La clé d’un « provisioner » à l’heure du crépuscule n’a pas besoin de posséder la mise
La compromission d’un serveur de provisioner ne donne pas nécessairement à un attaquant l’autorité de retrait sur le DUSK qui se trouve derrière.
L’enjeu de Dusk sépare deux rôles. La Consensus Key est l’identifiant en ligne utilisé par le nœud pour voter et signer des blocs. La Owner Key contrôle le désengagement (unstaking) et le retrait de la mise. Si aucun propriétaire n’est spécifié, la clé de consensus devient le propriétaire par défaut. Mais Dusk prend aussi en charge la mise rusk-wallet --owner <OWNER_ADDRESS> afin de les séparer.
Cela change la frontière de sécurité d’un provisioner.
Le nœud a besoin de consensus.keys pour participer à la validation ; il n’a pas besoin du portefeuille du propriétaire installé à côté. Les recommandations actuelles de Dusk pour les opérateurs recommandent explicitement de garder le portefeuille du propriétaire et les éléments de récupération hors du nœud.
Ainsi, un opérateur peut traiter la Consensus Key comme une information d’exploitation « à chaud », sans donner automatiquement à cet environnement à chaud la capacité de quitter (retirer) avec le capital.
La séparation n’est pas une protection absolue. Une Consensus Key volée peut toujours signer des messages de consensus contradictoires ou autrement invalides, et les pénalités strictes de Dusk peuvent brûler la mise pour ce comportement.
La décision pratique se fait donc avant la mise : avec la configuration par défaut, l’autorité de consensus et l’autorité de contrôle du capital sont combinées ; en spécifiant un propriétaire distinct, on limite ce qu’un hôte de validateur compromis peut faire directement.
@Dusk $DUSK #dusk
La compromission d’un serveur de provisioner ne donne pas nécessairement à un attaquant l’autorité de retrait sur le DUSK qui se trouve derrière.
L’enjeu de Dusk sépare deux rôles. La Consensus Key est l’identifiant en ligne utilisé par le nœud pour voter et signer des blocs. La Owner Key contrôle le désengagement (unstaking) et le retrait de la mise. Si aucun propriétaire n’est spécifié, la clé de consensus devient le propriétaire par défaut. Mais Dusk prend aussi en charge la mise rusk-wallet --owner <OWNER_ADDRESS> afin de les séparer.
Cela change la frontière de sécurité d’un provisioner.
Le nœud a besoin de consensus.keys pour participer à la validation ; il n’a pas besoin du portefeuille du propriétaire installé à côté. Les recommandations actuelles de Dusk pour les opérateurs recommandent explicitement de garder le portefeuille du propriétaire et les éléments de récupération hors du nœud.
Ainsi, un opérateur peut traiter la Consensus Key comme une information d’exploitation « à chaud », sans donner automatiquement à cet environnement à chaud la capacité de quitter (retirer) avec le capital.
La séparation n’est pas une protection absolue. Une Consensus Key volée peut toujours signer des messages de consensus contradictoires ou autrement invalides, et les pénalités strictes de Dusk peuvent brûler la mise pour ce comportement.
La décision pratique se fait donc avant la mise : avec la configuration par défaut, l’autorité de consensus et l’autorité de contrôle du capital sont combinées ; en spécifiant un propriétaire distinct, on limite ce qu’un hôte de validateur compromis peut faire directement.
@Dusk $DUSK #dusk
