#dusk $DUSK 今日私は$MUUB .$1000RATS を買うつもりです。まさに完璧なタイミングで投入（ダンプ）しようとして待機しています。

ずっと考えていたのは、バリデータの鍵には「ノードがコンセンサスに参加することを許可されている」ことを証明するという、たった1つの役目があるはずだという点でした。

しかし、Duskのノード設定は、その前提をあまり心地よいものにしませんでした。

Duskのステークには、2つの別々の役割が関わることがあります。

コンセンサス鍵はノードに紐づいたままで、投票やブロックへの署名に使われます。一方、オーナー鍵は、アンステークや資金の引き出しができる権限を制御します。

オペレータが別のオーナーを指定しない場合、コンセンサス鍵がデフォルトでオーナーになります。これなら管理するアドレスが1つだけなので、よりシンプルです。

ですが、それは非常に異なる2種類の権限をひとつにまとめてしまうことでもあります。

オンラインのノードが侵害されたとしても、もはや「コンセンサスに干渉する能力を得ることだけ」にとどまらないかもしれません。同じ鍵が所有権も握っている場合、攻撃者はオペレータの資金をアンステークして引き出すことまで、潜在的に可能になります。

そのためDuskは、役割の分離を推奨しています。オペレータはオーナーと同じミニメモニックから別のアドレスを割り当てられますが、コンセンサス鍵はノードで使える状態のまま残ります。

これにより、盗まれたノード鍵ができることを減らせます。

ただし、ミニメモニックがサーバに保存されたままだと、この分離は完全ではありません。Duskのガイドでは、ミニメモニックがノードの外にある場合、またはウォレットがコンセンサス鍵のパスワードとは異なる強力なパスワードを使う場合に、モデルが最も効果的だと述べています。

私の注意を引いたのは、安全な設計ほど、運用上の責任が増えるという点でした。

オーナー鍵は、オペレータがアンステークやリステークを行う必要があるたびに、保護され、復元可能である必要があります。鍵の分離は1つの侵害に対する影響を抑えますが、オフライン権限を失うと、別種の障害がまるごと発生してしまいます。

コンセンサスの活動をステークの所有から分離することで、オペレータにとって適切なセキュリティ境界が得られるのでしょうか？それとも、オーナー鍵のリカバリが、より重要な運用リスクになるのでしょうか？

#dusk @Dusk
Duskバリデータ鍵のセットアップ：何がより重要？