ConsensoO stake bizantino mantém-se abaixo de um terço
Abaixo do limiar, nenhuma minoria consegue reter um lote nem confirmar um segundo ordenamento. Acima, o argumento de segurança para.
PreçoUm quórum certifica a observação, não a sua exatidão
O travão e a diversidade de fontes limitam o quanto uma só move o resultado. Nenhum deles cria informação que o mercado não tinha.
GovernaçãoReconfiguração nas fronteiras de época
Limitada ao conjunto de validadores, aos parâmetros de consenso e de risco, e a ações de emergência. Quem detém essa autoridade ainda não foi publicado.
PonteContratos de garantia e um canal de mensagens atestado pelos validadores
Os limites de levantamento contêm o raio do impacto. Reorganizações profundas da cadeia de origem e chaves de assinatura comprometidas não.
SoftwareUma única auditoria externa no âmbito; o resto sob controlo interno
A reexecução prova que os nós concordam entre si. Não prova que a especificação foi implementada duas vezes de forma independente e que concordam.
O que ainda tem de assumir
O que o limita
A verificação limita o que tem de ser assumido. Não esvazia esta lista, e nenhum protocolo a esvazia.
Consenso
O pressuposto: o stake bizantino mantém-se abaixo de um terço do total. O IntentionBFT tolera um adversário que controle até um terço do stake. O stake honesto está por isso sempre acima de dois terços, e o quórum para o que quer que seja é um conjunto de validadores cujo stake combinado excede dois terços. Abaixo desse limiar a segurança vale incondicionalmente; a liveness vale depois de a rede estabilizar. O que o limite lhe dá. Duas coisas concretas, não uma sensação geral de segurança. Os lotes de transações têm de provar disponibilidade ponderada a dois terços do stake antes de uma proposta os poder referenciar, pelo que um bloco nunca pode depender de dados que uma minoria bizantina detinha sozinha. E o ordenamento é um objeto confirmado pelo consenso e coberto pelo hash do bloco, por isso nenhum validador honesto terá assinado um segundo ordenamento das mesmas transações na mesma ronda. O que não lhe dá. Acima do limiar o argumento não degrada com elegância: para. E abaixo dele fica uma superfície aberta: um líder escolhe que lotes disponíveis inclui na sua própria proposta e como os dispõe. A página do consenso nomeia-a como superfície residual, mitigada pela reputação dos líderes e pelo facto de um líder não conseguir produzir bloco nenhum sem observações de preço válidas. Construções de ordenamento justo mais fortes são seguidas como possível atualização, não como algo já entregue.Preço
O pressuposto: um quórum certifica que estas observações foram submetidas nesta ronda. Não certifica que estavam certas. A distinção é tudo. A página do oráculo enuncia a garantia com precisão: uma operação foi liquidada contra um preço que um quórum de validadores certificou na ronda que confirmou essa operação, e nenhum caminho de execução poderia ter lido outro. Ligar preço a transação é uma propriedade real e não é a mesma que o preço estar certo. O que o limita. A agregação trava o quanto uma única fonte pode mover o resultado, e um requisito de diversidade de locais faz com que as observações de um instrumento venham de mais do que uma fonte independente. O preço de marcação é derivado do índice de forma suavizada e contida, pelo que uma deslocação breve não cascateia diretamente em liquidações. O que não limita. Um movimento coordenado em vários dos locais subjacentes, ou uma deslocação de todo o mercado. Ponderação e travões não fabricam informação que o mercado não tinha. O preço é a entrada externa mais consequente do sistema, e aqui a resistência à manipulação é uma questão de grau.Governação
O pressuposto: existe uma autoridade de reconfiguração e, nas fronteiras de época, ela pode alterar aquilo de que depende. Dentro de uma época o conjunto de validadores e a maioria dos parâmetros são constantes. Numa fronteira de época, uma reconfiguração autorizada pela governação pode alterar o conjunto de validadores, os parâmetros de consenso e os de risco, e pode tomar medidas de emergência. As transições são atómicas — todos os validadores honestos veem a mesma transição à mesma altura de bloco — mas a atomicidade diz respeito a como a alteração assenta, não a um limite sobre o que pode mudar. O alcance é real e merece ser dito com clareza. A listagem de um mercado, a configuração de comissões, os escalões de alavancagem e os parâmetros de risco são todos instruções de configuração de sistema autorizadas pela governação, e os escalões de margem que determinam o seu preço de liquidação movem-se dentro de limites fixados pela governação.Ponte
O pressuposto: os contratos de garantia nas cadeias externas e o canal de mensagens atestado pelos validadores entre elas e esta aguentam ambos. O colateral entra pela ponte. Os contratos na cadeia de origem detêm os ativos em garantia; uma exploração bem-sucedida desses contratos, ou do canal de atestação, resulta na perda do colateral transferido. É estruturalmente o componente mais exposto do sistema, porque é o único cuja segurança depende de software que o protocolo não executa. O que a limita. Os levantamentos têm limite de taxa, o que contém o raio de impacto de uma exploração descoberta, não de uma que não o é. A ponte é a área de prioridade máxima para revisão interna e está no âmbito do bug bounty. O que o limite de taxa não contém. Reorganizações da cadeia de origem mais profundas do que a profundidade de confirmação configurada, o comprometimento de chaves de assinatura de validadores e defeitos na própria lógica de atestação.Software
O pressuposto: a especificação está implementada corretamente e a especificação está certa. A verificação estabelece que o estado que lhe é servido foi produzido pelas regras publicadas sobre entradas confirmadas. Não pode estabelecer que essas regras estejam livres de defeitos — reproduzir um bug exatamente continua a ser reproduzi-lo. É para isso que existem as auditorias e o bug bounty, e a página das auditorias diz explicitamente que está atualmente no âmbito uma única auditoria externa, enquanto o kernel, o consenso e a câmara de compensação são cobertos por controlos internos e não por revisão externa. Uma consequência merece ser nomeada, porque é fácil exagerá-la. O determinismo ao byte só se torna uma verificação cruzada quando existe mais do que uma implementação. Até um segundo cliente independente correr em produção, reexecutar um bloco confirma que os nós concordam entre si, não que a especificação foi implementada duas vezes, de forma independente, e que concordaram.Onde isto o deixa
O resumo honesto não é que a confiança tenha sido removida. É que foi deslocada: de sítios onde é preciso acreditar na palavra de alguém — os números de margem de um operador, o timing de um comité de risco, um relatório montado ao lado do sistema — para sítios onde o pressuposto pode ao menos ser nomeado, limitado e vigiado. A lista acima é o que resta. Encurta à medida que os clientes se diversificam, as auditorias se completam e a governação é documentada; não chega a zero, e um local que lhe diga o contrário está a falar-lhe da sua documentação e não da sua arquitetura.Para onde ir a seguir
Verifique você mesmo
As cinco verificações que encurtam esta lista.
IntentionBFT
O limiar de falhas, os quóruns e o que um líder ainda pode escolher.
Oráculo
O que a certificação garante, dito com precisão.
Riscos
O mesmo terreno do lado do trader e não do arquiteto.