Kann man mit einem Online-Schlüssel Geld bewegen? Das ist die erste Frage beim Produktions-Setup für die Auswahl des Verpfändungsschlüssels. Zuerst interessiert mich, ob der Online-Schlüssel Zugriff auf das Recht zum Ausstieg aus der Verpfändung erhält, und danach, ob die Konfiguration besonders unkompliziert ist. Das Zusammenführen von Schlüsseln würde dazu führen, dass der Online-Consensus-Schlüssel das Recht zum Ausstieg aus der Verpfändung erhält. Das bedeutet, dass er un-stake und withdraw initiieren kann. Wenn ich den owner auf consensus setzen will, zögere ich, und zwar aus gutem Grund.
Zuerst sehe ich mir die zwei Konfigurationen an, die @Dusk im node-wallet-setup angibt. Eine Option führt owner und consensus zusammen: dieselbe Online-Schlüsselinstanz übernimmt sowohl die Consensus- als auch die Finanzverantwortung. Die andere Option trennt zwei Schlüssel: die Consensus-Berechtigung und die Ausführung von Finanzaktionen sind jeweils klar zugeordnet. Die zusammengeführte Variante ist im Betrieb leichter, die getrennte Variante ist im Management aufwendiger. Weniger Schritte heißt zwar „es ist einfacher“, aber das bedeutet nicht zwingend, dass das Produktionsrisiko geringer ist.
Der entscheidende Punkt ist, ob die Berechtigungen zusammen mit dem Online-Schlüssel „offengelegt“ werden. Trenne beide Varianten gedanklich und stelle sie nebeneinander in einer Vier-Felder-Auswahlmatrix. Online-Offenlegung: Schauen, ob der Consensus-Schlüssel zugleich der Finanzschlüssel ist. Finanz-Ausstiegsrecht: Prüfen, ob er un-stake und withdraw auslösen kann. Backup-Wiederherstellung: Je nachdem, ob Verantwortlichkeiten zusammengeführt oder getrennt sind. Betriebskosten: Abwägen zwischen Bequemlichkeit und dem Preis für die Isolation. Die Zusammenführungsvariante führt zu Einfachheit und gebündelten Berechtigungen, die Trennungsvariante bringt mehr Betrieb und isoliert das Ausstiegsrecht. Das passt nicht zur Aussage „weniger Schritte = sicherer“.
Warum bedeutet „Trennung“ nicht automatisch „das Risiko ist weg“? Die Matrix kann nur belegen, dass der getrennte Consensus-Schlüssel die Verpfändung nicht auflösen und nicht entnehmen kann. Das heißt nicht, dass alle anderen Risiken vollständig entfernt wären. Mehr ein Set an Backup-, Wiederherstellungs- und Berechtigungsmanagement lässt einen zweifeln; auch ich würde wegen der Komplexität zögern. Aber wenn dein Online-Schlüssel kompromittiert wird, entscheidet letztlich, ob er das Ausstiegsrecht für die Finanzen erreichen kann—das ist die Grenze im schlimmsten Fall.
Finanzisolation vor Bequemlichkeit ist die Antwort. In kleinen oder temporären Umgebungen sollte man nur dann owner=consensus wählen, wenn man eine klare Zusammenlegung der Berechtigungen des Online-Schlüssels akzeptiert. Wenn das Produktions-Verpfändungs-Setup $DUSK verlangt, dass Finanzaktionen und Online-Consensus-Aufgaben isoliert sind, sollte man owner zuerst trennen. Die Trennung erhöht zwar Betriebs- und Wiederherstellungskosten, bedeutet aber nicht, dass sie alle Risiken beseitigt. Eine sorgfältige Auswahl muss klar festhalten, wer im schlimmsten Fall Geld bewegen darf. #dusk
Zuerst sehe ich mir die zwei Konfigurationen an, die @Dusk im node-wallet-setup angibt. Eine Option führt owner und consensus zusammen: dieselbe Online-Schlüsselinstanz übernimmt sowohl die Consensus- als auch die Finanzverantwortung. Die andere Option trennt zwei Schlüssel: die Consensus-Berechtigung und die Ausführung von Finanzaktionen sind jeweils klar zugeordnet. Die zusammengeführte Variante ist im Betrieb leichter, die getrennte Variante ist im Management aufwendiger. Weniger Schritte heißt zwar „es ist einfacher“, aber das bedeutet nicht zwingend, dass das Produktionsrisiko geringer ist.
Der entscheidende Punkt ist, ob die Berechtigungen zusammen mit dem Online-Schlüssel „offengelegt“ werden. Trenne beide Varianten gedanklich und stelle sie nebeneinander in einer Vier-Felder-Auswahlmatrix. Online-Offenlegung: Schauen, ob der Consensus-Schlüssel zugleich der Finanzschlüssel ist. Finanz-Ausstiegsrecht: Prüfen, ob er un-stake und withdraw auslösen kann. Backup-Wiederherstellung: Je nachdem, ob Verantwortlichkeiten zusammengeführt oder getrennt sind. Betriebskosten: Abwägen zwischen Bequemlichkeit und dem Preis für die Isolation. Die Zusammenführungsvariante führt zu Einfachheit und gebündelten Berechtigungen, die Trennungsvariante bringt mehr Betrieb und isoliert das Ausstiegsrecht. Das passt nicht zur Aussage „weniger Schritte = sicherer“.
Warum bedeutet „Trennung“ nicht automatisch „das Risiko ist weg“? Die Matrix kann nur belegen, dass der getrennte Consensus-Schlüssel die Verpfändung nicht auflösen und nicht entnehmen kann. Das heißt nicht, dass alle anderen Risiken vollständig entfernt wären. Mehr ein Set an Backup-, Wiederherstellungs- und Berechtigungsmanagement lässt einen zweifeln; auch ich würde wegen der Komplexität zögern. Aber wenn dein Online-Schlüssel kompromittiert wird, entscheidet letztlich, ob er das Ausstiegsrecht für die Finanzen erreichen kann—das ist die Grenze im schlimmsten Fall.
Finanzisolation vor Bequemlichkeit ist die Antwort. In kleinen oder temporären Umgebungen sollte man nur dann owner=consensus wählen, wenn man eine klare Zusammenlegung der Berechtigungen des Online-Schlüssels akzeptiert. Wenn das Produktions-Verpfändungs-Setup $DUSK verlangt, dass Finanzaktionen und Online-Consensus-Aufgaben isoliert sind, sollte man owner zuerst trennen. Die Trennung erhöht zwar Betriebs- und Wiederherstellungskosten, bedeutet aber nicht, dass sie alle Risiken beseitigt. Eine sorgfältige Auswahl muss klar festhalten, wer im schlimmsten Fall Geld bewegen darf. #dusk