approbation, restrictions d'IP. Ils sont tous réels et tous utiles. Mais ils ne sont pas tous de même nature, et les traiter comme interchangeables est la façon dont des organisations se retrouvent avec un modèle de sécurité plus faible que ce que le marketing laissait entendre.
Une question les sépare nettement : si chaque logiciel du système était erroné ou hostile, ce contrôle tiendrait-il encore ?
Pour la majeure partie de la liste, la réponse est non. Pour exactement un, la réponse est oui. Cet article traite de la façon de les distinguer.
Trois couches, pas une
Entre le moment où quelqu'un veut déplacer des fonds et celui où les fonds bougent vraiment, SSP Enterprise dispose de trois barrières distinctes. Elles échouent différemment, et savoir laquelle est laquelle est tout l'enjeu.
Les couches ne sont pas classées par utilité. Elles sont classées par ce qu'il faut pour les vaincre.
Couche 1 : la couche de coordination
C'est le moteur de politiques, et c'est là que vit la plupart des fonctionnalités. SSP Enterprise prend en charge les listes blanches d'adresses, les restrictions par type de destination, les verrous temporels qui retardent les transactions au-delà d'un seuil de valeur, les règles exigeant une approbation d'administrateur à partir d'un certain montant, et les restrictions d'IP sur l'accès à l'organisation. Les modèles de politiques fournissent des préréglages sensés qui se matérialisent ensuite en règles réelles et modifiables.
Ces contrôles font un vrai travail. Une liste blanche empêche qu'une adresse mal saisie devienne seulement une proposition. Un verrou temporel donne à une équipe de trésorerie une fenêtre pour remarquer un problème. Une règle d'approbation transforme un gros virement en conversation à deux plutôt qu'en après-midi d'une seule personne.
Ce qu'ils ne sont pas, c'est une application de la conservation. Ces règles vivent dans le logiciel de SSP et sont évaluées par les serveurs de SSP. Elles ne font pas partie de l'adresse du coffre, et la blockchain n'en a jamais entendu parler. Si le moteur de politiques était contourné — par un bug, un serveur compromis ou un opérateur hostile — les règles ne s'appliqueraient tout simplement pas.
Nous le disons franchement parce que l'alternative est pire. Une équipe qui croit que sa liste blanche est une garantie de conservation dimensionnera son seuil en conséquence, et c'est exactement l'erreur qui transforme un incident survivable en incident non survivable.
Couche 2 : vos appareils
La deuxième barrière est la paire d'appareils que détient chaque signataire, et elle est plus forte que la première sur un point important : elle ne fait pas confiance à SSP non plus.
Quand une proposition parvient à un signataire, ses appareils décodent localement les octets bruts de la transaction et comparent le résultat à ce qui est affiché. Destinataire, montant, jeton — lus dans les octets, non repris de la description du serveur. Sur Solana cette comparaison est explicite et sans indulgence : si les octets décodés contredisent la charge affichée, la signature est bloquée fermement plutôt que signalée, car un écart à cet endroit indique une attaque en cours et non un défaut d'affichage.
Les appareils imposent aussi leur propre plafond indépendant sur les remboursements de frais. Le relais propose les frais ; le portefeuille refuse d'en signer au-delà d'un maximum codé en dur, quoi que prétende le relais, ce qui borne toute ponction acheminée par les frais même si le relais est entièrement hostile. La simulation s'exécute également avant l'approbation, en exécutant la proposition sur l'état actuel de la chaîne afin que l'écran de contrôle puisse montrer ce que la transaction ferait réellement ; cela est arrivé avec la simulation de transactions et les alertes de risque.
Cette couche défait un serveur compromis. Ce qu'elle ne peut pas défaire, c'est un appareil compromis, ou un signataire qui approuve sans lire. Elle exige en outre les deux appareils d'un signataire, et c'est pourquoi le 2 sur 2 par signataire compte : la couche 2 n'est aussi forte que le plus faible des deux appareils, et ce sont délibérément des types de matériel différents.
