Ogni piano di autocustodia ha un punto in cui smette di riguardare il software. C'è qualcuno in casa tua. Hanno il tuo hardware wallet, hanno il tuo telefono e hanno te, e quello che succede dopo non lo deciderà la tua sorgente di entropia. Quello che ti serve dal tuo assetto in quel momento è resistenza alla coercizione, e quasi nessuno di quelli che la vendono ha controllato cosa servirebbe per averla.
Quasi ogni progetto ha una risposta per quel momento, e di solito è una qualche versione di non si prendono tutto. Una passphrase che non hanno. Una chiave in un'altra città. Un recupero con timelock. Un seme diviso in tre. La parte rassicurante è la stessa in tutte: finito l'incontro, all'attaccante manca ancora qualcosa per arrivare ai soldi.
È proprio quella rassicurazione il problema, e vale la pena srotolare il perché, perché l'argomento è lungo quattro passi e ognuno preso da solo è noioso.
La cosa che non puoi fare
Parti da qualcosa che suona come un tecnicismo.
Puoi dimostrare di conoscere un segreto. Firmi un messaggio, produci una preimmagine, spendi dall'indirizzo. Dimostrare che non lo conosci, o che non esiste nessuna copia in nessun posto alla tua portata, non è una versione più difficile dello stesso compito. Non c'è nessun protocollo per farlo, perché non c'è niente da esibire. Non puoi dimostrare di aver dimenticato.
Guarda quanto poco basterebbe nascondere perché questo regga. Una scheda SD. Una password che hai imparato a memoria per una casella di posta che contiene un file cifrato. Quattro parole scritte a margine di un libro su uno scaffale. Niente di tutto ciò è esotico, e niente di tutto ciò può essere escluso da qualcuno in piedi nel tuo salotto.
Così l'attaccante che ha finito con te resta con una domanda che non riesce a chiudere: c'è un'altra copia? E deve rispondere nell'unico modo razionale, cioè dando per scontato di sì.
In cosa trasforma una rapina
Metti insieme le due metà, e ricordati che tipo di bene è questo. Bitcoin è al portatore ed è rivale: la prima spesa valida si prende tutto, e non c'è appello, non c'è storno, non c'è un'assicurazione da chiamare.
Se se ne va con un percorso verso le tue monete che non è ancora finito, e ti rilascia, siete entrambi puntati sugli stessi soldi con lo stesso orologio che gira. Lui avanza su quello che ha sequestrato. Tu stai andando, per quanto ne sappia lui, verso un secondo backup che non ha mai trovato. Solo uno dei due arriva per primo.
A quel punto non sei una vittima in nessun senso che gli interessi. Sei l'altro corridore.
Più il ripiego è gentile, peggio va
Un progetto che fallisce di netto dà all'attaccante o tutto o niente. Un progetto che degrada con eleganza è fatto per dargli un percorso lento, parziale, prima o poi, il che è un altro modo di dire che tiene le sue probabilità ben sotto la certezza lasciando l'intero saldo sul tavolo. Quella combinazione è esattamente quella che massimizza ciò che guadagna togliendo di mezzo la concorrenza.
Il degrado elegante è una virtù in quasi ogni altro sistema che costruirai mai. In questo è la modalità di guasto, e i prodotti che lo pubblicizzano con più calore stanno seduti nella parte peggiore dell'intervallo.
L'aritmetica, che purtroppo è semplice
Con te vivo e libero, quello che si aspetta di prendere sono le sue probabilità di vincere la corsa per il valore del malloppo. Ti uccide e le sue probabilità vanno a circa uno. La differenza fra quei due numeri è quello che guadagna. Ci agisce quando supera quello che un omicidio gli costa.
È tutto qui il calcolo. Non ci compare nessuna crittografia, ed è per questo che «la crittografia è forte» non è una risposta. Il pericolo lo fabbrica la forma del percorso di recupero, non la sua durezza. La resistenza alla coercizione vive nello strato degli incentivi, e la maggior parte dei modelli di minaccia non ha una colonna per quello.
