🥇건축 정신 분열증 Facebook 천칭 자리

2년 만에 하스켈과 수학에 대한 평소 지루한 강의와는 다른 포스팅을 위해 블로그를 다시 찾았습니다. 저는 지난 몇 년간 EU에서 핀테크 관련 업무를 진행해왔는데, 기술 매체에서 거의 주목을 받지 못했던 주제에 대해 글을 쓸 때가 된 것 같습니다.

페이스북은 최근 리브라(Libra)라는 “새로운 금융 서비스 플랫폼”을 출시했습니다. 이는 “블록체인”에서 관리되고 스위스에서 관리되는 머니 풀에 저장되는 국제 통화 바구니를 기반으로 하는 디지털 결제 시스템으로 자리매김합니다. 이 프로젝트의 목표는 야심적이며 대규모 지정학적 결과를 수반합니다.

В 파이낸셜 타임즈 и 뉴욕 타임스 제안된 금융 시스템 뒤에 숨은 불건전한 금전적, 경제적 가정에 관한 많은 합리적인 기사. 그러나 기술적 관점에서 분석할 수 있는 전문가가 충분하지 않습니다. 금융 인프라에 종사하고 자신의 업무에 대해 공개적으로 이야기하는 사람이 많지 않기 때문에 이 프로젝트의 내부는 전 세계에 공개되어 있지만 기술 매체에서 많이 다루어지지는 않습니다. 저장소의 오픈 소스를 의미합니다. 천칭 и 칼리브라 조직.

세상에 공개된 것은 글로벌 결제 인프라를 위한 안전한 플랫폼이라고 주장하는 구조적으로 정신분열적인 인공물입니다.

코드 베이스를 자세히 살펴보면 시스템의 실제 구현은 명시된 목표와 가장 기괴한 방식으로 완전히 다릅니다. 나는 이 프로젝트가 흥미로운 기업 역사를 가지고 있다고 확신합니다. 따라서 어느 정도 부지런히 설계했다고 가정하는 것이 논리적이지만 실제로는 전체 시스템을 손상시키고 사용자를 위험에 빠뜨리는 정말 이상한 아키텍처 결정 집합을 봅니다.

나는 기업으로서 페이스북에 대해 객관적인 의견을 갖고 있는 척하지 않을 것입니다. IT 업계에서 그녀를 동정적으로 바라보는 사람은 거의 없다. 그러나 그 진술과 공개된 코드를 비교해 보면 명시된 목적이 근본적으로 기만적이라는 것이 분명하게 드러납니다. 간단히 말해서, 이 프로젝트는 누구에게도 권한을 부여하지 않습니다. 그는 광고 사업이 스캔들과 부패에 너무 빠져서 생존을 위해 결제와 신용 점수를 다양화하려고 노력하는 것 외에는 선택의 여지가 없는 회사의 통제하에 전적으로 남게 될 것입니다. 분명한 장기 목표는 개인 소셜 미디어 데이터를 기반으로 소비자의 신용 접근에 있어 데이터 중개자 및 중개자 역할을 하는 것입니다. 이것은 마땅한 관심을 끌지 못하는 완전히 끔찍하고 어두운 이야기입니다.

이 이야기의 유일한 장점은 그들이 만든 유물이 당면한 작업에 너무 부적합하여 오만 행위로만 볼 수 있다는 것입니다. 이 프로젝트에는 몇 가지 주요 아키텍처 오류가 있습니다.

액세스 제어 네트워크의 비잔틴 장군 문제 해결은 일관성 없는 설계입니다.

비잔틴 장군의 문제는 분산 시스템 연구의 다소 좁은 영역입니다. 이는 시스템 작동에 중요한 수정 조치를 취하면서 임의의 구성 요소 오류를 견딜 수 있는 네트워크 시스템의 능력을 설명합니다. 탄력적인 네트워크는 재시작, 중단, 악의적인 로드, 리더십 선거에서의 악의적인 투표 등 여러 유형의 공격을 견뎌야 합니다. 이것이 Libra 아키텍처의 주요 결정이며 여기서는 전혀 의미가 없습니다.

이 추가 구조의 시간 복잡도 오버헤드는 알고리즘에 따라 다릅니다. 비잔틴 장군 문제를 해결하는 Paxos 및 Raft 프로토콜의 변형에 관한 많은 문헌이 있지만 이러한 모든 구조는 통신에 추가적인 오버헤드를 발생시킵니다. 정족수를 유지하기 위해. Libra의 경우 통신 비용이 가장 높은 알고리즘을 선택했습니다. 리더십이 실패한 경우. 그리고 여러 유형의 네트워크 장애 이벤트에서 리더를 재선할 가능성이 있어 추가 오버헤드가 발생합니다.

