Newton Protocol: Bảo vệ phần “ở giữa”, không phải các “cạnh”
Sáng nay tôi để điện thoại ở bàn bếp mở khóa khoảng mười phút, trong lúc tôi xử lý việc khác, rồi khi quay lại thì tôi có một cú hoảng loạn mini thoáng qua—không phải vì có chuyện gì xảy ra, mà chỉ vì phản xạ kiểu: “Khoan, lỡ ai đó nhặt lên thì sao.” Không có gì xảy ra. Nhưng điều đó lại khiến tôi nghĩ về việc bảo mật thực sự tồn tại ở đâu trong một hệ thống, so với nơi người ta tưởng rằng nó tồn tại.
Ý nghĩ đó vẫn lởn vởn sau đó khi tôi ngồi xuống đọc lại tài liệu của Newton Protocol, lần này theo khung “tăng cường bảo mật thông qua tự động hóa có thể xác minh”. Và thay vì chỉ gật đầu tán thành, tôi lại tự đặt một câu hỏi cụ thể hơn—bảo mật trước cái gì, chính xác là cái gì, và bảo mật bắt đầu từ đâu. Vì vậy tôi đã đi đào sâu vào ranh giới thực sự mà lớp TEE và lớp ZK đang bảo vệ.
Đây là điều làm tôi “bừng ra”, và nó hơi đáng lo khi bạn nhìn thấy nó rõ ràng. Hệ thống xác minh bảo vệ cực kỳ tốt phần ở giữa của cả đường ống — nó chứng minh rằng hành động nào đó đã được thực thi khớp với các quy tắc đã được ký duyệt. Phần này khít khao, không phải bàn. Nhưng nó không chạm tới, một chút nào, khoảnh khắc ngay trước đó — cách mà phạm vi quyền được tạo ra và được ký lần đầu, và do ai. Nếu thiết bị hoặc khóa đã ký một phạm vi quyền bị xâm phạm, hoặc nếu ai đó có quyền chỉ cần viết một quyền về mặt kỹ thuật là hợp lệ nhưng quá rộng, thì toàn bộ hệ thống ở phía sau vẫn sẽ trung thành, theo cách tiền mật mã, chứng minh rằng hành động sai kết quả đã được “thực thi đúng.” Bởi vì nó đã được thực thi đúng. Được thực thi đúng theo chỉ dẫn mà đáng lẽ không ai nên đưa ra.
Tôi nghĩ mình đã mặc định như vậy—cũng giống như tôi cho rằng điện thoại của tôi về cơ bản là ổn miễn là không ai đang chủ động hack từ xa—rằng câu chuyện bảo mật ở đây bắt đầu từ đầu và bao phủ toàn bộ chuỗi từ đầu đến cuối. Không phải vậy. Nó chỉ bắt đầu khi một quyền đã tồn tại và được coi là hợp lệ. Mọi thứ trước đó — bước con người, bước ký, thiết bị giữ các khóa — nằm hoàn toàn ngoài phạm vi thứ được xác minh. Đây không phải là lời chê với phần kỹ thuật; phần kỹ thuật trong ranh giới của nó thì thực sự rất vững. Ý tôi là ranh giới đó hẹp hơn những gì cụm “bảo mật nhờ tự động hóa có thể xác minh” nghe có vẻ đang hứa hẹn.
Nhưng đây là phần thực sự làm tôi bận tâm. Lịch sử cho thấy, đa số các sự cố xâm phạm trong thế giới thực liên quan đến mật mã không phải đến từ việc phá vỡ mật mã, mà đến từ đúng lớp “ngược dòng” này — khóa bị lừa cài (phished keys), thiết bị bị xâm phạm, hoặc ai đó phê duyệt một thứ mà họ không nên phê duyệt vì bị ép hoặc bị nhầm lẫn. Nếu đó vẫn là nơi rủi ro thực sự tập trung, thì một hệ thống chứng minh được rằng mọi thứ sau khi quyền đã tồn tại là an toàn đang giải quyết một vấn đề thường không phải là thứ khiến người ta gặp rắc rối. Nó giống như việc lắp một cái khóa cực kỳ tốt cho một cánh cửa, trong khi các vụ đột nhập thực tế chủ yếu xảy ra qua một cái cửa sổ đang mở mà chẳng ai kiểm tra. Tôi không nói là cái khóa vô nghĩa, chỉ là tôi không nghĩ nó làm thay đổi xác suất nhiều như cách đặt vấn đề ngụ ý.
Còn có câu hỏi về thu hồi (revocation), thứ mà tôi không ngờ lại phải quan tâm, nhưng bây giờ thì không ngừng nghĩ tới — một khi một quyền đã “sống” và một tác nhân đang ở giữa chu kỳ, người dùng có thể thực sự kéo nó lại nhanh đến mức nào nếu thấy có điều gì đó không ổn. Tôi chưa chốt hẳn được câu trả lời; có thể chỉ là một lỗ hổng trong những gì tôi đã đọc cho tới nay, chứ không phải là một lỗ hổng ngay trong hệ thống.
Điều quan trọng nhất, tôi đoán, đối với bất kỳ ai coi kiểu tự động hóa đã được xác minh này là lý do để cẩn thận ít hơn với phần “ngược dòng” — vệ sinh thiết bị, ai có quyền ký, cách các quyền được rà soát trước khi được cấp. Toán học không thực sự thay đổi ở chỗ này chỉ vì mọi thứ phía sau đều kín đáo về mặt mật mã.
Dù sao thì điện thoại đã lại trong túi tôi rồi, không có chuyện gì xảy ra, hiển nhiên. Nhưng dù sao tôi vẫn kiểm tra lần nữa trước khi rời đi để khỏi để lung tung. Thói quen cũ thôi, đoán vậy, dù rủi ro thực sự có lẽ lại nằm ở chỗ khác hoàn toàn.