#dusk $DUSK @Dusk Courez Dusk Nœud Ces derniers mois, je me suis toujours demandé une chose : si mon serveur se déconnecte pendant la nuit pendant quelques heures, est-ce qu’on va directement me confisquer l’intégralité du DUSK mis en garantie ? En vérifiant la documentation officielle, je me suis rendu compte que le mécanisme de sanction de Dusk est conçu d’une manière plus « raisonnable » que ce que j’imaginais.
Dusk répartit les sanctions en deux catégories : les sanctions souples (soft slashing) et les sanctions dures (hard slashing). Les sanctions souples correspondent au fait de perdre la connexion du nœud, de ne pas produire de bloc quand c’est le moment, et à d’autres comportements du type « ne pas faire le mal, mais ralentir le processus » : elles ne brûlent pas votre capital. Elles commencent par un avertissement, puis, une fois l’avertissement épuisé, elles mettent votre mise en garantie en suspension (suspension) pendant un ou plusieurs epochs, en vous retirant la capacité de participer aux élections de consensus. Dans le même temps, une partie du poids de votre mise en garantie est transférée dans un pool de récompenses récupérable, ce qui réduit la probabilité que vous soyez sélectionné lors du prochain sortition (algorithme d’élection). En clair : c’est « on vous met de côté d’abord, et vous revenez une fois que tout est redevenu normal », plutôt que de vous retirer de l’argent immédiatement.
Les sanctions dures, elles, sont bien plus sévères : les doubles signatures, la falsification de blocs non valides, etc., des actions réellement malveillantes, brûleront directement une partie du capital mis en garantie. La quantité dépend de la gravité du comportement : produire des blocs invalides est considéré comme plus léger, tandis que les doubles votes et la falsification de certificats de blocs sont plus lourds. De plus, le nœud peut être suspendu consécutivement pendant plusieurs epochs. La documentation officielle l’explique très clairement : tant que vous exécutez le client officiel, dans des conditions normales, les sanctions dures ne devraient jamais se déclencher. Elles sont réservées aux scénarios d’attaque intentionnelle du réseau.
Je pense que les compromis de cette conception sont très clairs : le seuil minimal de mise en garantie n’est que de 1000 DUSK ; si une simple déconnexion entraînait immédiatement une brûlure du capital, cela découragerait directement beaucoup d’opérateurs de petits nœuds, et le réseau aurait tendance à se concentrer entre les mains de quelques gros validateurs. Les sanctions souples jouent le rôle de filet de sécurité pour les déconnexions occasionnelles, et on « touche au capital » uniquement lorsque l’on est vraiment face à des comportements malveillants. C’est une façon de trouver un équilibre entre « le degré de décentralisation du réseau » et « la sécurité du consensus ». Mais cela implique aussi que, si le nombre de validateurs n’augmente pas à l’avenir et que tout le monde dépend fortement de la tolérance des sanctions souples, le risque de vivacité (liveness risk) du réseau dépendra davantage de la conscience des opérateurs de nœuds que des contraintes économiques imposées par une sanction dure « immédiate ».
Dusk répartit les sanctions en deux catégories : les sanctions souples (soft slashing) et les sanctions dures (hard slashing). Les sanctions souples correspondent au fait de perdre la connexion du nœud, de ne pas produire de bloc quand c’est le moment, et à d’autres comportements du type « ne pas faire le mal, mais ralentir le processus » : elles ne brûlent pas votre capital. Elles commencent par un avertissement, puis, une fois l’avertissement épuisé, elles mettent votre mise en garantie en suspension (suspension) pendant un ou plusieurs epochs, en vous retirant la capacité de participer aux élections de consensus. Dans le même temps, une partie du poids de votre mise en garantie est transférée dans un pool de récompenses récupérable, ce qui réduit la probabilité que vous soyez sélectionné lors du prochain sortition (algorithme d’élection). En clair : c’est « on vous met de côté d’abord, et vous revenez une fois que tout est redevenu normal », plutôt que de vous retirer de l’argent immédiatement.
Les sanctions dures, elles, sont bien plus sévères : les doubles signatures, la falsification de blocs non valides, etc., des actions réellement malveillantes, brûleront directement une partie du capital mis en garantie. La quantité dépend de la gravité du comportement : produire des blocs invalides est considéré comme plus léger, tandis que les doubles votes et la falsification de certificats de blocs sont plus lourds. De plus, le nœud peut être suspendu consécutivement pendant plusieurs epochs. La documentation officielle l’explique très clairement : tant que vous exécutez le client officiel, dans des conditions normales, les sanctions dures ne devraient jamais se déclencher. Elles sont réservées aux scénarios d’attaque intentionnelle du réseau.
Je pense que les compromis de cette conception sont très clairs : le seuil minimal de mise en garantie n’est que de 1000 DUSK ; si une simple déconnexion entraînait immédiatement une brûlure du capital, cela découragerait directement beaucoup d’opérateurs de petits nœuds, et le réseau aurait tendance à se concentrer entre les mains de quelques gros validateurs. Les sanctions souples jouent le rôle de filet de sécurité pour les déconnexions occasionnelles, et on « touche au capital » uniquement lorsque l’on est vraiment face à des comportements malveillants. C’est une façon de trouver un équilibre entre « le degré de décentralisation du réseau » et « la sécurité du consensus ». Mais cela implique aussi que, si le nombre de validateurs n’augmente pas à l’avenir et que tout le monde dépend fortement de la tolérance des sanctions souples, le risque de vivacité (liveness risk) du réseau dépendra davantage de la conscience des opérateurs de nœuds que des contraintes économiques imposées par une sanction dure « immédiate ».