Bir işlemi gerçekte ne durdurur
Her saklama ürününün, kontrolleri sıralayan bir özellikler sayfası vardır: beyaz listeler, harcama limitleri, zaman kilitleri, onay akışları, IP kısıtlamaları. Hepsi gerçektir ve hepsi yararlıdır. Ama hepsi aynı türden şey değildir ve onları birbirinin yerine geçermiş gibi görmek, kurumların pazarlamanın ima ettiğinden daha zayıf bir güvenlik modeliyle kalmasının yoludur.
Onları temiz biçimde ayıran bir soru var: sistemdeki her yazılım parçası hatalı ya da düşmanca olsaydı, bu kontrol yine de ayakta kalır mıydı?
Listenin çoğu için yanıt hayır. Tam olarak bir tanesi için yanıt evet. Bu yazı onları birbirinden ayırmakla ilgili.
Üç katman, bir değil
Birinin fon taşımak istemesi ile fonların gerçekten hareket etmesi arasında SSP Enterprise'ın üç ayrı bariyeri vardır. Farklı biçimlerde çökerler ve hangisinin hangisi olduğunu bilmek işin bütünüdür.
Katmanlar yararlılığa göre sıralanmamıştır. Onları yenmek için ne gerektiğine göre sıralanmıştır.
Katman 1: koordinasyon katmanı
Bu, politika motorudur ve özelliklerin çoğu orada yaşar. SSP Enterprise adres beyaz listelerini, hedef türü kısıtlarını, bir değer eşiğinin üzerindeki işlemleri geciktiren zaman kilitlerini, belirli bir tutarın üzerinde yönetici onayı isteyen kuralları ve organizasyon erişiminde IP kısıtlarını destekler. Politika şablonları, ardından gerçek ve düzenlenebilir kurallar olarak somutlaşan makul ön ayarlar verir.
Bunlar gerçek iş görürler. Bir beyaz liste, yanlış yazılmış bir adresin teklif hâline gelmesini bile engeller. Bir zaman kilidi, hazine ekibine bir şeylerin ters gittiğini fark etmesi için bir pencere açar. Bir onay kuralı, büyük bir transferi tek bir kişinin öğleden sonrası olmaktan çıkarıp iki kişilik bir konuşmaya dönüştürür.
Olmadıkları şey ise saklama dayatmasıdır. Bu kurallar SSP'nin yazılımında yaşar ve SSP'nin sunucuları tarafından değerlendirilir. Kasa adresinin parçası değildirler ve blok zinciri onları hiç duymamıştır. Politika motoru atlatılsaydı — bir hata, ele geçirilmiş bir sunucu ya da düşmanca bir işletmeci yüzünden — kurallar basitçe uygulanmazdı.
Bunu açıkça söylüyoruz, çünkü alternatifi daha kötü. Beyaz listesinin bir saklama güvencesi olduğuna inanan bir ekip eşiğini buna göre belirler ve atlatılabilir bir olayı atlatılamaz bir olaya çeviren hata tam da budur.
Katman 2: cihazlarınız
İkinci bariyer, her imzacının taşıdığı cihaz çiftidir ve önemli bir bakımdan birincisinden güçlüdür: SSP'ye de güvenmez.
Bir teklif bir imzacıya ulaştığında, cihazları işlemin ham baytlarını yerelde çözer ve sonucu gösterilenle karşılaştırır. Alıcı, tutar, token — sunucunun açıklamasından alınmaz, baytlardan okunur. Solana'da bu karşılaştırma açıktır ve tavizsizdir: çözülen baytlar gösterilen içerikle çelişirse, imzalama uyarıyla geçiştirilmez, sert biçimde engellenir; çünkü oradaki bir uyuşmazlık bir görüntüleme arızasını değil, süregelen bir saldırıyı gösterir.
Cihazlar ayrıca ücret geri ödemelerine kendi bağımsız tavanlarını uygular. Relay ücreti önerir; cüzdan, relay ne iddia ederse etsin, koda gömülü bir azami değerin üzerindeki bir ücreti imzalamayı reddeder. Bu, relay tümüyle düşmanca olsa bile ücret üzerinden yürütülecek her boşaltmayı sınırlar. Simülasyon da onaydan önce çalışır; teklifi güncel zincir durumu üzerinde yürüterek inceleme ekranının işlemin gerçekte ne yapacağını göstermesini sağlar. Bu, işlem simülasyonu ve risk uyarılarıyla geldi.
Bu katman ele geçirilmiş bir sunucuyu yener. Yenemediği şey ele geçirilmiş bir cihaz ya da okumadan onaylayan bir imzacıdır. Ayrıca imzacının iki cihazını da gerektirir; kişi başına 2-of-2'nin önemi buradan gelir: katman 2, iki cihazın zayıf olanı kadar güçlüdür ve bunlar bilinçli olarak farklı türde donanımlardır.
