[論文レビュー] Security Analysis of Filecoin's Expected Consensus in the Byzantine vs Honest Model

Xuechao Wang, Sarah Azouvi+1 more|arXiv (Cornell University)|Aug 14, 2023

Blockchain Technology Applications and Security被引用数 5

ひとこと要約

本論文は、Filecoinの期待的合意（EC）の最初の形式的セキュリティ分析を提供し、合計ストレージパワーのしきい値 βm < 1 − e^{-(1−β)m} 以下のビザンチン攻撃者に対してECが安全であることを証明している。実用的には m=5 である。βm ≥ 1 − e^{-(1−β)m} の場合、n-split 攻撃が深刻な脆弱性であることが特定され、しきい値がタイトであることが示された。本論文は、一貫したブロードキャストと修正されたブロック選択メカニズムの2つの修正策を提案しており、そのうち一貫したブロードキャストは、Filecoin Improvement Proposal（FIP）として実装が進行中である。

ABSTRACT

Filecoin is the largest storage-based open-source blockchain, both by storage capacity (>11EiB) and market capitalization. This paper provides the first formal security analysis of Filecoin's consensus (ordering) protocol, Expected Consensus (EC). Specifically, we show that EC is secure against an arbitrary adversary that controls a fraction $β$ of the total storage for $βm< 1- e^{-(1-β)m}$, where $m$ is a parameter that corresponds to the expected number of blocks per round, currently $m=5$ in Filecoin. We then present an attack, the $n$-split attack, where an adversary splits the honest miners between multiple chains, and show that it is successful for $βm \ge 1- e^{-(1-β)m}$, thus proving that $βm= 1- e^{-(1-β)m}$ is the tight security threshold of EC. This corresponds roughly to an adversary with $20\%$ of the total storage pledged to the chain. Finally, we propose two improvements to EC security that would increase this threshold. One of these two fixes is being implemented as a Filecoin Improvement Proposal (FIP).

研究の動機と目的

• ビザンチン攻撃者モデル下でのFilecoinの期待的合意（EC）の形式的セキュリティ分析を目的とする。
• ECが不安定になるまでの攻撃者のストレージパワーの正確なしきい値（β）を同定することを目的とする。
• ECのセキュリティを向上させる実用的改善策を提案・評価すること、特にn-split 攻撃のような新規攻撃に対する耐性を強化することを目的とする。
• ECにおけるインcentive互換性、動的ネットワーク、複雑な重み関数に関する今後の研究の基盤を構築することを目的とする。

提案手法

• 先行研究[14]の証明技法を拡張し、DAGベースでtipsetベースの合意モデルにおけるECのセキュリティを分析する。
• ECを確率的過程としてモデル化し、1ラウンドあたりのブロック生成が平均 m=5 のポアソン分布に従うと仮定し、攻撃者のチェーン成長確率を導出する。
• ブロックが永遠にメインチェーンに残留するための十分条件を、DAG構造とtipset依存関係を考慮して導入する。
• 等価性のないブロードキャスト（equivocation）を防ぐために、一貫したブロードキャストを緩和策として提案し、すべての誠実なノードがブロックの有効性について合意できることを保証する。
• n-split 攻撃を分析し、攻撃者が誠実なマイナーを複数のチェーンに分割して、競合する重いチェーンを生成することを検証する。
• 等価性のない攻撃者（non-equivocating adversary）がセキュリティしきい値に与える影響を評価し、このような条件下ではしきい値がより高くなる（約40％）と仮説を立てる。

((a)) Example of a tipset chain: {A,B,C} is the first tipset after Genesis, and the parent tipset of {D,E}, which is itself the parent tipset of tipset {F,G,H}.

実験結果

リサーチクエスチョン

• RQ1 ストレージパワーのβ分の割合を制御するビザンチン攻撃者下での期待的合意の正確なセキュリティしきい値は何か？
• RQ2 n-split 攻撃は、ECのtipset構造をどのように悪用してチェーンの一貫性を損なうのか？
• RQ3 一貫したブロードキャストは、ECにおける等価性のない行動を効果的に防止し、n-split 攻撃を緩和できるか？
• RQ4 等価性のない攻撃者の影響は、ECのセキュリティしきい値にどのような影響を及ぼし、等価性のある場合と比べてどう異なるか？
• RQ5 静的重みや同期的ネットワークといった簡素化仮定は、セキュリティ分析の妥当性と一般化可能性にどのような影響を及ぼすか？

主な発見

• 期待的合意のセキュリティしきい値は、βm = 1 − e^{-(1−β)m} でタイトに束縛されており、Filecoinでは m=5 である。これは約20％の攻撃的ストレージパワーに対応する。
• n-split 攻撃は、βm ≥ 1 − e^{-(1−β)m} の場合に成功する。これは、このしきい値がタイトであり、安全を損なわずにこれを超えることはできないことを証明する。
• 一貫したブロードキャストによる緩和策は形式的に妥当であり、Filecoin Improvement Proposal（FIP）として実装が進行中である。
• 一貫したブロードキャストにより、攻撃者の等価性のない行動が排除され、n-split 攻撃を成功させる難易度が著しく向上する。
• 等価性のない攻撃者のもとでは、m=5 の場合、セキュリティしきい値は約40％に上昇すると仮説されるが、形式的証明は未解決のままである。
• 現在の分析では静的重みと同期的ネットワークを仮定している。今後の研究では、動的で非同期的かつインcentive互換性のあるモデルへの一般化が必要である。

((b)) Example of two tipsets with equal weight. Tipset {D,E} and tipset {F} both have a weight of 5. (roughly, the weight is calculated as the sum of the blocks in all the tipsets, see Section 3.3 for details).