Confianza y Seguridad
Echo esta disenado para que ninguna parte individual — ni siquiera el coordinador que inicializa la red — pueda controlar unilateralmente el sistema. La confianza se distribuye entre los participantes, y las invariantes criticas se aplican en cadena por los validadores de Cardano.
Confianza Minimizada en el Coordinador
El coordinador desempena un rol operativo limitado: inicializa nuevas epocas y facilita la comunicacion entre participantes. Sin embargo, el coordinador no puede:
- Falsificar firmas de consenso — solo la red colectiva puede producir una firma de umbral valida
- Alterar la membresia — cada cambio de membresia requiere verificacion en cadena de la propiedad de NFTs y pruebas criptograficas
- Robar fondos — las aplicaciones construidas sobre Echo (como Sailfish) aplican sus propios mecanismos de seguridad en cadena de forma independiente del coordinador
La clave de firma del coordinador solo se usa para acciones administrativas como inicializar epocas. La clave de consenso real pertenece a la red colectiva y rota cada vez que cambia la membresia.
Firmas de Umbral
Echo utiliza un esquema de firma de umbral donde un numero minimo de participantes debe estar de acuerdo de forma independiente antes de que cualquier accion pueda ser aprobada. Ningun participante individual — y ningun subconjunto por debajo del umbral — puede producir una firma valida.
Esto significa que incluso si algunos participantes estan comprometidos o se desconectan, la red continua operando correctamente mientras se cumpla el umbral. El sistema es tolerante a fallos bizantinos: produce resultados correctos incluso en presencia de actores maliciosos, siempre y cuando permanezcan como minoria.
Verificacion en Cadena
Cada transicion de estado en Echo es verificada por los validadores en cadena de Cardano. Cuando la membresia cambia, los validadores comprueban:
- El nuevo miembro posee los NFTs requeridos en su Smart Account
- El miembro demostro criptograficamente que autorizo su union
- El registro de membresia se actualizo correctamente
- La clave de consenso anterior autorizo la transicion a la nueva clave
Cuando una aplicacion referencia una prueba de Echo, los validadores confirman independientemente que la prueba fue firmada por una clave de consenso valida, que el conteo de membresia cumple el umbral requerido y que el estado no ha expirado. Ninguna afirmacion fuera de cadena se acepta sin verificacion.
Expiracion Basada en Epocas
Los tokens de estado de Echo tienen una expiracion incorporada. Una vez que una epoca termina, su clave de consenso ya no puede usarse para producir nuevas pruebas. Esto limita la ventana de dano si una clave fuera comprometida y asegura que la red actualice regularmente su conjunto de participantes.
Red de Seguridad: Retiro Autonomo
Las aplicaciones construidas sobre Echo pueden implementar sus propios mecanismos de seguridad. Por ejemplo, si el coordinador de Echo o la red alguna vez dejan de estar disponibles, los usuarios de los servicios dependientes no quedan bloqueados sin acceso a sus fondos. Servicios como Sailfish incluyen un proceso de retiro autonomo con bloqueo temporal que permite a los usuarios reclamar sus activos directamente en Cardano — no se requiere cooperacion de ningun operador.
Este mecanismo de seguridad se aplica en cadena. En caso de que el coordinador desaparezca y la red Echo se desconecte, el proceso de retiro autonomo esta disenado para permitir a los usuarios reclamar sus activos directamente en Cardano.