[論文レビュー] CFT-Forensics: High-Performance Byzantine Accountability for Crash Fault Tolerant Protocols

Weizhao Tang, Peiyao Sheng+5 more|arXiv (Cornell University)|May 16, 2023

Distributed systems and fault tolerance被引用数 2

ひとこと要約

CFT-Forensics は、Raft や多Paxosなどのクラッシュフォールトトレラント（CFT）プロトコルを対象とした高性能な責任追及フレームワークであり、最小限のオーバーヘッドでByzantineノードを暗号的に特定可能である。実世界のCBDC導入において、Raftのスループットの97.8％を達成し、遅延は14.5％のみ増加しており、一般用途のソリューション（例：PeerReview）を上回る性能を発揮する。これは、プロトコル固有の最適化を活用することで実現されている。

ABSTRACT

Crash fault tolerant (CFT) consensus algorithms are commonly used in scenarios where system components are trusted -- e.g., enterprise settings and government infrastructure. However, CFT consensus can be broken by even a single corrupt node. A desirable property in the face of such potential Byzantine faults is \emph{accountability}: if a corrupt node breaks protocol and affects consensus safety, it should be possible to identify the culpable components with cryptographic integrity from the node states. Today, the best-known protocol for providing accountability to CFT protocols is called PeerReview; it essentially records a signed transcript of all messages sent during the CFT protocol. Because PeerReview is agnostic to the underlying CFT protocol, it incurs high communication and storage overhead. We propose CFT-Forensics, an accountability framework for CFT protocols. We show that for a special family of \emph{forensics-compliant} CFT protocols (which includes widely-used CFT protocols like Raft and multi-Paxos), CFT-Forensics gives provable accountability guarantees. Under realistic deployment settings, we show theoretically that CFT-Forensics operates at a fraction of the cost of PeerReview. We subsequently instantiate CFT-Forensics for Raft, and implement Raft-Forensics as an extension to the popular nuRaft library. In extensive experiments, we demonstrate that Raft-Forensics adds low overhead to vanilla Raft. With 256 byte messages, Raft-Forensics achieves a peak throughput 87.8\% of vanilla Raft at 46\% higher latency ($+44$ ms). We finally integrate Raft-Forensics into the open-source central bank digital currency OpenCBDC, and show that in wide-area network experiments, Raft-Forensics achieves 97.8\% of the throughput of Raft, with 14.5\% higher latency ($+326$ ms).

研究の動機と目的

• クラッシュフォールトトレラント（CFT）プロトコルにおけるByzantine故障下での効率的で実用的な責任追及の欠如に対処すること。
• 下位のCFT共通プロトコルを置き換えることなく、誤動作ノードを暗号的に特定可能な「暗号的責任追及」を提供すること。
• 全メッセージを記録するような一般用途の責任追及ソリューション（例：PeerReview）に内在する通信およびストレージオーバーヘッドを低減すること。
• 中央銀行デジタル通貨（CBDC）のような実世界のシステムに、最小限のパフォーマンス影響で責任追及を実装可能にする。

提案手法

• Raft やマルチPaxosを含む、責任追及に準拠したCFTプロトコルのファミリを設計し、構造化ログと暗号署名を用いた効率的責任追及を可能にする。
• 全メッセージトランスクリプトと比較してオーバーヘッドを低減する、軽量でプロトコル固有のログ記録メカニズムを導入。このメカニズムは、必須の状態およびメッセージメタデータのみを記録する。
• nuRaftライブラリに拡張としてRaft-Forensicsを実装し、元のプロトコルの変更を最小限に抑えながら共通プロトコル論理に統合。
• チャンク化されたデータ構造と暗号ハッシュを用いて、監査およびフォレンジック分析のための効率的な証拠生成を可能にする。
• 攻撃検出と証拠提示を可視化するためのビジュアライザーを開発。これには、悪意あるノードの特定と、疑いのない暗号的証拠の提示が含まれる。
• マイクロベンチマークおよびOpenCBDCとの実世界統合を用いた評価を通じて、実際のワークロード下でのスループットと遅延を測定。

実験結果

リサーチクエスチョン

• RQ1 一般用途のソリューション（例：PeerReview）と比較して顕著に低いオーバーヘッドで、CFTプロトコルに実用的な責任追及フレームワークを構築可能か？
• RQ2 実世界の導入において、プロトコル固有の責任追及拡張のパフォーマンスは、元のCFTプロトコルと比較してどの程度か？
• RQ3 Raft などの広く使われているCFTプロトコルに、最小限の変更で責任追及を統合可能か？ また、システムの可用性や正しさを損なわないか？
• RQ4 CBDCのような大規模かつ地理的に分散された環境における、責任追及のオーバーヘッドとシステムパフォーマンスのトレードオフは何か？
• RQ5 提案されたフレームワークは、独立した監査が可能な、暗号的に強く信頼性の高い誤動作証拠を提供可能か？

主な発見

• 256バイトのメッセージを用いた実験では、Raft-Forensicsは、オリジナルのRaftのピークスループットの87.8％を達成し、遅延が44 ms増加した。
• OpenCBDCを用いた広域ネットワーク実験では、Raft-ForensicsはRaftのスループットの97.8％を達成し、遅延は+326 ms（14.5％増加）であった。
• 全メッセージログを避けることで、プロトコル固有の構造を活用し、PeerReviewと比較して通信およびストレージオーバーヘッドを低減した。
• パフォーマンス評価から、Raft-Forensicsは高負荷およびネットワークパーティション下でも強力な一貫性と監査可能性を維持していることが示された。
• OpenCBDCとの統合により、生産用途のCBDCシステムに責任追及を追加可能であり、妥当なパフォーマンスのトレードオフが実現された。
• ビジュアライザーは、攻撃検出と証拠提示（悪意あるノードの特定および誤動作の疑いのない暗号的証拠）を効果的に可視化した。