Katman 3: zincir
Üçüncü bariyer, diğer her şey çöktüğünde ayakta kalan tek bariyerdir.
Bir kasanın adresi, imzacı kümesinden ve onay eşiğinden türetilir. Gereken sayıda geçerli imza taşımayan bir işlem reddedilmiş bir işlem değildir — geçersiz bir işlemdir. Ağdaki her düğüm bağımsız olarak aynı sonuca varır ve SSP'nin altyapısına ne kadar erişilirse erişilsin bu aritmetik değişmez.
Bu yüzden eşik, bir kasa oluştururken en çok düşünmeyi hak eden sayıdır ve bu yüzden sonradan düzenlenemez. İlk kurumsal kasanızı kurmak mekaniği ele alıyor; 2-of-2, 2-of-3 ve m-of-n karşılaştırması ise sayının nasıl seçileceğini.
Her katman nerede çöker
Arıza biçimlerini yan yana koymak tasarım işini apaçık kılar.
| Senaryo | Koordinasyon katmanı | Cihazlarınız | Zincir |
|---|---|---|---|
| Bir imzacı adresi yanlış yazar | Durdurur | Okursa durdurur | Umursamaz |
| Bir imzacı kandırılıp onaylatılır | Beyaz listede değilse durdurur | Gerçeği gösterir; yine de onaylayabilir | Umursamaz |
| SSP'nin relay'i ele geçirilir | Çöker | Dayanır — baytlar yerelde çözülür | Dayanır |
| SSP'nin politika motorunda hata olur | Çöker | Dayanır | Dayanır |
| Bir imzacının dizüstü bilgisayarı ele geçirilir | Bunun için tasarlanmadı | Kısmen — telefon hâlâ kontrol eder | Dayanır |
| Saldırgan M'den az imzacıyı elinde tutar | Bunun için tasarlanmadı | Dayanır | Dayanır |
| Saldırgan M ya da daha çok imzacıyı elinde tutar | Çöker | Çöker | Çöker |
Son satır modelin dürüst tabanıdır. Multisig, imzacılarınızın bir azınlığının ele geçirilmesine karşı korur. Bir çoğunluğa karşı korumaz ve hiçbir ürün yalan söylemeden aksini iddia edemez. İşte bu yüzden eşik ve imzacılarınızın bağımsızlığı herhangi bir özellik listesinden daha çok önem taşır.
Bunun kurulumunuz için anlamı
Kasayı yalnızca katman 3 ile güvenli olacak biçimde tasarlayın. Eşiği ve imzacı kümesini politika motoru hiç yokmuş gibi seçin. Yanıt sizi rahatsız ediyorsa, çözüm başka bir eşik ya da başka imzacılardır — daha çok politika değil.
Sonra politikaları, politikaların iyi olduğu şeyler için ekleyin. Beyaz listeler insan hatasını yakalar. Zaman kilitleri tepki süresi kazandırır. Onay kuralları büyük tutarlarda ikinci bir çift göz yaratır. Bunlar süreç iyileştirmeleridir ve olayları gerçekten azaltır; yalnızca bir saldırganla hazineniz arasında duran şey değildirler.
İmzacılarınızı gerçekten bağımsız tutun. Aynı dizüstü bilgisayarda, aynı binada, aynı kurtarma düzeneğiyle iki imzacı, iki imzacıdan çok bir imzacıya yakındır. Katman 3'ün gücü, M ayrı kişiyi M ayrı cihaz çiftiyle ele geçirmenin zorluğundan gelir.
İmzacıların inceleme ekranını gerçekten okumasını sağlayın. Katman 2, meşru görünen ama yanlış olan bir teklifi yakalayabilecek tek bariyerdir ve yalnızca bir insan cihazının çözdüğü şeyle ilgilenirse işler. Kasa oluşturulurken prova edilen bir gidiş-dönüş, ortada hiçbir şey yokken bu alışkanlığı kurmaya yardım eder.
Aynı soruyu diğer saklama sağlayıcılarına da sorun. SSP kullanın ya da kullanmayın, bu çerçeve taşınabilir: özellikler sayfasındaki her kontrol için, sağlayıcının kendi yazılımı hatalı olsa bile ayakta kalıp kalmadığını sorun. Yanıtlar çoğu zaman öğreticidir ve açık yanıt veren bir sağlayıcı, nasıl düşündüğü hakkında size iyi bir şey söylüyordur.
Çok anahtarlı bir kurulumun pratikte nasıl baltalandığına dair multisig arıza biçimleri ve SSP'nin bunları nasıl azalttığı bunları tek tek geziyor; SSP Enterprise: ekipler için multisig kasalar ise parçaların nasıl bir araya geldiğinin genel görünümü.