E questo non è un esperimento mentale senza dati sugli esiti. Sedici dei 351 episodi del registro pubblico di Jameson Lopp riportano una vittima uccisa. È il 4,6%, ed è un pavimento e non una stima, perché un omicidio tende a essere riportato come omicidio e non come attacco a chi detiene bitcoin, quindi quelli che non vengono mai collegati a un wallet non entrano mai nel conteggio.
'Portami con te' — il patto sheherazadiano
Quello che segue è un'ipotesi su cosa la struttura degli incentivi può spingere gli agenti a fare. A oggi non ho prove empiriche che confermino nessuna istanza particolare di quella catena di eventi, anche se, per gli stessi meccanismi di soppressione dell'informazione trattati in The Denial Spiral e percorsi in Anosognosia, il silenzio sia sovradeterminato.
In qualsiasi momento di un wrench attack contro un assetto vulnerabile alla corsa mortale, l'aggressore, la vittima o entrambi possono cogliere gli incentivi per la mossa terminale. In quella situazione la vittima può davvero offrirsi di finire sotto la custodia dell'aggressore, in un patto sheherazadiano storto. Nelle Mille e una notte, la protagonista si offre per quella che si rivela una prigionia allo scopo di fermare l'uccisione di terzi, e poi prolunga quella prigionia notte dopo notte, mille e una volta, per rimandare la propria, puntando finali in sospeso contro la sua vita.
Ferdinand Keller, «Scheherazade und Sultan Schariar» (1880), pubblico dominio. Lei è a metà del racconto e lui ascolta, ed è tutto qui il meccanismo: quello che compra il mattino dopo è che il racconto non è finito. Nel libro lei viene graziata al milleduesimo mattino.
In una corsa mortale, scambiare la mossa terminale con un sequestro abbassa la responsabilità penale dell'aggressore mantenendo più o meno lo stesso vantaggio nella corsa, e risparmia la vita della vittima. Vittima e aggressore possono quindi concludere che il patto è reciprocamente vantaggioso, e cooperare al sequestro.
Successo netto o fallimento netto — mai una corsa
Da lì esce il test, abbastanza diretto da applicarlo senza basi matematiche.
Resistenza alla coercizione vuol dire lasciare solo due tipi di finale. O l'attacco fallisce nettamente, cioè quello che ha preso non porta da nessuna parte e a te non resta niente di trasmissibile da consegnare. Oppure riesce nettamente, cioè ottiene le monete durante l'incontro e dopo non c'è nessuna corsa perché non è rimasto niente per cui correre.
Tutto quello che sta in mezzo è la fascia pericolosa. Non «meno sicuro». Strutturalmente diverso, perché è l'unica regione in cui ucciderti rende.
Il secondo finale ti costa i soldi, e alla gente non piace sentirsi dire che conta come promosso. Conta, perché l'asticella qui riguarda prima la tua sopravvivenza e poi le tue monete. Uno schema che consegna il saldo in modo pulito non uccide nessuno. Uno schema che lo lascia a metà strada è peggio di quella perdita pulita, che è una frase su cui vale la pena fermarsi, visto che quasi ogni ripiego sul mercato è fatto per lasciarlo a metà strada.
Le due strade verso la resistenza alla coercizione
L'incentivo morde solo contro un corridore che lui può davvero raggiungere. Quindi ci sono due strade e non una terza, e ogni prodotto sul campo ne prende una delle due o nessuna.
Togliere la corsa. Sistemare le cose in modo che dopo il sequestro non esista alcun percorso praticabile. Il segreto sta dietro qualcosa che non si può consegnare sotto nessuna pressione e non si può ricostruire da quello che ha portato via. La custodia resta soltanto tua.
L'altra è togliergli la portata. Fare in modo che chi vincerà la corsa sia qualcuno che lui non può raggiungere: un delegato remoto che detiene la capacità di recupero e non è nella stanza. La corsa continua a esistere, ma il corridore che dovrebbe eliminare è a mille chilometri, e ucciderti non gli rende nulla.
La strada del delegato funziona, e non è autocustodia
Quella seconda strada è reale, e va detto chiaramente e non di malavoglia. Supera il criterio.
