Один момент постоянно не давал мне покоя, пока я читал дизайн VaultKit от Newton. Система построена так, чтобы отклонять привилегированные действия всякий раз, когда невозможно что-либо проверить. Если одобрения оператора никогда не достигают кворума, проверки политики не проходят, шлюз уходит в офлайн или аттестации не удаётся подтвердить — ничего не происходит. Действие менеджера хранилища просто не выполняется.
Это правильный стандарт по умолчанию. Неопределённость должна останавливать выполнение, а не разблокировать его.
Но ни одна система безопасности не может исходить из того, что всё будет оставаться в сети вечно. Если сбой длится достаточно долго и хранилищу действительно нужна помощь, что тогда происходит?
Ньютон не даёт владельцу мгновенного отменяющего решения.
Вместо этого он вводит аварийный обход, который должен ждать, прежде чем его можно будет выполнить. Согласно документации, SDK по умолчанию устанавливает задержку в одну неделю и отказывается опускаться ниже одного дня. Каждый шаг виден onchain благодаря событиям, которые эмитируются.
Этот выбор дизайна многое говорит.
Обход существует потому, что постоянные блокировки могут быть не менее опасными, чем несанкционированный доступ. При этом Ньютон не делает аварийные полномочия невидимыми или немедленными.
Тем не менее, обход меняет модель безопасности.
Обычно привилегированные действия зависят от одобрений оператора, проверки политики и подтверждённых аттестаций. Во время аварийного обхода эти проверки уже не являются тем, что в итоге определяет выполнение. Защита смещается в сторону полномочий владельца, периода ожидания и публичной видимости.
Это не одинаковые гарантии.
Таймлок замедляет злоупотребления, но не может объяснить, почему был срабатывован обход. Наблюдатели могут видеть, что это произошло, но им всё равно приходится доверять тому, что использование аварийного маршрута было оправдано.
Это оставляет интересный вопрос.
Является ли отложенный обход просто практичным механизмом восстановления при редких сбоях, или же он становится реальным предположением о доверии всякий раз, когда стандартный процесс авторизации недоступен?
Для меня это более важное обсуждение, чем то, существует ли вообще аварийный выход.