모든 사용자가 Facebook에서 서명한 코드를 갖고 있고 네트워크에 대한 액세스가 Facebook에 의해 제어되는 고도로 규제된 다국적 기업 컨소시엄 내에서 운영되는 시스템의 경우, 합의 수준에서 악의적인 행위자를 고려하는 것은 단순히 의미가 없습니다. 이 시스템이 왜 비잔틴 장군의 문제를 해결하고 규정 준수 여부를 확인하기 위한 일관된 감사 추적을 유지하는지 명확하지 않습니다. Mastercard 또는 Andressen Horrowitz가 운영하는 Libra 노드가 갑자기 악성 코드를 실행하기 시작할 가능성은 계획하기 어려운 시나리오이며 단순히 프로토콜 무결성과 비기술적(즉, 법적) 수단을 보장함으로써 더 잘 해결됩니다.

의회에 대한 증언에서는 이 제품이 WeChat, Alipay 및 M-Pesa와 같은 새로운 국제 결제 프로토콜의 경쟁자라고 청구했습니다. 그러나 이러한 시스템 중 어느 것도 비잔틴 장군 문제를 해결하기 위해 검증자 풀에서 실행되도록 설계되지 않았습니다. 이는 고정된 규칙 세트에 따라 배선을 수행하는 전통적인 고대역폭 버스에서 간단히 설계되었습니다. 이는 결제 시스템을 설계하는 자연스러운 접근 방식입니다. 잘 디자인된 결제 시스템은 이중 지출 및 포크 문제에 직면하지 않습니다.

합의 알고리즘의 오버헤드는 어떤 문제도 해결하지 않으며 이 사용 사례에 적합하지 않은 퍼블릭 블록체인의 화물 숭배 이외의 다른 이유 없이 시스템의 처리량을 제한할 뿐입니다.

Libra에는 거래 프라이버시가 없습니다

문서에 따르면 시스템은 다음을 고려하여 설계되었습니다. 가명즉, 프로토콜에 사용되는 주소는 타원 곡선의 공개 키에서 얻어지며 계정에 대한 메타데이터를 포함하지 않습니다. 그러나 조직의 거버넌스 구조에 대한 설명이나 프로토콜 자체에는 거래와 관련된 경제적 데이터가 검증자에게 어떻게 숨겨지는지 나타내지 않습니다. 이 시스템은 기존 유럽 및 미국 은행 비밀법에 따라 경제적 세부 사항을 알 수 없는 다양한 외부 당사자에게 대규모 거래를 복제하도록 설계되었습니다.

국가 간 데이터 정책을 조정하는 것은 어렵습니다. 특히 데이터 보호 및 개인 정보 보호에 대한 문화적 관점이 다르고 관할권마다 법률 및 규정이 다르기 때문에 더욱 그렇습니다. 프로토콜 자체는 기본적으로 컨소시엄 구성원에게 완전히 개방되어 있으며 이는 설계된 요구 사항을 충족하지 못하는 분명한 기술적 단점입니다.

Libra HotStuff BFT는 결제 시스템에 필요한 처리량을 달성할 수 없습니다.

영국에서는 BAC와 같은 청산 시스템이 월간 약 580건의 거래를 처리할 수 있습니다. 동시에 Visa와 같이 고도로 최적화된 시스템은 하루에 000억 000천만 건의 거래를 처리할 수 있습니다. 성능은 트랜잭션 크기, 네트워크 라우팅, 시스템 로드 등에 따라 달라집니다. AML 검사 (자금세탁 방지, 자금세탁 계획).

Libra는 국가가 지난 10년 동안 청산 인프라를 현대화함에 따라 실제로 국내 송금에 문제가 되지 않는 문제를 해결하려고 노력하고 있습니다. 유럽연합의 소매 소비자들에게 돈을 옮기는 것은 전혀 문제가 되지 않습니다. 기존 인프라에서는 표준 스마트폰을 사용하여 몇 초 만에 이 작업을 수행할 수 있습니다. 대기업 이체의 경우 대규모 자금 이체와 관련된 다양한 메커니즘과 규칙이 있습니다.

해외 결제도 즉시 처리할 수 없는 기술적인 이유는 관련 관할권 간의 규칙 및 요구 사항이 다르기 때문입니다. 거래 체인의 여러 단계에서 필요한 예방 조치(고객 실사, 제재 확인 등)가 여러 번 수행되는 경우 거래가 지연될 수 있습니다. 그러나 이러한 지연은 기술이 아닌 순전히 규제 법률 및 규정 준수의 기능입니다.

