#GateLaunchesPoSECProofOfSecurity

PoSEC không hỏi “bạn có dự trữ không?” Nó đặt ra câu hỏi khó hơn: “nếu ví nóng của bạn bị tấn công, riêng kho lạnh có thể vẫn đủ để chi trả những gì bạn nợ không?”

Đó chính là mục đích của sự thay đổi này. Hầu hết các đợt kiểm tra dự trữ đều cho thấy tổng tài sản. PoSEC kiểm tra tài sản được lưu trữ ở đâu và điều gì xảy ra trong tình huống xấu nhất.

Ngày 5 tháng 11, một khuôn khổ bảo mật mới có tên Bằng chứng bảo mật (PoSEC) được ra mắt. Ảnh chụp đầu tiên được thực hiện lúc 00:00 UTC ngày 4 tháng 11. Kết quả cho thấy tỷ lệ bao phủ bằng kho lạnh là 104,58%.

Hãy đọc chậm con số đó, vì nó không giống với tỷ lệ dự trữ thông thường.

PoSEC thực sự đo lường điều gì

PoSEC đưa ra một chỉ số cốt lõi: tỷ lệ bao phủ bằng kho lạnh.

Mức bao phủ bằng kho lạnh = tài sản trong kho lạnh / tổng tài sản của người dùng.

Kho lạnh là tài sản được lưu trữ ngoại tuyến, tách khỏi các hệ thống kết nối internet. Ví nóng là tài sản được lưu trữ trực tuyến để phục vụ giao dịch hằng ngày, rút tiền và thanh toán nhanh.

Trong ảnh chụp ngày 4 tháng 11:
• Kho lạnh: 88,26% tổng tài sản
• Ví nóng: 11,74% tổng tài sản
• Mức bao phủ bằng kho lạnh: 104,58%
104,58% nghĩa là riêng kho lạnh đã đủ bao phủ hơn 100% nghĩa vụ với người dùng. Ngay cả khi mọi ví nóng bị xóa sạch trong một vụ xâm nhập, riêng kho lạnh vẫn đủ để bao phủ tài sản của người dùng, đồng thời còn lại một khoản đệm nhỏ.

Điều đó khác với việc nói “tổng dự trữ là 118,49%”. Tính đến ngày 18 tháng 10, tổng dự trữ vào khoảng 8,688 tỷ USD, với tỷ lệ dự trữ tổng thể là 118,49%. Tổng dự trữ bao gồm cả kho lạnh và ví nóng. PoSEC loại phần ví nóng ra và đặt câu hỏi: riêng phần kho lạnh có đủ không?

Với người dùng, đó là câu hỏi hữu ích hơn. Ví nóng là phần dễ bị tấn công nhất. Kho lạnh là phần được thiết kế để chống chịu trước các cuộc tấn công đó.

PoSEC KHÔNG đo lường điều gì

PoSEC kiểm tra kỹ về việc lưu trữ tài sản. Nhưng nó không đề cập đến những rủi ro khác. Giới hạn đó rất quan trọng.

PoSEC không chứng minh cách quản lý khóa. Không chứng minh ai có thể chuyển tài sản trong kho lạnh, cần bao nhiêu phê duyệt, hay mật khẩu và quyền truy cập được kiểm soát như thế nào. Không chứng minh các biện pháp kiểm soát nội bộ, quyền truy cập của nhân viên hay rủi ro từ nhà cung cấp. Không chứng minh một nền tảng có thể tiếp tục hoạt động trong khủng hoảng, mà chỉ cho thấy trên giấy tờ rằng tài sản trong kho lạnh có thể bao phủ số dư của người dùng.

Đây cũng là ảnh chụp tại một thời điểm, không phải dữ liệu trực tiếp. Ảnh chụp lúc 00:00 UTC ngày 4 tháng 11 cho bạn biết trạng thái tại thời điểm đó. Nó không cho biết trạng thái lúc 00:01 hay vào tuần sau. Giá trị của PoSEC phụ thuộc vào tần suất chụp lại và việc có kiểm toán độc lập xác minh hay không.