Couche 3 : la chaîne
La troisième barrière est la seule qui tient quand tout le reste a échoué.
L'adresse d'un coffre est dérivée de l'ensemble des signataires et du seuil d'approbation. Une transaction qui ne porte pas le nombre requis de signatures valides n'est pas une transaction refusée — c'est une transaction invalide. Chaque nœud du réseau parvient indépendamment à la même conclusion, et aucun degré d'accès à l'infrastructure de SSP ne change cette arithmétique.
C'est pourquoi le seuil est le nombre qui mérite le plus de réflexion à la création d'un coffre, et pourquoi il ne peut pas être modifié ensuite. Configurer votre premier coffre d'entreprise couvre la mécanique ; 2 sur 2 contre 2 sur 3 contre m sur n couvre le choix du nombre.
Là où chaque couche échoue
Aligner les modes de défaillance rend le travail de conception évident.
| Scénario | Couche de coordination | Vos appareils | La chaîne |
|---|---|---|---|
| Un signataire saisit mal une adresse | L'arrête | L'arrête s'il lit | S'en moque |
| Un signataire est hameçonné et approuve | L'arrête si hors liste blanche | Montre la vérité ; il peut approuver quand même | S'en moque |
| Le relais de SSP est compromis | Échoue | Tient — les octets sont décodés localement | Tient |
| Le moteur de politiques de SSP a un bug | Échoue | Tient | Tient |
| L'ordinateur d'un signataire est compromis | Non conçue pour cela | Partiellement — le téléphone vérifie encore | Tient |
| Un attaquant détient moins de M signataires | Non conçue pour cela | Tient | Tient |
| Un attaquant détient M signataires ou plus | Échoue | Échoue | Échoue |
La dernière ligne est le plancher honnête du modèle. Le multisig protège contre la compromission d'une minorité de vos signataires. Il ne protège pas contre une majorité, et aucun produit ne peut prétendre le contraire sans mentir. C'est pourquoi le seuil et l'indépendance de vos signataires comptent plus que n'importe quelle liste de fonctionnalités.
Ce que cela implique pour votre installation
Concevez le coffre pour qu'il soit sûr avec la seule couche 3. Choisissez le seuil et l'ensemble des signataires comme si le moteur de politiques n'existait pas. Si la réponse vous met mal à l'aise, le correctif est un autre seuil ou d'autres signataires — pas davantage de politiques.
Ajoutez ensuite des politiques pour ce à quoi les politiques sont bonnes. Les listes blanches attrapent l'erreur humaine. Les verrous temporels achètent du temps de réaction. Les règles d'approbation créent une seconde paire d'yeux sur les gros montants. Ce sont des améliorations de processus et elles réduisent réellement les incidents ; elles ne sont simplement pas ce qui se dresse entre un attaquant et votre trésorerie.
Gardez vos signataires réellement indépendants. Deux signataires sur le même ordinateur, dans le même bâtiment, avec le même dispositif de récupération, sont plus proches d'un signataire que de deux. La force de la couche 3 vient de la difficulté à compromettre M personnes distinctes avec M paires d'appareils distinctes.
Faites en sorte que les signataires lisent vraiment l'écran de contrôle. La couche 2 est la seule barrière capable d'attraper une proposition d'apparence légitime mais erronée, et elle ne fonctionne que si un humain s'intéresse à ce que son appareil a décodé. Un aller-retour répété à la création du coffre aide à construire cette habitude sans rien risquer.
Posez la même question aux autres prestataires de conservation. Que vous utilisiez SSP ou non, ce cadre est transposable : pour chaque contrôle de la page de fonctionnalités, demandez s'il survit au fait que le propre logiciel du fournisseur soit erroné. Les réponses sont souvent instructives, et un fournisseur qui répond clairement vous dit quelque chose de bon sur sa façon de penser.
Sur les manières dont un montage à plusieurs clés se fait saper en pratique, modes de défaillance du multisig et comment SSP les atténue les passe en revue un à un, et SSP Enterprise : des coffres multisig pour les équipes est la vue d'ensemble de l'articulation des pièces.
