Tôi nghĩ mọi người nhìn thấy “đã được kiểm toán bảo mật” trên một dự án crypto rồi lập tức chuyển qua thứ khác.
Tôi thì không.
Với Dusk, phần đáng chú ý không phải là danh sách các đơn vị kiểm toán. Mà là những thứ mà họ thực sự phải tìm ra.
Dusk đã được rà soát trên PLONK, Piecrust, Phoenix, Kadcast, BLS, consensus, Rusk và các hợp đồng di trú của nó. Nhìn trên giấy tờ thì điều đó rất đáng yên tâm.
Nhưng rồi bạn nhớ lại cách các hệ thống này thường hỏng.
Không phải vì mật mã trong tiêu đề tự nhiên ngừng hoạt động.
Mà vì hai mảnh code hoàn toàn hợp lý lại đưa ra một giả định sai về nhau.
Dusk đã có các ví dụ đúng như vậy.
Một vấn đề trong PLONK từng mở khả năng tạo ra các bằng chứng giả do đầu vào công khai không được xử lý đúng trong bản ghi Fiat-Shamir. Nó đã được phát hiện và khắc phục.
Rồi AEGIS lại phát hiện được một thứ còn thú vị hơn.
39 phát hiện. 7 phát hiện được đánh dấu là nghiêm trọng.
Phần đáng sợ không nằm ở con số.
Mà nằm ở các vị trí: cô lập VM, giải tuần tự phía host, logic phí/hoàn phí của Phoenix, và chữ ký BLS.
Những cái tên đó nghe có vẻ nhàm chán cho đến khi bạn nhận ra mỗi cái đều nằm gần một ranh giới nơi giao thức phải tin vào một thành phần khác.
Đó là nơi tôi tập trung.
Vì một bằng chứng ZK có tính đúng đắn về mặt toán học thì không giúp được nhiều nếu VM xung quanh nó diễn giải trạng thái sai.
Một hệ chữ ký mạnh không cứu bạn khỏi một triển khai tệ.
Và một hợp đồng thông minh có thể được viết hoàn hảo trong khi môi trường cấp cho nó dữ liệu xấu.
Cũng chính vì vậy mà tôi quan tâm hơn đến những gì Dusk đã làm sau các phát hiện.
Họ không chỉ vá vài dòng code rồi coi như xong. Các bản sửa trở nên chặt chẽ hơn thông qua kiểm tra bổ sung, thêm các bài test hồi quy, các quy tắc giải mã vững hơn, ràng buộc phí/hoàn phí tốt hơn và những thay đổi xung quanh việc xác minh BLS.
Đó là phần mà phần lớn mọi người bỏ qua khi nói về kiểm toán.
Kiểm toán không phải là bằng chứng rằng sẽ không có gì hỏng.
Nó là bằng chứng về điều gì xảy ra khi ai đó cố đủ lâu và đủ mạnh để bẻ gãy hệ thống.
Và thành thật mà nói, đó là thứ đáng theo dõi hơn nhiều.
#dusk $DUSK @Dusk
Tôi thì không.
Với Dusk, phần đáng chú ý không phải là danh sách các đơn vị kiểm toán. Mà là những thứ mà họ thực sự phải tìm ra.
Dusk đã được rà soát trên PLONK, Piecrust, Phoenix, Kadcast, BLS, consensus, Rusk và các hợp đồng di trú của nó. Nhìn trên giấy tờ thì điều đó rất đáng yên tâm.
Nhưng rồi bạn nhớ lại cách các hệ thống này thường hỏng.
Không phải vì mật mã trong tiêu đề tự nhiên ngừng hoạt động.
Mà vì hai mảnh code hoàn toàn hợp lý lại đưa ra một giả định sai về nhau.
Dusk đã có các ví dụ đúng như vậy.
Một vấn đề trong PLONK từng mở khả năng tạo ra các bằng chứng giả do đầu vào công khai không được xử lý đúng trong bản ghi Fiat-Shamir. Nó đã được phát hiện và khắc phục.
Rồi AEGIS lại phát hiện được một thứ còn thú vị hơn.
39 phát hiện. 7 phát hiện được đánh dấu là nghiêm trọng.
Phần đáng sợ không nằm ở con số.
Mà nằm ở các vị trí: cô lập VM, giải tuần tự phía host, logic phí/hoàn phí của Phoenix, và chữ ký BLS.
Những cái tên đó nghe có vẻ nhàm chán cho đến khi bạn nhận ra mỗi cái đều nằm gần một ranh giới nơi giao thức phải tin vào một thành phần khác.
Đó là nơi tôi tập trung.
Vì một bằng chứng ZK có tính đúng đắn về mặt toán học thì không giúp được nhiều nếu VM xung quanh nó diễn giải trạng thái sai.
Một hệ chữ ký mạnh không cứu bạn khỏi một triển khai tệ.
Và một hợp đồng thông minh có thể được viết hoàn hảo trong khi môi trường cấp cho nó dữ liệu xấu.
Cũng chính vì vậy mà tôi quan tâm hơn đến những gì Dusk đã làm sau các phát hiện.
Họ không chỉ vá vài dòng code rồi coi như xong. Các bản sửa trở nên chặt chẽ hơn thông qua kiểm tra bổ sung, thêm các bài test hồi quy, các quy tắc giải mã vững hơn, ràng buộc phí/hoàn phí tốt hơn và những thay đổi xung quanh việc xác minh BLS.
Đó là phần mà phần lớn mọi người bỏ qua khi nói về kiểm toán.
Kiểm toán không phải là bằng chứng rằng sẽ không có gì hỏng.
Nó là bằng chứng về điều gì xảy ra khi ai đó cố đủ lâu và đủ mạnh để bẻ gãy hệ thống.
Và thành thật mà nói, đó là thứ đáng theo dõi hơn nhiều.
#dusk $DUSK @Dusk