夕暮れのプロビジョナーに署名するためのマシンは、ステークを保有している必要はない。

私はバリデータキーを、ひとつのものを表しているかのように考えていた。

それはコントロールだ。

しかし@Dusk は、そのコントロールを2つのまったく異なる役割に分けている。

コンセンサスキーは、ノードがコンセンサスに参加するために使うもの——投票し、ブロックに署名する。

オーナーキーは、そのプロビジョナー背後の資本を、アンステークしたり引き出したりできるもの。

Duskでは、デフォルトで両方の役割が同じキーを使える。

だが、その運用者向けドキュメントでは両者の分離を推奨している。

この区別は、最初に聞こえる以上に私には興味深い。

コンセンサス権限 ≠ 所有権限。

プロビジョナーは、ネットワークに絶えず参加し続けるオンラインのマシンで、そのコンセンサスキーを使える状態に保っておく必要がある。

それはまさに、ステークそのものに対する不必要な権限は与えたくない種類の環境だ。

仮にノードやコンセンサスキーが侵害されたとしても、オーナーキーを分離していれば、攻撃者が自動的にアンステークして資金を引き出す能力を得るわけではない。

つまり設計は、微妙なことをしている。

単に鍵を守っているだけではない。

運用し続ける必要がある、その鍵の持つ影響範囲（ブラストレイジ）を制限している。

しかしトレードオフもある。

ノードから所有権限を切り離すことで、オーナーキーは、オペレーターが実際にアンステークや引き出しを行う必要が生じたときに回復可能であり続けつつ、どこか別の場所で保護されなければならなくなる。

より分離するほど、一種類のリスクは減らせる一方で、別の場所での運用上の責任は増える。

私はその点を評価することになる。

単に、Duskのプロビジョナーが侵害されにくいかどうかではない。

私は次を問う。

仮にコンセンサスマシンが明日侵害された場合、攻撃者は実際にどれほどの権限を継承してしまうのか？

24/7で稼働し続ける必要があるインフラに対しては、強力なセキュリティモデルとは、マシンにより多くの保護を与えることではないかもしれない。

そもそも、マシンに与える力を減らすことだ。

#dusk $DUSK @Dusk

$BOME $ETH