Lo supera assumendo che il tuo delegato ti rifiuterà. È questo il meccanismo: lo stesso rifiuto che sconfigge una richiesta estorta a te, con una pistola alla testa, sconfigge anche una tua richiesta sincera nel giorno peggiore della tua vita, e non esiste versione in cui le distingua, perché distinguerle è proprio quello che non si può fare. Hai reintrodotto la controparte fidata che tutto l'esercizio voleva togliere. Not your keys, not your coins qui non è uno slogan, è solo una descrizione corretta di cosa hai firmato.
Conviene sapere quale hai scelto. Parecchi sono sulla strada del delegato credendo di essere sull'altra.
Dove finiscono gli assetti geografici
Spargere quote fra più città sembra la prima strada e si comporta come la seconda, male. Appena il wrench attack si ferma, chi arriva per primo a abbastanza siti si prende i soldi, e adesso è una corsa a piedi su terreno fisico. Può funzionare: se i siti sono abbastanza difficili da raggiungere, le sue probabilità scendono al punto che la corsa non vale la pena.
Ma guarda cosa concede. La tua sicurezza è diventata una domanda su quanto sono buone le tue difese fisiche contro un attaccante fisico. Quello è oro con passaggi in più, e se devi finire a fare la guardia a oggetti dentro caveau, gli oggetti potevano almeno essere d'oro.
Il residuo, detto onestamente
Una finestra sopravvive, e fingere di no farebbe di questo testo lo stesso tipo di documento che sta criticando.
Nella costruzione tacita c'è un periodo di circa uno o due minuti alla fine della derivazione in cui lo stato è vivo. Un attaccante che sequestra dentro quella finestra guadagna una limatura dell'ultimo passo, non una ripartenza da zero. Se quel minuto limato valga un omicidio dipende da altre condizioni che in genere non reggono, ma è una finestra vera e il suo posto è alla luce del sole.
Ecco come si presenta un'affermazione di resistenza alla coercizione quando è onesta: un numero, una durata e le condizioni in cui conta. Confrontala con «offre negabilità plausibile», che non limita niente e nessuno può verificare.
Quattro domande, e sono tue
Quello che serve qui non è l'argomento. È che la resistenza alla coercizione collassa in un test che puoi far girare sul tuo assetto questo pomeriggio.
- Qualche parte di tutto ciò dipende dal fatto che l'attaccante non sappia qualcosa? Non dal fatto che non abbia una chiave. Dal fatto che non abbia conoscenza di una funzione, di un'abitudine, di un nascondiglio.
- Una volta che hanno i tuoi dispositivi e tutto quello che diresti sotto pressione, resta ancora un percorso verso le monete? Uno lento conta. Uno lento è tutto il problema.
- La tua custodia è davvero individuale? O c'è una persona dal cui rifiuto dipende la tua sicurezza, e l'hai deciso apposta?
- Esiste uno stato del tuo assetto in cui l'attacco finisce nettamente? In cui ce l'ha lui, oppure in cui non resta niente da prendere, e in entrambi i casi non c'è motivo di tornare.
Sono queste le quattro domande per cui mi faccio pagare. Valgono poco come segreto e parecchio come abitudine, quindi eccole. Se il tuo assetto risponde alla quarta con «be', alla lunga ce la farebbe», hai trovato la fascia.
La catena qui sopra è enunciata come si deve, con il lemma, il criterio e la costruzione che lo supera, in The Deadly Race, accesso aperto, senza registrazione. Il suo gemello, The Denial Spiral, mette un prezzo a quanto dura l'incontro, non a come finisce: perché smentite, esche e PIN di coercizione sono una risorsa comune che l'uso di tutti prosciuga.
Dati sugli episodi dal registro di Jameson Lopp, un campione giornalistico: perde ciò che non viene denunciato e sovrarappresenta ciò che è finito sui giornali. I casi nuovi che trovo finiscono lì e non in un database mio.
Se è valso il tuo tempo. Mandalo a chi ti ha convinto del tuo assetto attuale. Una ⭐ su Great Wall, sulla ricerca o su questi testi non ti costa nulla e rende il lavoro trovabile. E se vuoi finanziarlo, support accetta ⚡ Lightning e on-chain, senza registrazione, senza livelli e senza nulla in cambio.