Macaroons Escalou Rapidamente
Macaroons—tokens criptográficos com caveats usados para autorização—estão sendo explorados como uma alternativa flexível a cookies tradicionais e JWTs, com apelo particular para delegação e controle de acesso refinado em sistemas distribuídos. Os comentaristas examinam os trade-offs entre macaroons baseados em HMAC simétrico e esquemas assimétricos como Biscuits ou JWT, abordando desempenho, gerenciamento de chaves, revogação e o custo operacional da verificação centralizada. Ao longo do caminho, os leitores observam a confusão persistente entre “macarons” e “macaroons” em nomes e imagens, destacando como até a terminologia pode complicar a adoção de novos mecanismos de segurança.
Macaron vs. Macaroon (e Outros Desvios Linguísticos)
- Grande subthread sobre a diferença entre macarons (biscoitos franceses em forma de “sanduíche” de merengue) e macaroons (bolinhos de coco).
- Vários apontam que a imagem do blog mostra macarons enquanto o esquema de tokens se chama “macaroons”; alguns tratam “French macaroon” como um sinônimo aceitável, outros insistem que isso está simplesmente errado.
- A discussão se amplia para a deriva linguística: entrée significando “prato principal” no inglês americano, “mains” em cardápios do Reino Unido, “macarrons/macarroni/maccheroni” como massa, e piadas sobre “Macron/micron/mâcon/maçon”.
- Alguns veem a confusão de nomes como marketing lúdico; outros acham que escolher “macaroon” apesar da confusão existente foi uma má decisão.
Macaroons como Auth Tokens: Design, Trade-offs e Comparações
- Vários comentários reiteram macaroons como bearer tokens que podem ser atenuados e delegados sem contatar o emissor, muitas vezes comparados de forma vaga a uma “chain”, mas explicitamente não a uma blockchain.
- O modelo baseado em capabilities é enfatizado: a autoridade decorre da posse de um token, não de identidades; isso é visto como um recurso, mas complica a delegação autenticada e a auditoria.
- Preocupações levantadas: chave raiz simétrica única, rotação de chaves, necessidade de verificação online, revogação, limitação de taxa e dificuldade de auditoria centralizada de tokens derivados.
- A implantação do artigo usa um serviço verificador atuando como um HSM em software; isso é apresentado como mitigando riscos de chave simétrica e tornando biscoitos (baseados em chave pública) menos convincentes nesse caso.
- Comparações com Biscuits, UCAN, JWT, Zanzibar e “runes”: macaroons vencem em simplicidade, velocidade e adequação pós-quântica; biscuits e sistemas semelhantes vencem em verificação offline e lógica de política mais rica.
- Alguns argumentam que atenuação/delegação deveriam ser mais amplamente usadas; outros dizem que macaroons são exagero para apps CRUD simples.
Detalhes de Implementação, UX e Documentação
- Esclarecimentos de que o Python do blog é pseudocódigo; o sistema real usa formatos tipados, AEAD, canais do tipo Noise/mTLS e tratamento estrito de caveats.
- Leitores pedem sinalização mais clara entre código “toy” e “production” e mais contexto sobre HMAC, atenuação e posts anteriores.
- Alguns elogiam a escrita e as ilustrações; outros acham o tom ocasionalmente “inside baseball”.
- Discussão paralela sobre DX da Fly.io: confusão sobre database machines, credenciais e acesso a variáveis de ambiente, ligada a um modelo de segurança deliberado que trata segredos como “hazmat”.
Patentes e Preocupações Legais
- Uma patente do Google sobre macaroons é mencionada; alguns evitaram a tecnologia por medo de infração.
- Outros apontam as promessas de não agressão do Google e a prática geral de patentes “defensivas”, mas não está claro o quanto tais promessas são vinculativas em tribunal.