Ambire Ice 在簽署螢幕上顯示安全擁有者變更和批准閾值

TL;DR: Ambire 表示其 Ice 硬體錢包將解碼 Safe 交易並標示帳戶控制的變更。該設計針對簽署者在授權行動前所做的決策。

Ambire 的新 Ice 硬體錢包引起了人們對一個安全問題的關注：強大的私鑰無法單獨回答的問題是：簽署者是否理解交易將如何改變帳戶的控制權？

該公司於 10 月 30 日介紹了一款圍繞 Safe 帳戶構建的設備，具備交易解碼和對敏感配置變更的警告。其重要性超越了顯示常規支付的收款人。

提議的螢幕涵蓋權限變更

在產品公告中，Ambire 表示 Ice 可以顯示個別 Safe 行動，包括轉帳、代幣批准和交易批次。它還描述了對擁有者、簽名閾值和模組變更的警告。

製造商表示硬體和韌體是開源的，並列出了 USB、藍牙和 QR 簽署模式。這些是產品聲明，而不是獨立發現每個可能的交易是否正確解釋或完整設備是否通過特定的安全評估。

這一區別很重要，因為可讀的描述成為批准過程的一部分。如果描述省略了重要的行動，使用者可能會對錯誤的事情做出明智的決定。因此，解碼的質量需要根據實際交易行為進行評估。

一個閾值控制所需的批准數量

Safe 的智能帳戶文檔描述了擁有者和閾值：執行所需的最少擁有者確認數量。擁有者可以通過帳戶的授權過程更改這些設置。

考慮一個假設的財庫，擁有五名擁有者，並要求三個批准。提議將批准數減少到一個將改變帳戶未來的保護，即使該交易立即不移動任何代幣。同樣，添加一名擁有者可以在不看起來像支付的情況下轉移對後續決策的影響。

這解釋了為什麼配置變更值得單獨呈現。專注於餘額的審查可能會錯過一個不改變餘額的交易的重要性。簽署者需要理解其直接影響及其對後續行動所創造的權限。

模組引入另一種帳戶活動的途徑

Safe 的模組文檔解釋了擴展可以在核心多簽機制旁邊添加自動化或自定義交易邏輯。它還警告說，惡意模組可以接管 Safe，因為模組可以執行任意交易。

這使得模組批准成為對未來行為的實質性決策。一個有用的審查會詢問擴展可以做什麼、在什麼條件下可以行動以及如何移除其權限。僅僅認識其名稱並不足以回答這些問題。

設備警告可以使決策更明顯，但它無法提供組織缺失的政策。團隊仍然需要有理由啟用該功能，並了解誰將監控它。硬體和操作程序解決了同一批准過程的不同部分。

獨立審查應測試困難案例

對於一個以交易解釋為中心的設備，有用的評估應包括不熟悉的調用、嵌套批次和意外的帳戶變更。重要的行為是當設備無法自信地描述一個行動時，簽署者如何被告知。不確定性的明確指示比令人安心但不完整的標籤更有幫助。

團隊還需要評估恢復安排和執行解碼的軟體更新過程。如果應用程序發展，且其解釋規則落後，良好的初始實施可能會變得不那麼有用。

Ambire 的公告確立了一個設計方向，而不是證明這些問題已經解決。儘管如此，它對帳戶控制的關注仍然是相關的：保護財庫需要保護密鑰並使其使用後果易於理解。當硬體螢幕幫助人們識別他們即將授予的權限時，它在該工作流程中贏得了其地位。

*撰寫者：新聞編輯部，編輯：Samuel Rae。