Co naprawdę zatrzymuje transakcję

Każdy produkt do pieczy ma stronę z funkcjami wyliczającą zabezpieczenia: białe listy, limity wydatków, blokady czasowe, ścieżki zatwierdzeń, ograniczenia IP. Wszystkie są prawdziwe i wszystkie są użyteczne. Ale nie wszystkie są tym samym rodzajem rzeczy, a traktowanie ich jako wymiennych to sposób, w jaki organizacje kończą z modelem bezpieczeństwa słabszym, niż sugerował marketing.

Jest pytanie, które rozdziela je czysto: gdyby każdy kawałek oprogramowania w systemie był błędny albo wrogi, czy to zabezpieczenie nadal by się utrzymało?

Dla większości tej listy odpowiedź brzmi: nie. Dla dokładnie jednego brzmi: tak. Ten artykuł jest o odróżnianiu ich.

Trzy warstwy, nie jedna

Między tym, że ktoś chce ruszyć środki, a tym, że środki faktycznie się ruszają, SSP Enterprise ma trzy odrębne bariery. Zawodzą inaczej, a wiedza, która jest którą, to cały sens.

Warstwy nie są uszeregowane według użyteczności. Są uszeregowane według tego, czego trzeba, by je pokonać.

Warstwa 1: warstwa koordynacji

To silnik polityk i tam mieszka większość funkcji. SSP Enterprise obsługuje białe listy adresów, ograniczenia typu miejsca docelowego, blokady czasowe opóźniające transakcje powyżej progu wartości, reguły wymagające zatwierdzenia administratora powyżej pewnej kwoty oraz ograniczenia IP na dostęp do organizacji. Szablony polityk dają sensowne ustawienia wstępne, które następnie materializują się jako prawdziwe, edytowalne reguły.

Te rzeczy wykonują prawdziwą pracę. Biała lista sprawia, że źle wpisany adres nigdy nie stanie się nawet propozycją. Blokada czasowa daje zespołowi skarbowemu okno na zauważenie, że coś jest nie tak. Reguła zatwierdzeń zamienia duży przelew w rozmowę dwóch osób zamiast w popołudnie jednej.

Czym nie są, to egzekucją pieczy. Te reguły mieszkają w oprogramowaniu SSP i są oceniane przez serwery SSP. Nie są częścią adresu skarbca, a blockchain nigdy o nich nie słyszał. Gdyby silnik polityk został obejść — przez błąd, skompromitowany serwer albo wrogiego operatora — reguły po prostu by nie zadziałały.

Mówimy to wprost, bo alternatywa jest gorsza. Zespół, który wierzy, że jego biała lista jest gwarancją pieczy, odpowiednio dobierze próg, a to dokładnie ten błąd, który zamienia incydent do przetrwania w taki, którego się nie przetrwa.

Warstwa 2: twoje urządzenia

Druga bariera to para urządzeń, którą trzyma każdy podpisujący, i jest mocniejsza od pierwszej pod ważnym względem: nie ufa również SSP.

Gdy propozycja dociera do podpisującego, jego urządzenia dekodują lokalnie surowe bajty transakcji i porównują wynik z tym, co jest wyświetlane. Odbiorca, kwota, token — odczytane z bajtów, nie wzięte z opisu serwera. Na Solanie to porównanie jest jawne i bezlitosne: jeśli zdekodowane bajty przeczą wyświetlanej treści, podpisywanie jest twardo blokowane, a nie tylko sygnalizowane, bo rozbieżność w tym miejscu wskazuje na trwający atak, a nie usterkę wyświetlania.

Urządzenia egzekwują też własny, niezależny pułap zwrotów opłat. Relay proponuje opłatę; portfel odmawia podpisania takiej powyżej maksimum zapisanego na sztywno, cokolwiek relay twierdzi, co ogranicza każde wyprowadzanie środków kanałem opłat, nawet gdyby relay był całkowicie wrogi. Symulacja także biegnie przed zatwierdzeniem, wykonując propozycję na bieżącym stanie łańcucha, aby ekran podsumowania mógł pokazać, co transakcja faktycznie zrobi; przyszło to wraz z symulacją transakcji i ostrzeżeniami o ryzyku.

Ta warstwa pokonuje skompromitowany serwer. Czego nie pokona, to skompromitowanego urządzenia ani podpisującego, który zatwierdza bez czytania. Wymaga też obu urządzeń podpisującego i właśnie dlatego liczy się 2 z 2 na osobę: warstwa 2 jest tak mocna, jak słabsze z dwóch urządzeń, a są to celowo różne rodzaje sprzętu.

