RPC-Anbieter: wie eine Anwendung eine Blockchain liest

JSON-RPC ist ein zustandsloses Protokoll, das Anfrage und Antwort als JSON kodiert, und die Aufrufe einer Anwendung sind wenige und ungleich teuer. Die Kettenspitze mit einem Aufruf wie eth_blockNumber zu lesen ist billig. Einen Saldo oder den aktuellen Zustand eines Vertrags zu lesen ist billig. Eine signierte Transaktion einzureichen ist für den Node billig und für den Nutzer folgenreich.

Teuer ist die Log-Abfrage. Alle Ereignisse zu einem Filter über einen weiten Blockbereich zu verlangen zwingt den Node zum Durchsuchen, und diesen Aufruf begrenzt ein Anbieter zuerst, über den Blockbereich, die Trefferzahl oder mit Ablehnung im kostenlosen Tarif. Die zweite teure Familie ist das Abo: Ein WebSocket-Abo auf neue Blöcke oder passende Ereignisse ist der Weg, von etwas zu erfahren, ohne zu pollen, und ein kostenloser Endpunkt bietet es oft nicht. Eine gegen diese zwei Grenzen entworfene Anwendung sieht völlig anders aus als eine ohne; darum gehört die Endpunktwahl an den Anfang eines Projekts.

Ein öffentlicher Endpunkt, der in der Dokumentation einer Kette steht oder von einem Explorer angeboten wird, ist kostenlos, geteilt und niemandem geschuldet. Ratenlimits in kostenlosen und geteilten Tarifen liegen meist bei zig Anfragen je Sekunde, der Endpunkt kann ohne Ankündigung abgeschaltet oder geändert werden, und der Betreiber sieht jede Abfrage. Für einen Prototyp richtig, für alles, wofür ein Haus einsteht, falsch.

Ein Anbieter verkauft einen geteilten oder dedizierten Endpunkt mit Dienstgüte, Archivzugang ohne die Speicherkosten, WebSocket-Abos und Routing über mehrere Rechenzentren, damit eine Anfrage in der Nähe der Anwendung landet. Als Marktregel gilt, dass eine Anwendung über etwa zehntausend Anfragen je Sekunde auf dedizierte Infrastruktur gehört. Ein eigener Node gibt selbst geprüfte Richtigkeit und Abfragen, die niemand sonst sieht, zu den Betriebskosten, die die Seite Blockchain-Node-Infrastruktur darlegt. Die meisten Häuser landen bei einem dedizierten Anbieter plus eigenem Node für die wichtigen Abfragen.

Ein Full Node hält nur den jüngeren Zustand, bei Ethereum standardmäßig die letzten 128 Blöcke, denn älterer Zustand ist zur Prüfung neuer Blöcke nicht nötig. Jede Frage zur Vergangenheit, ein Saldo an einem Datum, der Zustand eines Vertrags vor einer Aktualisierung, ein Ereignis vom Vorjahr, braucht einen Archive Node, der alles behielt.

Darum ist Archivzugang getrennt bepreist oder höheren Tarifen vorbehalten: Der Node dahinter läuft ab etwa zwei Terabyte mit einem speichersparenden Client bis zu zwölf Terabyte und mehr, und er wächst. Für ein Finanzhaus zählt, dass Prüfer genau die historischen Fragen stellen. Eine Bewertung zum Meldestichtag, ein Bestand zum Jahresende, eine Transaktionshistorie für eine Steuererklärung sind alle Archivabfragen; wessen Endpunkt sie nicht beantwortet, hat ein Meldeproblem und keine technische Vorliebe.

Dieser Teil des Themas bekommt die geringste Beachtung und zählt für ein beaufsichtigtes Haus am meisten. Ein RPC-Anbieter sitzt zwischen Anwendung und Netz, kann eine Transaktion also nicht weiterleiten, und die großen tun es: Führende zentrale Anbieter filtern Transaktionen mit Adressen auf der US-OFAC-Sanktionsliste, und manche Anbieter sperren ganze Länder aus. Vitalik Buterin hat davor gewarnt (auf Englisch), dass ein auf wenige RPC-Anbieter verdichteter Markt starkem Druck zum Ausschluss oder zur Zensur von Nutzern ausgesetzt ist.

