Архитектонска шизофренија Фејсбук Вага

После две године, вратио сам се на блог због поста који се разликује од уобичајених досадних предавања о Хаскелу и математици. Радим на финтецх-у у ЕУ последњих неколико година и чини се да је дошло време да пишем о теми која је добила мало пажње од стране технолошких медија.

Фацебоок је недавно објавио оно што назива „новом платформом за финансијске услуге“ под називом Либра. Позициониран је као дигитални систем поравнања заснован на корпи међународних валута којима се управља на „блокчејну“ и чува се у фонду новца којим се управља из Швајцарске. Циљеви пројекта су амбициозни и повлаче геополитичке последице великих размера.

В Финанциал Тимес и Њујорк тајмс Много разумних чланака о неисправним монетарним и економским претпоставкама иза предложеног финансијског система. Али нема довољно стручњака способних за анализу са техничке тачке гледишта. Мало људи ради на финансијској инфраструктури и јавно говори о свом раду, тако да овај пројекат нема много пажње у техничким медијима, иако је његова унутрашњост отворена за свет. Мислим на отворени код у репозиторијумима Вага и Цалибра Организатион.

Оно што је отворено свету је архитектонски шизофрени артефакт за који се тврди да је сигурна платформа за глобалну инфраструктуру плаћања.

Ако зароните у базу кода, стварна имплементација система потпуно одступа од наведеног циља, и то на најбизарније начине. Сигуран сам да овај пројекат има занимљиву корпоративну историју. Дакле, логично је претпоставити да је дизајниран са одређеном марљивошћу, али у стварности видим заиста чудан скуп архитектонских одлука које разбијају цео систем и доводе кориснике у опасност.

Нећу се претварати да имам објективно мишљење о Фејсбуку као компанији. Мало људи у ИТ индустрији гледа на њу са симпатијом. Али поређење његових изјава и објављеног кодекса јасно показује да је наведена сврха у основи варљива. Укратко, овај пројекат никога не оснажује. Остаће у потпуности под контролом компаније чији је рекламни посао толико заглибљен у скандале и корупцију да нема другог избора осим да покуша да диверзификује своја плаћања и кредитно оцењивање да би преживела. Јасан дугорочни циљ је да делујемо као посредник у подацима и посредник у приступу потрошача кредиту на основу њихових личних података друштвених медија. Ово је апсолутно ужасна и мрачна прича која не добија пажњу коју заслужује.

Једина спасоносна милост ове приче је то што је артефакт који су створили толико урнебесно неприкладан за задатак који се налази да се може посматрати само као чин охолости. Постоји неколико великих архитектонских грешака у овом пројекту:

Решавање проблема византијских генерала у мрежи контроле приступа је недоследан дизајн

Проблем византијских генерала је прилично уска област истраживања дистрибуираних система. Он описује способност мрежног система да издржи случајне кварове компоненти уз предузимање корективних радњи критичних за рад система. Отпорна мрежа мора да издржи неколико врста напада, укључујући поновно покретање, прекиде, злонамерна оптерећења и злонамерно гласање на изборима за лидере. Ово је главна одлука за архитектуру Либра и овде је потпуно бесмислена.

Временска сложеност ове додатне структуре зависи од алгоритма. Постоји много литературе о варијантама протокола Пакос и Рафт који решавају проблем византијских генерала, али све ове структуре уносе додатне трошкове за комуникацију преко за одржавање кворума. За Вагу су изабрали алгоритам са највећим могућим трошковима комуникације у случају неуспеха руководства. А ту су и додатни трошкови због потенцијалног поновног избора лидера у више врста догађаја грешака на мрежи.

За систем који функционише у оквиру конзорцијума високо регулисаних мултинационалних корпорација, где сви корисници имају шифру потписану од стране Фејсбука, а приступ мрежи контролише Фејсбук, једноставно нема смисла сматрати злонамерне учеснике на нивоу консензуса. Није јасно зашто би овај систем уопште решио проблем византијских генерала, уместо да једноставно одржава доследан ревизорски траг ради провере усклађености. Могућност да чвор Либра који води Мастерцард или Андрессен Хорровитз изненада почне да покреће злонамерни код је чудан сценарио за планирање и боље је решити једноставним обезбеђивањем интегритета протокола и нетехничким (тј. правним) средствима.

Сведочанство Конгресу је означило производ као конкурента новим међународним протоколима плаћања као што су ВеЦхат, Алипаи и М-Песа. Међутим, ниједан од ових система није дизајниран да ради на скуповима валидатора како би се решио проблем византијских генерала. Они су једноставно дизајнирани на традиционалној магистрали великог пропусног опсега која прави ожичење према фиксном скупу правила. Ово је природан приступ дизајнирању платног система. Добро дизајниран платни систем једноставно неће наићи на проблем двоструке потрошње и виљушки.

