[論文レビュー] Rationality is Self-Defeating in Permissionless Systems

Bryan Ford, Rainer Böhme|arXiv (Cornell University)|Oct 19, 2019

Blockchain Technology Applications and Security参考文献 19被引用数 14

ひとこと要約

この論文は、許可なしブロックチェーンシステムにおける合理性の仮定が自己矛盾であると主張している。なぜなら、合理的な攻撃者が外部の金融メカニズムを通じてシステムの仮定を破る行為から利益を得られるため、実際にはこのようなシステムは安全でないからである。主な貢献は、合理性がオープンかつ匿名のシステムでは安全を保証できないというメタ的循環的議論であり、これによりビザンチン攻撃モデルがより適切であり、安全性のための合理性仮定は不要であることが示される。

ABSTRACT

We outline a metacircular argument explaining why it is rational to be irrational when attacking open-world decentralized systems, and why systems whose security depend on rationality assumptions are insecure.

研究の動機と目的

• 許可なし環境における分散型システムが合理性（自己利益）によって安全に保たれると広く信じられている仮定に挑戦すること。
• 外部の金融インcentivesの存在により、オープンシステムにおける合理性仮定が本質的に不安定であることを示すこと。
• 安全性に合理性を依存させるシステムは、合理的な参加者がシステムを破壊することで利益を得られるため、根本的に不安全であると主張すること。
• 許可なしシステムにおいて、合理性仮定がビザンチンモデルに比べて実質的なセキュリティ上の利点を提供しないことを示すこと。
• 合理性仮定に依存せず、任意のビザンチン行動に耐えうるよう設計することを提唱すること。

提案手法

• メタ的循環的議論を提唱：任意の行動仮定（例：合理性）を置くシステムは、その仮定を破ることで利益を得る合理的な攻撃者によって攻撃可能である。
• 先の金融システム（例：デリバティブ、クロスチェーン市場）のエコシステムを、合理的な攻撃者がターゲットシステムの合理性仮定を破ることで外部報酬を得るメカニズムとして用いる。
• 身元が弱く、参加がオープンで匿名であるオープンで許可なしのシステムでは、攻撃者がターゲットシステム内で直接損失を被らずに利益を得られることを分析する。
• ゲーデルの不完全性定理に類似した枠組みを用い、自己言及的システムにおいて合理性仮定が本質的に不安定であると形式化する。
• 合理性とビザンチンモデルを対比し、合理性仮定が必要なセキュリティの閾値を低下させないことを示す。
• 実世界の攻撃（例：自己利益マイニング、取引の隠蔽）を分析し、利益が得られる限り合理的な行動が依然として敵対的である可能性があることを示す。

実験結果

リサーチクエスチョン

• RQ1 合理的な参加者がその仮定を破ることで利益を得られる場合、許可なしシステムは合理性仮定のもとで安全に保たれるか？
• RQ2 外部の金融市場が、合理的な参加者行動を仮定するシステムを破壊する合理的な攻撃者をどれほど支援するか？
• RQ3 なぜ合理性仮定は、オープンかつ匿名の分散型システムのセキュリティを確保するのに不十分なのか？
• RQ4 許可なしコンセンサスプロトコルにおける安全性の閾値に、合理性仮定が及ぼす影響は何か？
• RQ5 合理性仮定に依存せず、許可なしシステムで安全を維持する実用的な方法はあるか？

主な発見

• 合理的な攻撃者がシステムの行動仮定を破ることで利益を得られるため、オープンで許可なしのシステムにおいて合理性仮定は自己矛盾である。
• 合理的な攻撃者は、外部の金融システム（例：デリバティブ、クロスチェーン市場）を活用し、ターゲットシステムの合理性仮定を破ることで利益を得られる。
• 合理的な敵対者に対してのみ安全であると設計されたシステムは、実際には不安全である。なぜなら、合理的な参加者が利益を得られる場合にはビザンチン的な行動を取るからである。
• 外部の金融インセンティブが存在する限り、合理的な行動がビザンチン的結果をもたらすため、安全性の観点から合理性仮定は冗長である。
• 参加がオープンで匿名であり、身元が弱いか、参加コストが最小限であっても、この議論は成り立つ。
• この脅威を完全に排除する唯一の方法は、任意のビザンチン行動に耐えうるようにシステムを保護すること、または強力な身元と法的措置を用いてシステムを閉鎖することである。