Saya menyaksikan sebuah validator DUSK dihapus dari active set di testnet. Tidak di-hack. Tidak dislashing. Hanya dihapus saja. Alasannya adalah kelangsungan (liveness): ketinggalan terlalu banyak voting finalitas dalam jendela waktu 28 jam.
Sistem itu bekerja persis seperti yang dirancang. Itu yang membuat saya gelisah.
Validator itu tidak kehilangan aset yang dipasangnya. Tidak ada hukuman kriptografis. Tidak ada kunci privat yang terekspos. Hanya keluar diam-diam dari putaran konsensus. Dan inilah bagian yang terus melekat pada saya: jendela penahanan diukur relatif terhadap nilai StartHeight yang direset setiap kali penyedia bergabung lagi. Pergi sebentar, kembali, reset jam, ulangi. Operator yang kronis tidak dapat diandalkan bisa menghindari penghapusan permanen selamanya dengan tidak pernah offline cukup lama untuk memicu penalti penuh. Jalur penegakan yang bersifat lunak adalah yang memiliki celah.
Saya terus memikirkan celah itu saat menyaksikan komunitas DUSK berdiskusi apakah penyedia finalitas harus diperlakukan sebagai infrastruktur atau sebagai mitra. Seseorang di chat berkata, "Jika hukuman karena tidak dapat diandalkan berupa timeout, maka ketidakandalan hanyalah strategi dengan langkah tambahan." Tidak ada yang tertawa. Karena semua orang tahu validator yang mereset jam penahanannya tidak melanggar aturan. Itu hanya memanipulasi ritme penegakan.
Kesenjangan itulah antara keamanan teknis dan keamanan praktis. Pemicu kriptografis untuk double-signing bersifat mutlak, tanpa belas kasihan, dan otomatis. Pemicu sosial untuk kelalaian adalah sebuah state machine dengan tombol reset. Yang satu melindungi jaringan dari niat jahat. Yang lain melindungi jaringan dari kelalaian. Dan saat ini, tombol reset itu berada di tangan operator yang justru seharusnya dibatasi.
#dusk $DUSK @Dusk $EDEN $AKE
Sistem itu bekerja persis seperti yang dirancang. Itu yang membuat saya gelisah.
Validator itu tidak kehilangan aset yang dipasangnya. Tidak ada hukuman kriptografis. Tidak ada kunci privat yang terekspos. Hanya keluar diam-diam dari putaran konsensus. Dan inilah bagian yang terus melekat pada saya: jendela penahanan diukur relatif terhadap nilai StartHeight yang direset setiap kali penyedia bergabung lagi. Pergi sebentar, kembali, reset jam, ulangi. Operator yang kronis tidak dapat diandalkan bisa menghindari penghapusan permanen selamanya dengan tidak pernah offline cukup lama untuk memicu penalti penuh. Jalur penegakan yang bersifat lunak adalah yang memiliki celah.
Saya terus memikirkan celah itu saat menyaksikan komunitas DUSK berdiskusi apakah penyedia finalitas harus diperlakukan sebagai infrastruktur atau sebagai mitra. Seseorang di chat berkata, "Jika hukuman karena tidak dapat diandalkan berupa timeout, maka ketidakandalan hanyalah strategi dengan langkah tambahan." Tidak ada yang tertawa. Karena semua orang tahu validator yang mereset jam penahanannya tidak melanggar aturan. Itu hanya memanipulasi ritme penegakan.
Kesenjangan itulah antara keamanan teknis dan keamanan praktis. Pemicu kriptografis untuk double-signing bersifat mutlak, tanpa belas kasihan, dan otomatis. Pemicu sosial untuk kelalaian adalah sebuah state machine dengan tombol reset. Yang satu melindungi jaringan dari niat jahat. Yang lain melindungi jaringan dari kelalaian. Dan saat ini, tombol reset itu berada di tangan operator yang justru seharusnya dibatasi.
#dusk $DUSK @Dusk $EDEN $AKE