Прекомерни трошкови алгоритма консензуса не решавају ниједан проблем и само ограничавају пропусност система без икаквог другог разлога осим култа терета јавног блоцкцхаина, који није намењен за овај случај употребе.

Вага нема приватност трансакција

Према документацији, систем је пројектован узимајући у обзир псеудонимизам, односно адресе које се користе у протоколу се добијају из јавних кључева на елиптичним кривима и не садрже метаподатке о налозима. Међутим, нигде у опису структуре управљања за организацију или у самом протоколу не указује се како ће економски подаци укључени у трансакције бити скривени од валидатора. Систем је дизајниран да реплицира трансакције у великим размерама на низ спољних страна које, према постојећим европским и америчким законима о банкарској тајни, не би требало да буду упућене у економске детаље.

Политика података у различитим земљама је тешко координирати, посебно имајући у виду различите законе и прописе у различитим јурисдикцијама са различитим културним погледима на заштиту података и приватност. Сам протокол је подразумевано потпуно отворен за чланове конзорцијума, што је јасан технички недостатак који не испуњава услове за које је дизајниран.

Либра ХотСтуфф БФТ није у могућности да постигне пропусност потребну за систем плаћања

У Великој Британији, клириншки системи као што је БАЦ су у стању да обрађују око 580 трансакција месечно. У исто време, високо оптимизовани системи као што је Виса могу да обрађују 000 трансакција дневно. Перформансе варирају у зависности од величине трансакције, мрежног рутирања, оптерећења система и АМЛ провере (против прања новца, шеме за прање новца).

Либра покушава да реши проблеме који заправо и нису проблеми за домаће трансфере, пошто су националне државе модернизовали своју клириншку инфраструктуру током протекле деценије. За малопродајне потрошаче у Европској унији премештање новца уопште није проблем. На традиционалној инфраструктури, ово се може урадити са стандардним паметним телефоном за неколико секунди. За велике корпоративне трансфере, постоје различити механизми и правила повезани са премештањем великих количина новца.

Не постоји технички разлог зашто се прекогранична плаћања такође не могу обрадити одмах, осим разлика у правилима и захтевима између релевантних јурисдикција. Ако се неопходне превентивне мере (дуе дилигенце клијента, провере санкција, итд.) изводе више пута у различитим фазама ланца трансакције, то може довести до кашњења у трансакцији. Међутим, ово кашњење је искључиво функција регулаторног законодавства и усклађености, а не технологије.

За потрошаче, нема разлога зашто трансакција у УК не би била чиста за неколико секунди. Малопродајне трансакције у ЕУ заиста успоравају КИЦ провера (Кнов Иоур Цустомер) и ограничења против АМЛ-а које намећу владе и регулатори, а која се подједнако примењују и на Либра плаћања. Чак и ако би Фацебоок превазишао препреке за прекограничне преносе и приватне преносе података, предложени модел је стотинама људи-година удаљен од глобалног протока трансакција и вероватно би га требало редизајнирати од нуле.

Либра Мове језик је нетачан

Бела књига даје смеле тврдње о новом, непровереном језику који се зове Мове. Ове изјаве су прилично сумњиве са становишта теорије програмског језика (ПЛТ).

Мове је нови програмски језик за имплементацију прилагођене логике трансакција и паметних уговора на блок ланцу Либра. Пошто Вага има за циљ да једног дана служи милијардама људи, Мове је дизајниран са безбедношћу као главним приоритетом.

Кључна карактеристика Мове-а је могућност дефинисања произвољних типова ресурса са семантиком инспирисаном линеарном логиком.

У јавним блок-чејновима, паметни уговори се суочавају са логиком јавних мрежа са депозитним рачунима, прањем новца, издавањем ОТЦ токена и коцкањем. Све ово је урађено на запањујуће лоше дизајнираном језику који се зове Солидити, што са академске тачке гледишта чини да аутор ПХП-а изгледа као геније. Чудно је да нови језик са Фејсбука изгледа да нема никакве везе са овим технологијама, пошто је заправо скриптни језик намењен за нејасне пословне сврхе.

У приватним дистрибуираним књигама, паметни уговори су један од оних појмова којима се баве консултанти без много обзира на јасну дефиницију или сврху. Консултанти за корпоративни софтвер обично зарађују на двосмисленостима, а паметни уговори су апотеоза корпоративног мрачњаштва јер се могу дефинисати као буквално било шта.

