В Bluesky ключи, чтобы быть вами, держит оператор вашего сервера

Взлом, на который можно махнуть рукой, и ключ, на который нельзя

Кевин в своём посте доказывает, что ATProto и Bluesky «псевдодецентрализованы». Теоретически протокол позволяет владеть своей идентичностью. На практике оператор Personal Data Server (PDS) держит и ваши подписывающие ключи, и ваши ротационные — почти для каждого аккаунта в сети.

Что оператор реально может сделать от вашего имени

Это хранение не сноска мелким шрифтом. Оператор PDS может постить, лайкать, подписываться, выдавать доступ к репозиторию или навсегда отключить вашу идентичность, и подписи криптографически неотличимы от вашей подлинной активности. Поскольку идентичности ATProto путешествуют по всей экосистеме (Bluesky, Tangled, Grain, Leaflet), угон охватывает всю экосистему, а не одно приложение.

Кевин проводит резкую асимметрию. Утечка данных PDS раскрывает данные, которые и так были публичными, поэтому почти не важна. Контроль над ключами — обратное: он даёт полное выдавание себя за вас. А около 99,9% пользователей живут на PDS Bluesky, ни разу не зарегистрировав запасной ротационный ключ с более высоким приоритетом, и у них нет рычага восстановления, если оператор пойдёт против них. Его решение конкретно: сделать привязку запасного ротационного ключа обязательной при создании аккаунта и встроить её в клиенты, а не оставлять экспертной опцией, которую почти никто не выполняет.

Тред проверяет тезис с обеих сторон

Это хранение было осознанным решением, а не случайностью. Как выразился один опытный комментатор: «Вы можете переехать, пока Bluesky Social PBC это позволяет. Ключи от вашего DID держат они. … Изначальная теория была в том, что приватные ключи будете держать вы, но это сильно ограничило бы распространение, поэтому они решили держать ключи сами».

«Вы можете переехать, пока Bluesky Social PBC это позволяет. Ключи от вашего DID держат они. … Изначальная теория была в том, что приватные ключи будете держать вы, но это сильно ограничило бы распространение, поэтому они решили держать ключи сами.» — комментатор о компромиссе между распространением и суверенитетом

Самое частое возражение — «своим доменом вы тоже не владеете». Читатель с высокой кармой срезал его, назвав, в чём разница:

«Владелец вашего доменного имени или DNS-провайдер не может перенаправить ваш домен на другой сервер и криптографически выдать себя за вас.» — Aurornis, 53k+ кармы

Лазейка есть; беда в том, что почти никто в неё не идёт. Инженер Cloudflare, выпускающий хостинг-продукт, предложил её одной строкой:

«Можете хостить это бесплатно на Cloudflare через мой Cirrus PDS: https://cirrus.earth/» — ascorbic, инструменты для разработчиков в Cloudflare

Сам Кевин вернулся, чтобы переосмыслить всё это как вопрос стимулов, а не возможностей:

«Когда Bluesky сорвётся с поводка из-за проблем с прибыльностью или давления инвесторов, подавляющее большинство пользователей потеряют свои идентичности … Пользователи выберут путь наименьшего сопротивления.» — автор поста, защищающий свой тезис

Почему «можно хоститься самому» бьёт мимо

Защита и критика на самом деле не сталкиваются, потому что отвечают на разные вопросы. Да, путь к настоящему владению открыт. Но система, где 99,9% людей берут вариант по умолчанию, а этот вариант отдаёт одной компании ключи, чтобы быть ими, децентрализована только на бумаге. Интересный спор в треде не о том, возможен ли суверенитет: он о том, может ли протокол заявлять, что обеспечивает его, выстраивая при этом каждый стимул против того, чтобы люди им пользовались.