TL;DR: Ambire стверджує, що її апаратний гаманець Ice буде розшифровувати транзакції Safe та позначати зміни у керуванні акаунтом. Дизайн спрямований на рішення, які підписуючі особи приймають перед авторизацією дії.
Новий апаратний гаманець Ice від Ambire звертає увагу на питання безпеки, якого не може вирішити саме сильний приватний ключ: чи розуміє людина, що підписує, як транзакція змінить контроль над акаунтом?
У представленні компанії від 30 жовтня описується пристрій, побудований навколо акаунтів Safe, з декодуванням транзакцій та попередженнями про чутливі зміни конфігурації. Його значення поширюється далі за відображення отримувача звичайної платіжної операції.
Запропонований екран охоплює зміни у повноваженнях
У своєму оголошенні про продукт Ambire стверджує, що Ice може відображати окремі дії Safe, зокрема перекази, схвалення токенів та пакети транзакцій. Також зазначаються попередження щодо змін власників, порогів підписів та модулів.
Виробник стверджує, що апаратне та програмне забезпечення є відкритим кодом, і наводить режими підпису через USB, Bluetooth та QR-код. Це твердження про продукт, а не незалежний висновок про те, що кожна можлива транзакція інтерпретується правильно або що повний пристрій пройшов певну оцінку безпеки.
Ця різниця має значення, бо зрозумілий опис стає частиною процесу схвалення. Якщо в описі не вказано важливу дію, користувачі можуть прийняти обґрунтоване рішення щодо неправильної речі. Якість декодування тому потрібно оцінювати згідно з реальним поведінковим шаблоном транзакцій.
Поріг визначає, скільки схвалень необхідно
Документація розумного акаунта Safe описує власників і поріг: мінімальну кількість підтверджень власників, необхідних для виконання. Власники можуть змінювати ці налаштування через процес авторизації акаунту.
Розгляньте гіпотетичний скарбницю з п’ятьма власниками та вимогою трьох схвалень. Пропоноване зменшення до одного схвалення змінює майбутнє захисту акаунту, навіть якщо транзакція негайно не пересуває жодних токенів. Аналогічно, додавання власника може передати вплив на майбутні рішення, не виглядаючи як платіж.
Це пояснює, чому зміни конфігурації варто подавати окремо. Огляд, зосереджений на балансі, може не помітити значущість транзакції, яка не змінює баланси. Підписант повинен розуміти як її негайний ефект, так і повноваження, які вона створює для подальших дій.
Модулі вводять ще один шлях до активності на акаунті
Документація модуля Safe пояснює, що розширення можуть додавати автоматизацію або власну логіку транзакцій разом із основним механізмом багатопідписовості. Також у ній попереджається, що зловмисний модуль може взяти під контроль Safe, оскільки модулі можуть виконувати довільні транзакції.
Це робить схвалення модуля суттєвим рішенням щодо майбутньої поведінки. Корисний огляд ставить питання: що може робити розширення, за яких умов воно може діяти та як можна скасувати його повноваження. Просте визнання його назви недостатнє, щоб відповісти на ці питання.
Попередження пристрою може зробити рішення більш помітним, але воно не може замінити відсутню політику організації. Команді все ще потрібна причина для включення цієї можливості та розуміння, хто буде за нею стежити. Апаратне забезпечення та операційні процедури стосуються різних аспектів одного й того ж процесу затвердження.
Незалежний огляд повинен тестувати складні випадки
Для пристрою, спрямованого на інтерпретацію транзакцій, корисною оцінкою будуть незнайомі виклики, вкладені пакети та неочікувані зміни акаунту. Важливою поведінкою є те, як підписант отримує інформацію, коли пристрій не може впевнено описати дію. Чітке вказівка на невпевненість корисніша, ніж втішна, але неповна мітка.
Командам також потрібно оцінити заходи з відновлення та процес оновлення програмного забезпечення, яке виконує декодування. Добре спочатку реалізована система може стати менш корисною, якщо застосунки розвиваються, а її правила інтерпретації відстають.
Оголошення Ambire визначає напрямок дизайну, а не доводить, що ці питання вирішені. Однак його зосередження на контролі акаунту є актуальним: захист скарбниці вимагає захисту ключів та зрозумілості наслідків їх використання. Екран апаратного пристрою виправдовує своє місце в цьому робочому процесі, коли він допомагає людям зрозуміти, які повноваження вони збираються надати.
Написано редакційною командою та відредаговано Самуелем Реєм.