Warstwa 3: łańcuch

Trzecia bariera jest jedyną, która trzyma, gdy wszystko inne zawiodło.

Adres skarbca wyprowadza się z zestawu podpisujących i progu zatwierdzeń. Transakcja, która nie niesie wymaganej liczby ważnych podpisów, nie jest transakcją odrzuconą — jest nieważna. Każdy węzeł sieci niezależnie dochodzi do tego samego wniosku i żaden stopień dostępu do infrastruktury SSP tej arytmetyki nie zmienia.

Dlatego próg jest liczbą zasługującą przy tworzeniu skarbca na najwięcej namysłu i dlatego nie da się go potem edytować. Konfiguracja pierwszego skarbca firmowego omawia mechanikę; 2 z 2 kontra 2 z 3 kontra m z n omawia dobór liczby.

Gdzie zawodzi każda warstwa

Zestawienie trybów awarii obok siebie czyni zadanie projektowe oczywistym.

Scenariusz	Warstwa koordynacji	Twoje urządzenia	Łańcuch
Podpisujący błędnie wpisuje adres	Zatrzymuje	Zatrzymuje, jeśli przeczyta	Nie obchodzi go to
Podpisujący daje się wyłudzić i zatwierdza	Zatrzymuje, jeśli spoza białej listy	Pokazuje prawdę; on i tak może zatwierdzić	Nie obchodzi go to
Relay SSP jest skompromitowany	Zawodzi	Trzyma — bajty dekodowane lokalnie	Trzyma
Silnik polityk SSP ma błąd	Zawodzi	Trzyma	Trzyma
Laptop podpisującego jest skompromitowany	Nie do tego służy	Częściowo — telefon nadal sprawdza	Trzyma
Napastnik kontroluje mniej niż M podpisujących	Nie do tego służy	Trzyma	Trzyma
Napastnik kontroluje M podpisujących lub więcej	Zawodzi	Zawodzi	Zawodzi

Ostatni wiersz to uczciwe dno modelu. Multisig chroni przed skompromitowaniem mniejszości twoich podpisujących. Nie chroni przed większością i żaden produkt nie może twierdzić inaczej bez kłamstwa. Dlatego próg i niezależność twoich podpisujących znaczą więcej niż jakakolwiek lista funkcji.

Co to znaczy dla twojego układu

Zaprojektuj skarbiec tak, by był bezpieczny z samą warstwą 3. Dobierz próg i zestaw podpisujących tak, jakby silnik polityk nie istniał. Jeśli odpowiedź cię niepokoi, lekarstwem jest inny próg albo inni podpisujący — nie więcej polityk.

Potem dodaj polityki do tego, w czym polityki są dobre. Białe listy wyłapują ludzki błąd. Blokady czasowe kupują czas na reakcję. Reguły zatwierdzeń tworzą drugą parę oczu przy dużych kwotach. To ulepszenia procesowe i naprawdę ograniczają incydenty; po prostu nie są tym, co stoi między napastnikiem a twoim skarbcem.

Trzymaj podpisujących naprawdę niezależnymi. Dwóch podpisujących na tym samym laptopie, w tym samym budynku, z tym samym układem odzyskiwania, jest bliżej jednego podpisującego niż dwóch. Siła warstwy 3 bierze się z trudności skompromitowania M oddzielnych osób z M oddzielnymi parami urządzeń.

Spraw, by podpisujący naprawdę czytali ekran podsumowania. Warstwa 2 jest jedyną barierą zdolną wyłapać propozycję wyglądającą wiarygodnie, lecz błędną, i działa tylko wtedy, gdy człowiek zaangażuje się w to, co zdekodowało jego urządzenie. Przećwiczony przelew tam i z powrotem przy tworzeniu skarbca pomaga zbudować ten nawyk, gdy nic nie jest na szali.

Zadaj to samo pytanie innym dostawcom pieczy. Czy używasz SSP, czy nie, ta rama jest przenośna: przy każdym zabezpieczeniu ze strony z funkcjami spytaj, czy przetrwa błąd w oprogramowaniu samego dostawcy. Odpowiedzi bywają pouczające, a dostawca, który odpowiada jasno, mówi ci coś dobrego o tym, jak myśli.

O sposobach, na jakie układ wielokluczowy bywa podkopywany w praktyce, tryby awarii multisiga i jak SSP je łagodzi przechodzi przez nie po kolei, a SSP Enterprise: skarbce multisig dla zespołów to przegląd tego, jak elementy do siebie pasują.