Nút bị xâm nhập, điều rắc rối nhất thường không phải là việc ngừng hoạt động, mà là “chiếc chìa khóa” dùng để bỏ phiếu hằng ngày—có thể cũng cho phép rút số tiền đã thế chấp. Trước đây tôi vẫn xem đây là do máy chủ quản lý không tốt. Mãi đến khi lật được Dusk node wallet guide, ở phần Owner vs Consensus Keys, tôi mới đổi cách nghĩ.
Dusk cho phép đặt hai loại quyền hạn trên cùng một địa chỉ. consensus key chịu trách nhiệm bỏ phiếu và ký các khối, còn owner key mới quản lý việc hủy thế chấp và rút tiền; nếu không cấu hình owner riêng, thì consensus key sẽ đồng thời kiêm luôn. Tài liệu khuyên rằng, nếu muốn tách rủi ro của nút khỏi “đường thoát” tài chính, thì hãy đặt riêng một địa chỉ owner.
Trước đây tôi cho rằng thêm một chiếc chìa khóa chỉ là tăng thêm bước vận hành. Giờ tôi thấy nó thực chất là một sự thừa nhận: nút phải trực tuyến lâu dài, nhưng quyền kiểm soát tài sản không nhất thiết phải luôn nằm ngay cạnh máy đó.
Nói thẳng tình huống không quá phức tạp: quyền truy cập của máy chủ bị lộ, nhưng owner key không được lưu trên máy chủ. Kẻ tấn công có thể làm nhiễu hoạt động của nút, nhưng không thể rút trực tiếp số tiền đã thế chấp. Nếu hai loại quyền cứ mãi gắn liền với nhau, sự cố sẽ chuyển từ vấn đề vận hành thành vấn đề tài chính. Tất nhiên, việc bảo quản và bàn giao owner cũng sẽ tốn thêm một lớp công sức.
Vì vậy, tôi xem thiết kế này như một lần “cắt” rủi ro, chứ không phải một cam kết an toàn tuyệt đối. @Dusk muốn người vận hành nút phổ thông ít vấp bẫy hơn thì tốt nhất nên nói thẳng hơn về: “cùng địa chỉ” và “tách địa chỉ” sẽ dẫn tới những hệ quả gì cho từng trường hợp. $DUSK hệ sinh thái nút của Dusk muốn thật sự trưởng thành không chỉ là xem có bao nhiêu nút, mà còn phải xem người vận hành có nắm rõ chìa khóa nào có thể tác động đến việc rút/chi tiền hay không. #dusk