Ghi chú ra mắt đề cập đến một cuộc kiểm toán độc lập đối với các con số. Đây là phần cần theo dõi. Tỷ lệ do chính đơn vị báo cáo mà không có kiểm toán mới chỉ là một tuyên bố. Tỷ lệ được kiểm tra độc lập gần đây là bằng chứng.

Cách đọc con số 104,58%

Đừng hiểu con số này là “an toàn mãi mãi”. Hãy xem xét riêng ba điểm:
1. Trên 100% là ngưỡng đạt. Dưới 100% nghĩa là riêng kho lạnh không đủ. Mức 104,58% vượt ngưỡng, nhưng khoản đệm khá mỏng: cao hơn mức bao phủ đầy đủ 4,58 điểm phần trăm. Đây là mức đạt, không phải pháo đài.
2. Tỷ trọng cũng quan trọng không kém tỷ lệ. Kho lạnh 88,26% / Ví nóng 11,74% nghĩa là phần lớn tài sản đang ngoại tuyến. Nếu tỷ trọng ví nóng là 30% hoặc 40%, sẽ khó duy trì mức 104,58% hơn, vì nhiều tài sản sẽ nằm trong lớp dễ bị tấn công.
3. Xu hướng quan trọng hơn một lần công bố. Một ảnh chụp ở mức 104,58% là điểm khởi đầu. Hai, ba, bốn ảnh chụp liên tiếp đều trên 100% sẽ cho thấy tính kỷ luật. Một ảnh chụp dưới 100% sẽ cho thấy tình trạng căng thẳng, ngay cả khi tổng dự trữ vẫn có vẻ ổn.
Kế hoạch kiểm tra PoSEC của tôi, theo từng giai đoạn

Tôi không đánh giá một khuôn khổ bảo mật vào ngày ra mắt. Tôi đánh giá qua việc duy trì nó.

Kiểm tra đầu tiên ngay bây giờ: Ảnh chụp đầu tiên có rõ ràng không? Có. Ngày, giờ, tỷ trọng kho lạnh, tỷ trọng ví nóng và tỷ lệ bao phủ đều được nêu. Sự rõ ràng đó là một điểm cộng.

Kiểm tra thứ hai ở ảnh chụp tiếp theo: Mức bao phủ có tiếp tục trên 100% không? Tỷ trọng kho lạnh có duy trì quanh mức 88% trở lên không? Nếu tỷ trọng kho lạnh giảm trong khi tổng dự trữ vẫn cao, điều đó có nghĩa là nhiều tài sản đang chuyển sang ví nóng. Đây là dấu hiệu cảnh báo vàng.

Kiểm tra thứ ba kiểm toán và tần suất: Mỗi ảnh chụp có được kiểm toán độc lập xác minh không? Việc công bố có đều đặn không, hay im bặt sau ngày ra mắt? Một khuôn khổ im bặt sau ngày ra mắt chỉ là chiêu tiếp thị. Một khuôn khổ tiếp tục công bố là một quy trình.

Điều gì sẽ giúp tôi tin tưởng hơn:
• Mức bao phủ duy trì trên 100% qua nhiều ảnh chụp;
• Tỷ trọng kho lạnh duy trì ở mức cao, tỷ trọng ví nóng duy trì ở mức thấp;
• Ghi chú kiểm toán luôn mới và cụ thể, không mơ hồ.
Điều gì sẽ khiến tôi bớt tin tưởng:
• Mức bao phủ giảm xuống dưới 100%, dù chỉ một lần;
• Tỷ trọng ví nóng tăng nhanh mà không có lý do rõ ràng;
• Ngừng công bố ảnh chụp hoặc nội dung kiểm toán trở nên mơ hồ.
PoSEC không hứa rằng sẽ không bao giờ xảy ra vụ tấn công nào. Nó cam kết rằng nếu lớp ví nóng bị tấn công, riêng lớp kho lạnh vẫn có thể bao phủ tài sản của người dùng. Ở mức 104,58% vào ngày 4 tháng 11, cam kết đó đã được đáp ứng. Những ảnh chụp tiếp theo sẽ cho thấy liệu điều đó có tiếp tục được duy trì hay không.

#WCTCS9
#ShareWeekly