Un système de paiement peut avoir des règles strictes et malgré tout échouer lorsque trop d'autorité est concentrée entre de mauvaises mains. En mars 2022, le réseau Ronin a subi une importante violation de sécurité qui a révélé les dangers d'une gestion inadéquate de l'autorité de signature. Les attaquants ont compromis cinq des neuf clés privées de validateurs du réseau et les ont utilisées pour autoriser des retraits frauduleux depuis le pont Ronin. Les actifs volés s'élevaient à 173 600 ETH et 25,5 millions de USDC. La partie intéressante est que les attaquants n'ont pas eu besoin de contourner le contrat intelligent du pont. Ils ont obtenu suffisamment de signatures valides pour satisfaire les exigences d'autorisation existantes. Quatre validateurs compromis appartenaient à Sky Mavis. Le cinquième était associé à Axie DAO, qui avait précédemment autorisé Sky Mavis à signer en son nom pendant une période de forte demande de transactions. Cette autorisation n'a pas été révoquée après la fin de l'accord. L'incident a montré que répartir l'autorité ne suffit pas. Les permissions sous-jacentes à cette autorité doivent également être gérées avec soin. Fermah Pay aborde la sécurité des opérateurs à travers plusieurs couches. Son implémentation Stellar inclut une gestion configurable des clés pour les opérateurs tiers. La conception documentée prévoit des rôles séparés, un arrangement administratif 2 sur 3, une réserve à froid et le support de AWS KMS, de modules de sécurité matériels et d'autres systèmes de stockage de clés via une interface de signature distante. Chaque composant traite une partie différente du problème de sécurité opérationnelle. Des rôles séparés aident à répartir les responsabilités au lieu de donner à chaque opérateur un accès illimité. La réserve à froid fournit une couche distincte pour les fonds qui ne doivent pas être exposés aux opérations courantes. Les systèmes externes de gestion des clés offrent aux opérateurs des options pour protéger leurs identifiants de signature en dehors de l'application elle-même. L'arrangement administratif 2 sur 3 est une autre mesure de sécurité importante. Cela signifie qu'une action administrative nécessitant ce seuil ne peut pas être approuvée par une seule des trois clés désignées. Deux approbations sont requises. Ce n'est pas le même mécanisme que celui utilisé par Ronin. Ronin exigeait cinq signatures sur neuf validateurs pour autoriser les retraits du pont. L'arrangement 2 sur 3 de Fermah Pay concerne le contrôle administratif de son système, et non la validation des paiements individuels. Cependant, les deux conceptions soulignent pourquoi l'autorité ne doit pas dépendre d'une seule identité ou du contrôle illimité d'une seule personne. Il y a une autre leçon dans l'incident Ronin : les permissions doivent avoir une date d'expiration. L'accord de signature Axie DAO avait initialement été mis en place pour gérer une augmentation de l'activité transactionnelle. Mais lorsque cet accord n'était plus nécessaire, l'autorisation est restée active. Cette permission négligée est ensuite devenue partie intégrante du chemin d'attaque. Pour les infrastructures gérant les fonds des clients, la gestion des accès ne peut pas s'arrêter à l'octroi de permissions. Les opérateurs doivent également examiner les accès existants, supprimer les autorisations inutiles et maintenir clairement séparées les responsabilités administratives. L'approche documentée de Fermah Pay rend la gestion des clés et l'approbation administrative des parties explicites de son infrastructure. Cela compte particulièrement alors que les systèmes de facturation servent de plus en plus des API, des agents IA et d'autres services automatisés. Lorsque les paiements se produisent en arrière-plan, les utilisateurs dépendent de plus que du contrat de paiement. Ils dépendent également des personnes, des logiciels et des identifiants qui gèrent le système. L'incident Ronin nous rappelle qu'une signature valide ne signifie pas automatiquement qu'une décision légitime a été prise. La sécurité doit protéger non seulement la manière dont l'argent se déplace, mais aussi qui a l'autorité pour le faire bouger. @fermah_xyz @7wealthh