TL;DR: Ambire cho biết ví phần cứng Ice của họ sẽ giải mã các giao dịch Safe và cảnh báo các thay đổi về quyền kiểm soát tài khoản. Thiết kế này nhắm vào các quyết định mà người ký thực hiện trước khi ủy quyền hành động.
Ví phần cứng Ice mới của Ambire thu hút sự chú ý đến một câu hỏi bảo mật mà một khóa riêng mạnh không thể tự mình trả lời: liệu người ký có hiểu rằng giao dịch này sẽ thay đổi quyền kiểm soát tài khoản không?
Việc giới thiệu vào ngày 30 tháng Mười của công ty mô tả một thiết bị được xây dựng xung quanh các tài khoản Safe, với khả năng giải mã giao dịch và cảnh báo về các thay đổi cấu hình nhạy cảm. Ý nghĩa của nó vượt xa việc hiển thị người nhận của một khoản thanh toán thông thường.
Màn hình được đề xuất bao gồm các thay đổi về quyền hạn
Trong thông báo sản phẩm của mình, Ambire cho biết Ice có thể hiển thị các hành động riêng lẻ của Safe, bao gồm các khoản chuyển, phê duyệt token và các lô giao dịch. Nó cũng mô tả các cảnh báo về thay đổi chủ sở hữu, ngưỡng chữ ký và các module.
Nhà sản xuất cho biết phần cứng và phần mềm firmware là mã nguồn mở, đồng thời liệt kê các chế độ ký qua USB, Bluetooth và QR. Đây là các tuyên bố sản phẩm, không phải là kết luận độc lập rằng mọi giao dịch có thể đều được diễn giải chính xác hoặc thiết bị hoàn chỉnh đã vượt qua một đánh giá bảo mật cụ thể.
Sự khác biệt này quan trọng vì một mô tả dễ đọc sẽ trở thành một phần của quy trình phê duyệt. Nếu mô tả bỏ qua một hành động quan trọng, người dùng có thể đưa ra quyết định thông thái về điều sai lầm. Do đó, chất lượng giải mã cần được đánh giá dựa trên hành vi giao dịch thực tế.
Một ngưỡng kiểm soát số lượng sự đồng thuận cần thiết
Tài liệu smart-account của Safe mô tả các chủ sở hữu và ngưỡng: số lượng xác nhận tối thiểu từ chủ sở hữu cần thiết để thực thi. Các chủ sở hữu có thể thay đổi các cài đặt này thông qua quy trình ủy quyền của tài khoản.
Hãy xem xét một quỹ giả định có năm chủ sở hữu và yêu cầu ba sự đồng thuận. Việc đề xuất giảm xuống còn một sự đồng thuận sẽ thay đổi mức độ bảo vệ tương lai của tài khoản, ngay cả khi giao dịch không chuyển bất kỳ token nào ngay lập tức. Tương tự, việc thêm một chủ sở hữu có thể chuyển giao ảnh hưởng đến các quyết định sau này mà không trông giống như một khoản thanh toán.
Điều này giải thích tại sao các thay đổi cấu hình cần được trình bày một cách riêng biệt. Một đánh giá tập trung vào số dư có thể bỏ qua ý nghĩa của một giao dịch không làm thay đổi số dư. Người ký cần hiểu cả tác động ngay lập tức của nó lẫn quyền hạn mà nó tạo ra cho các hành động tiếp theo.
Các mô-đun giới thiệu một con đường khác để hoạt động tài khoản
Tài liệu module documentation của Safe giải thích rằng các phần mở rộng có thể thêm tự động hóa hoặc logic giao dịch tùy chỉnh cùng với cơ chế đa chữ ký chính. Nó cũng cảnh báo rằng một module độc hại có thể chiếm quyền kiểm soát Safe vì các module có thể thực hiện các giao dịch tùy ý.
Điều đó khiến việc phê duyệt mô-đun trở thành một quyết định có tính chất thực chất về hành vi trong tương lai. Một cuộc đánh giá hữu ích sẽ đặt câu hỏi về những gì phần mở rộng có thể làm, trong điều kiện nào nó có thể hành động và làm thế nào để thu hồi quyền hạn của nó. Việc chỉ đơn giản công nhận tên của nó là không đủ để trả lời những câu hỏi đó.
Cảnh báo thiết bị có thể làm cho quyết định trở nên rõ ràng hơn, nhưng nó không thể bù đắp cho chính sách còn thiếu của tổ chức. Nhóm vẫn cần một lý do để kích hoạt tính năng này và hiểu rõ ai sẽ giám sát nó. Thiết bị phần cứng và quy trình vận hành giải quyết các khía cạnh khác nhau của cùng một quy trình phê duyệt.
Bài đánh giá độc lập nên kiểm tra các trường hợp khó khăn
Đối với một thiết bị tập trung vào việc diễn giải giao dịch, đánh giá hữu ích sẽ bao gồm các lệnh không quen thuộc, các lô lồng nhau và các thay đổi tài khoản không mong đợi. Hành vi quan trọng là cách người ký được thông báo khi thiết bị không thể mô tả chính xác một hành động. Một dấu hiệu rõ ràng về sự không chắc chắn sẽ hữu ích hơn một nhãn mang tính an ủi nhưng không đầy đủ.
Các đội cũng cần đánh giá các biện pháp phục hồi và quy trình cập nhật phần mềm thực hiện việc giải mã. Một bản triển khai ban đầu vững chắc có thể trở nên ít hữu ích hơn nếu các ứng dụng phát triển và các quy tắc diễn giải của nó không theo kịp.
Thông báo của Ambire xác định một hướng thiết kế hơn là bằng chứng cho thấy những câu hỏi này đã được giải quyết. Tập trung vào việc kiểm soát tài khoản của nó tuy nhiên vẫn có liên quan: bảo vệ kho bạc đòi hỏi phải bảo vệ các khóa và làm cho những hệ quả của việc sử dụng chúng trở nên dễ hiểu. Màn hình phần cứng có vị trí trong quy trình này khi nó giúp con người nhận diện được quyền hạn mà họ sắp cấp.
Được viết bởi Ban Biên tập Tin tức và biên tập bởi Samuel Rae.