Након тврдњи о његовој сигурности, морамо погледати семантику језика. Исправност у теорији програмског језика обично се састоји од два различита доказа: „напредак“ и „очување“, који одређују конзистентност читавог простора правила евалуације за језик. Тачније, у теорији типова, функција је "линеарна" ако користи свој аргумент тачно једном, и "афина" ако га користи највише једном. Систем линеарних типова пружа статичку гаранцију да је декларисана линеарна функција заиста линеарна тако што додељује типове свим подизразима функције и прати где се позивају. Ово је суптилно својство за доказивање и није га лако применити за цео програм. Линеарно куцање је и даље веома академско поље проучавања, под утицајем имплементације јединствености типа у Цлеан и власништво над типом у Русту. Постоје неки прелиминарни предлози за додавање линеарних типова у Гласгов Хаскелл Цомпилер.

Мовеова изјава о коришћењу линеарних типова изгледа као неоправдано урањање у компајлер, пошто постоји не постоји таква логика провере типа. Колико се може закључити, бела књига цитира канонску литературу Жирарда и Пирса, а у стварној примени нема ништа слично.

Поред тога, формална семантика наводно безбедног језика се нигде не појављује ни у имплементацији ни у документу. Језик је довољно мали да нађе потпуни доказ исправне семантике у Цок или Исабелле. У стварности, компајлер пуне конверзије са краја на крај са преносом доказа у бајт код је сасвим могуће имплементирати са савременим алатима измишљеним у последњој деценији. Знамо како то да урадимо, почевши од дела Џорџа Некуле и Питера Лија још 1996. године.

Из перспективе теорије програмског језика, немогуће је тестирати тврдњу да је Мове поуздан и сигуран језик, пошто ове тврдње представљају чисто махање рукама и маркетинг, а не стварне доказе. Ово је алармантна ситуација за језички пројекат од којег се тражи да обради милијарде долара трансакција.

Крипографија Вага је погрешна

Изградња безбедних криптосистема је веома тежак инжењерски проблем и увек је најбоље приступити раду са опасним кодом са добром дозом здраве параноје. Постоје велика открића у овој области, као што је пројекат Мицрософт Еверест, који гради проверљиву безбедну ТЛС стек. Алати већ постоје за креирање проверљивих примитива. Иако је ово скупо, очигледно није изван економских могућности Фацебоока. Међутим, тим је одлучио да не учествује у пројекту који је најављен као поуздана основа за глобални финансијски систем.

пројекат либра зависи из неколико прилично нових библиотека за креирање експерименталних криптосистема које су се појавиле тек у последњих неколико година. Немогуће је рећи да ли су зависности од следећих алата безбедне или не, пошто ниједна од ових библиотека није ревидирана и нема стандардне политике откривања. Конкретно, за неке основне библиотеке не постоји сигурност у погледу заштите од напада са стране канала и напада на време.

1. ед25519-далек
2. цурве25519-далек

Библиотека Либра постаје још експерименталнија и иде даље стандардни модел, применом веома нових техника као што су проверљиве случајне функције (ВРФ), билинеарни парови и потписи прага. Ове методе и библиотеке могу бити разумне, али њихово комбиновање у један систем изазива озбиљну забринутост око површине напада. Комбинација свих ових нових алата и техника у великој мери повећава сложеност доказивања безбедности.

Треба претпоставити да је цео овај криптографски стек рањив на разне нападе док се не докаже супротно. Чувени Фацебооков модел „Брзо помери и разбиј ствари“ не може се применити на криптографске алате који обрађују финансијске податке клијената.

Вага не успева да примени механизме заштите потрошача

Посебност платног система је могућност поништавања трансакције ако је плаћање поништено тужбом или доведе до случајног квара или квара система. Либра систем је дизајниран да буде "комплетан" и не укључује врсту трансакције за отказивање плаћања. У УК, сва плаћања између 100 и 30,000 фунти подлежу Закону о потрошачким кредитима. То значи да систем плаћања дели одговорност са продавцем у случају проблема са купљеним производом или ако прималац уплате не пружи услугу. Слична правила важе у ЕУ, Азији и Северној Америци.

Тренутни дизајн Ваге не укључује протокол за поштовање ових закона и нема јасан план за његово креирање. Што је још горе, из архитектонске перспективе, коначност аутентификоване структуре података језгра, заснована на стању Меркле драјва, не дозвољава било ком механизму да креира такав протокол без редизајнирања кернела.

Након техничког прегледа овог пројекта, можемо закључити да он једноставно неће проћи ни у једном угледном часопису за истраживање дистрибуираних система или финансијском инжењерингу. Да бисмо покушали да променимо глобалну монетарну политику, потребно је урадити огроман технички посао на стварању поуздане мреже и безбедне обраде корисничких података у које јавност и регулатори могу да верују.

Не видим разлог да верујем да је Фацебоок урадио неопходан посао у свом дизајну да би превазишао ове техничке проблеме или да има било какве техничке предности у односу на тренутну инфраструктуру. Рећи да је компанији потребна регулаторна флексибилност да би истражила иновације није изговор да их не уради прва.

Извор: ввв.хабр.цом