Für ein europäisches Haus schneidet das in zwei Richtungen, und beide gehören in die Risikoakte. Sanktionsprüfung muss das Haus ohnehin selbst leisten, ein filternder Anbieter schadet ihm auf dieser Achse also nicht. Aber ein Anbieter, der die Liste einer Rechtsordnung auf den Verkehr eines europäischen Hauses anwendet, setzt eine Regel, die das Haus nicht gewählt hat und nicht sehen kann, und eine still nicht weitergeleitete Transaktion ist ein Betriebsausfall, der wie ein Netzproblem aussieht. Die zweite Aussetzung ist informationell: Jede Abfrage sagt dem Anbieter, welche Adressen das Haus interessieren, für einen Vermögensverwalter also Positionsdaten, und wer schwebende Transaktionen sieht, kann auch auf deren Reihenfolge wirken.

Zwei Endpunkte von zwei Anbietern ist die naheliegende Antwort und schwerer, als sie klingt, denn der wichtige Ausfall ist nicht ein Endpunkt, der einen Fehler zurückgibt. Ein Endpunkt, der von einem Node mehrere Blöcke hinter der Kettenspitze antwortet, gibt eine gültige Antwort mit veralteten Daten, und eine Anwendung, die nur auf HTTP-Fehler prüft, nimmt sie an.

Funktionierende Ausfallsicherung heißt also: Die Anwendung vergleicht die Blockhöhe in einer Antwort mit der erwarteten, behandelt einen nachhängenden Endpunkt als ausgefallen und leitet auf den zweiten Anbieter. Sie heißt auch, dass der zweite Anbieter unter Last geprüft wurde, bevor er gebraucht wird, und dass das Haus weiß, welche Abfragen der Ersatz nicht leisten kann, meist die Archiv- und Abo-Abfragen. Ein Ersatz, der nie Produktionsverkehr getragen hat, ist ein Plan und keine Kontrolle.

Ein beaufsichtigtes Haus, das für eine wichtige Funktion von einem RPC-Anbieter abhängt, hat eine IKT-Drittvereinbarung, und die Pflichten folgen aus dieser Tatsache und nicht aus der Höhe der Rechnung. Die Vereinbarung geht mit der gestützten Funktion und der Einordnung als kritisch oder wichtig ins Informationsregister, der Vertrag braucht die Prüf-, Zugangs- und Ausstiegsregelungen, die DORA erwartet, und das Haus braucht eine geprobte Antwort auf das Verschwinden des Anbieters.

Unangenehm ist, dass die Standardbedingungen des Marktes dafür nicht geschrieben wurden. Eine Selbstanmeldung mit Kreditkarte ist kein Vertrag, der einer Aufsicht Prüfrechte gibt, und wessen Kettenzugang auf so einer Anmeldung läuft, hat eine Dokumentationslücke und keine technische. Die Seite DORA-Verordnung in Deutschland behandelt die deutsche Aufsicht, digitale operative Resilienz in Europa den europäischen Rahmen.

Nur mit eigenem Node, was den Anbieter durch das eigene Betriebsteam ersetzt. Ein drittes gibt es nicht: Irgendwer muss eine Kopie der Kette halten und Abfragen dagegen beantworten, und entweder betreibt das Haus das oder jemand anders. Nützlich ist daher nicht die Frage, ob man von einem Anbieter abhängt, sondern welche Abhängigkeit das Haus dokumentieren und auffangen kann; die meisten kommen auf einen eigenen Node für die verantworteten Abfragen plus einen Anbieter für die Breite.

Sechs Fragen, und die Antworten gehören in den Vertrag. Ob der Endpunkt dediziert oder geteilt ist. Ob Archivabfragen enthalten sind und bis zu welcher Tiefe. Welche Ratenlimits je Methode gelten, denn die Log-Abfrage ist die, die bricht. Ob der Anbieter Transaktionen filtert und gegen welche Listen. Wo die Nodes stehen und unter welcher Rechtsordnung. Und worauf sich der Anbieter festlegt, wie weit seine Nodes hinter die Kettenspitze fallen dürfen; das ist die Dienstgüte, auf die es ankommt, und die am seltensten angeboten wird.