소비자의 경우 영국 거래가 몇 초 안에 완료되지 않을 이유가 없습니다. EU의 소매 거래는 실제로 둔화되고 있습니다. KYC 확인 (Know Your Customer) 및 정부 및 규제 기관이 부과하는 AML 제한 사항은 Libra 결제에도 동일하게 적용됩니다. Facebook이 국경 간 전송 및 개인 데이터 전송에 대한 장애물을 극복하더라도 제안된 모델은 글로벌 거래 처리량에서 수백 인년 떨어져 있으므로 처음부터 다시 설계해야 할 가능성이 높습니다.

Libra Move 언어가 잘못되었습니다.

백서는 Move라는 테스트되지 않은 새로운 언어에 대해 대담한 주장을 합니다. 이러한 진술은 프로그래밍 언어 이론(PLT)의 관점에서 볼 때 상당히 모호합니다.

Move는 Libra 블록체인에서 맞춤형 트랜잭션 로직과 스마트 계약을 구현하기 위한 새로운 프로그래밍 언어입니다. Libra는 언젠가 수십억 명의 사람들에게 서비스를 제공하는 것을 목표로 하기 때문에 Move는 보안을 최우선으로 설계되었습니다.

Move의 주요 기능은 선형 논리에서 영감을 받은 의미론으로 임의의 리소스 유형을 정의하는 기능입니다.

퍼블릭 블록체인에서 스마트 계약은 에스크로 계정, 자금 세탁, OTC 토큰 발행 및 도박이 포함된 퍼블릭 네트워크의 논리에 직면합니다. 이 모든 작업은 학문적 관점에서 볼 때 PHP 작성자를 천재처럼 보이게 만드는 Solidity라는 놀라울 정도로 잘못 설계된 언어로 수행됩니다. 이상하게도 Facebook의 새로운 언어는 실제로 모호한 기업 목적을 위해 고안된 스크립팅 언어이기 때문에 이러한 기술과 아무 관련이 없는 것 같습니다.

프라이빗 분산 원장에서 스마트 계약은 명확한 정의나 목적을 크게 고려하지 않고 컨설턴트가 사용하는 용어 중 하나입니다. 기업 소프트웨어 컨설턴트는 일반적으로 모호함을 통해 돈을 벌고, 스마트 계약은 말 그대로 무엇이든 정의할 수 있기 때문에 기업 모호주의의 신격화입니다.

보안에 대해 주장한 후에는 언어의 의미를 살펴볼 필요가 있습니다. 프로그래밍 언어 이론의 정확성은 일반적으로 언어 평가 규칙의 전체 공간의 일관성을 결정하는 "진행"과 "보존"이라는 두 가지 다른 증명으로 구성됩니다. 더 구체적으로, 유형 이론에서 함수는 인수를 정확히 한 번 사용하면 "선형"이고 최대 한 번 사용하면 "아핀"입니다. 선형 유형 시스템은 모든 함수 하위 표현식에 유형을 할당하고 호출이 이루어진 위치를 추적함으로써 선언된 선형 함수가 진정한 선형임을 정적으로 보장합니다. 이는 증명하기 어려운 속성이며 전체 프로그램에 구현하기가 쉽지 않습니다. 선형 유형 지정은 Clean의 유형 고유성과 Rust의 유형 소유권에 영향을 받는 매우 학문적인 연구 분야입니다. Glasgow Haskell 컴파일러에 선형 유형을 추가하기 위한 몇 가지 예비 제안이 있습니다.

선형 유형 사용에 대한 Move의 진술은 컴파일러에 대한 부당한 다이빙처럼 보입니다. 그러한 유형 검사 논리가 없습니다. 우리가 알 수 있는 한, 백서는 Girard와 Peirce의 표준 문헌을 인용하고 있으며 실제 구현에서는 유사한 것이 없습니다.

또한 보안이 보장된 언어의 형식적 의미는 구현이나 문서 어디에도 나타나지 않습니다. 언어는 Coq 또는 Isabelle에서 올바른 의미에 대한 완전한 증거를 찾을 수 있을 만큼 작습니다. 실제로 바이트코드로의 증명 전송 기능을 갖춘 종단 간 완전 변환 컴파일러는 지난 10년 동안 발명된 최신 도구를 사용하여 구현할 수 있습니다. 우리는 그것을 하는 방법을 알고 있습니다. 조지 네큘라(George Necula)와 피터 리(Peter Lee)의 작품 1996년에 다시.

