[論文レビュー] Every Bit Counts in Consensus

Pierre Civit, Seth Gilbert+4 more|arXiv (Cornell University)|Jan 1, 2023

Cryptography and Data Security被引用数 3

ひとこと要約

本稿では、新しい分散プリミティブを用いて値の合意形成と値の取得を分離することで、O(n^1.5L + n^2.5κ)ビット複雑度を達成する、新規のバシリンタイン合意形成アルゴリズムDAREを提示する。さらに、STARK証明を用いるDARE-Starkを導入し、理論的下界にほぼ達するO(nL + n^2poly(κ))ビット複雑度と最適なO(n)ラティンシーを実現し、大容量値に対する従来のO(n^2L)の境界を著しく改善する。

ABSTRACT

Consensus enables n processes to agree on a common valid L-bit value, despite t < n/3 processes being faulty and acting arbitrarily. A long line of work has been dedicated to improving the worst-case communication complexity of consensus in partial synchrony. This has recently culminated in the worst-case word complexity of O(n^2). However, the worst-case bit complexity of the best solution is still O(n^2 L + n^2 kappa) (where kappa is the security parameter), far from the Ω(n L + n^2) lower bound. The gap is significant given the practical use of consensus primitives, where values typically consist of batches of large size (L > n). This paper shows how to narrow the aforementioned gap while achieving optimal linear latency. Namely, we present a new algorithm, DARE (Disperse, Agree, REtrieve), that improves upon the O(n^2 L) term via a novel dispersal primitive. DARE achieves O(n^{1.5} L + n^{2.5} kappa) bit complexity, an effective sqrt{n}-factor improvement over the state-of-the-art (when L > n kappa). Moreover, we show that employing heavier cryptographic primitives, namely STARK proofs, allows us to devise DARE-Stark, a version of DARE which achieves the near-optimal bit complexity of O(n L + n^2 poly(kappa)). Both DARE and DARE-Stark achieve optimal O(n) latency.

研究の動機と目的

• 大容量値（L > nκ）におけるバシリンタイン合意形成の理論的下界Ω(nL + n^2)と、既存で最も良いO(n^2L + n^2κ)のビット複雑度との間のギャップを埋めること。
• 部分同期環境下でも最適なO(n)最悪ケースラティンシーを維持しながら、サブ2次関数のビット複雑度を達成する合意形成プロトコルを設計すること。
• 値の分散、ハッシュの合意形成、値の取得を分離することで、大容量値合意形成を効率的に実現できることを示すこと。
• STARKベースの証明が、理論的下界に近いビット複雑度を実現できることを示すこと。

提案手法

• DAREは合意形成を3段階に分解する：分散（値の符号化断片の配布）、合意形成（しきい値署名を用いたハッシュの合意）、取得（断片からの値の再構成）。
• Lビットの値をn個の断片に分割し、各断片のサイズをO(L/n)にすることで、効率的かつ耐障害性の高い配布を実現する。
• 各プロセスは、自らの値のハッシュに加え、(2t+1)-しきい値署名をブロードキャストすることで、O(n)時間でハッシュの合意が可能になる。
• 各断片が元の送信者に束縛されることを保証するため、証明可能な証明（例：STARK）を用いて、取得段階での正しさを保証する。
• ハッシュの合意が成立すると、プロセスは暗号的証明とともにReed-Solomon記号をブロードキャストし、t+1個の正常な断片が受信されれば復元可能になる。
• DARE-StarkはSTARK証明を用いて、断片あたりのコストをpoly(κ)に削減し、近似的最適なビット複雑度を達成する。

実験結果

リサーチクエスチョン

• RQ1 大容量値（L > nκ）に対して、サブ2次関数のビット複雑度を達成できるバシリンタイン合意形成が設計可能か？
• RQ2 効率的な暗号的プリミティブを用いて、近似的最適なビット複雑度O(nL + n^2poly(κ))を達成することは可能か？
• RQ3 分散、合意形成、取得の段階を分離することで、ラティンシーを損なわずに通信効率を向上させられるか？
• RQ4 STARK証明の使用が、合意形成プロトコルのビット複雑度と実用性に与える影響は何か？
• RQ5 既存の合意形成プロトコルにおけるO(n^2L)のビット複雑度のボトルネックは、新規の分散技術によって克服可能か？

主な発見

• DAREはO(n^1.5L + n^2.5κ)のビット複雑度を達成し、L ≥ nκの場合にO(n^2L)の最先端技術と比較して有効な√n要因の改善を実現する。
• DARE-StarkはO(nL + n^2poly(κ))のビット複雑度を達成し、理論的下界Ω(nL + n^2)にほぼ達する。
• DAREおよびDARE-Starkの両方とも、最適なO(n)最悪ケースラティンシーを維持しており、部分同期環境下での高速収束を保証する。
• Reed-Solomon符号化としきい値署名の組み合わせにより、通信オーバーヘッドを最小限に抑えつつ、効率的な分散と耐障害性の高いハッシュ合意形成が可能になる。
• DARE-StarkにおけるSTARKベースの証明により、コンactで暗号的に信頼性のある証明が可能になり、断片あたりの通信コストをpoly(κ)に削減し、近似的最適な性能を実現する。