프로그래밍 언어 이론 관점에서 Move가 신뢰할 수 있고 안전한 언어라는 주장을 테스트하는 것은 불가능합니다. 왜냐하면 이러한 주장은 실제 증거가 아닌 순수한 손짓과 마케팅에 해당하기 때문입니다. 이는 수십억 달러의 거래를 처리해야 하는 언어 프로젝트에 있어서 놀라운 상황입니다.

Libra 암호화에 결함이 있습니다

안전한 암호화 시스템을 구축하는 것은 매우 어려운 엔지니어링 문제이므로 건전한 편집증을 어느 정도 가지고 위험한 코드로 작업하는 것이 항상 가장 좋습니다. 검증 가능한 보안 솔루션을 구축하는 Microsoft Everest 프로젝트와 같이 이 분야에는 획기적인 발전이 있습니다. TLS 스택. 검증 가능한 기본 요소를 생성하기 위한 도구가 이미 존재합니다. 이는 비용이 많이 들지만 분명히 Facebook의 경제적 능력을 넘어서는 것은 아닙니다. 그러나 팀은 글로벌 금융 시스템의 안정적인 기반으로 알려진 프로젝트에 참여하지 않기로 결정했습니다.

천칭자리 프로젝트 의존하다 지난 몇 년 동안 등장한 실험적인 암호 시스템을 만들기 위한 상당히 새로운 여러 라이브러리에서 제공됩니다. 다음 도구에 대한 종속성이 안전한지 여부를 말하는 것은 불가능합니다. 이러한 라이브러리 중 어느 것도 감사되지 않았고 표준 공개 정책이 없기 때문입니다. 특히 일부 핵심 라이브러리의 경우 부채널 공격 및 타이밍 공격에 대한 보호가 확실하지 않습니다.

Libra 라이브러리는 더욱 실험적이고 그 이상을 제공합니다. 표준 모델, 검증 가능한 무작위 함수(VRF), 이중선형 쌍, 임계값 서명과 같은 매우 새로운 기술을 적용합니다. 이러한 방법과 라이브러리는 합리적일 수 있지만 모두 하나의 시스템으로 결합하면 공격 노출 영역에 대한 심각한 우려가 발생합니다. 이러한 모든 새로운 도구와 기술의 조합은 보안 입증의 복잡성을 크게 증가시킵니다.

이 전체 암호화 스택은 달리 입증될 때까지 다양한 공격에 취약하다고 가정해야 합니다. Facebook의 유명한 'Move Fast and Break Things' 모델은 고객 금융 데이터를 처리하는 암호화 도구에 적용할 수 없습니다.

Libra는 소비자 보호 메커니즘을 구현하지 않습니다.

결제 시스템의 특징은 소송으로 인해 결제가 취소되거나 우발적이거나 시스템 오류가 발생하는 경우 거래를 취소할 수 있는 기능입니다. Libra 시스템은 "완전"하도록 설계되었으며 결제 취소를 위한 거래 유형을 포함하지 않습니다. 영국에서는 £100에서 £30,000 사이의 모든 지불에는 소비자 신용법이 적용됩니다. 이는 구매한 제품에 문제가 발생하거나 결제 수취인이 서비스를 제공하지 않는 경우 결제 시스템이 판매자와 책임을 분담한다는 의미입니다. EU, 아시아 및 북미에도 유사한 규칙이 적용됩니다.

현재 Libra 디자인에는 이러한 법률을 준수하기 위한 프로토콜이 포함되어 있지 않으며 이를 만들기 위한 명확한 계획도 없습니다. 더욱 나쁜 것은 아키텍처 관점에서 볼 때 Merkle 드라이브의 상태를 기반으로 하는 커널의 인증된 데이터 구조의 최종성으로 인해 커널을 재설계하지 않고는 그러한 프로토콜을 생성할 수 있는 메커니즘이 허용되지 않습니다.

이 프로젝트에 대한 기술적 검토를 수행한 후, 우리는 이 프로젝트가 존경받는 분산 시스템 연구 또는 금융 공학 저널의 심사를 통과하지 못할 것이라는 결론을 내릴 수 있습니다. 글로벌 통화 정책을 바꾸려면 대중과 규제 기관이 신뢰할 수 있는 안정적인 네트워크와 안전한 사용자 데이터 처리를 구축하기 위해 엄청난 양의 기술 작업이 수행되어야 합니다.

저는 Facebook이 이러한 기술적 문제를 극복하기 위해 설계에 필요한 작업을 수행했거나 현재 인프라에 비해 기술적 이점이 있다고 믿을 이유가 없습니다. 기업이 혁신을 모색하기 위해 규제 유연성이 필요하다고 말하는 것은 이를 먼저 수행하지 않는다는 변명이 될 수 없습니다.

출처 : habr.com

건축 정신 분열증 Facebook Libra