[논문 리뷰] Revisiting Fast Practical Byzantine Fault Tolerance

Ittai Abraham, Guy Golan Gueta외 4명|arXiv (Cornell University)|2017. 12. 04.

Distributed systems and fault tolerance참고 문헌 15인용 수 46

한 줄 요약

이 논문은 네 대리자, 하나 또는 두 개의 뷰 전환 조건에서 두 가지 주요 옵timistic Byzantine fault tolerance 프로토콜인 Zyzzyva와 FaB에 임계적인 안전성 및 라이브니스 결함이 있음을 규명한다. Zyzzyva는 상충하는 prepare 메시지로 인해 안전하지 않은 결정을 허용하는 반면, FaB의 매개변수화된 변형은 일관되지 않은 진행 증명서로 인해 뷰 전환 중에 멈출 수 있으며, 이는 그가 주장하는 빠른 경로 보장을 무효화한다.

ABSTRACT

In this note, we observe a safety violation in Zyzzyva and a liveness violation in FaB. To demonstrate these issues, we require relatively simple scenarios, involving only four replicas, and one or two view changes. In all of them, the problem is manifested already in the first log slot.

연구 동기 및 목표

• 옵티미스틱 Byzantine fault tolerance 프로토콜, 특히 Zyzzyva와 FaB에서 임계적인 안전성 및 라이브니스 위반을 규명하고 이를 입증하는 것.
• 이러한 결함가 네 대리자와 하나 또는 두 개의 뷰 전환 조건에서만 이루어지는 단순한 시나리오에서도 발생함을 보여주는 것.
• FaB의 매개변수화된 변형(PFaB)이 일관되지 않은 진행 증명서로 인해 진행이 멈출 수 있음을 증명하여, 빠른 경로의 라이브니스 보장을 약화시키는 것.
• 옵티미스틱 경로가 주 프로토콜에서 완전히 분리되어도 정확성에 영향을 주지 않는다는 가정을 도전하는 것.
• 기존의 신속한 Byzantine 합의 프로토콜 중에서 최적의 스텝 복잡도, 내성, 1/3 미만의 장애 발생 조건 하에서의 안전성, 부분 동기 환경에서의 진행성을 동시에 충족하는 것이 없는 것을 강조하는 것.

제안 방법

• Zyzzyva와 FaB의 뷰 전환 메커니즘을 분석하여, 신규 리더가 이전 뷰의 값을 진행 증명서를 통해 수용하는 방식을 다룸.
• 네 대리자(하나의 Byzantine)와 하나 또는 두 개의 뷰 전환을 포함한 최소한의 악성 시나리오를 구성하여 안전성 및 라이브니스 위반을 유도함.
• FaB의 매개변수화된 변형(PFaB)에서 진행 증명서가 상충하는 prepare 값과 다른 값에 대한 commit-증명서를 포함할 수 있음을 입증하여 프로토콜이 멈출 수 있음을 보임.
• PFaB의 진행 증명서 검증 규칙이 두 상충하는 값 중 어느 것도 증명서가 보증하지 못하도록 允허함으로써 사각지대가 발생하고, 이로 인해 정지 상태에 이를 수 있음을 규명함.
• 쿼럼 교차 및 Byzantine 쿼럼 성질에 기반한 형식적 추론을 통해 프로토콜이 핵심 안전성 및 라이브니스 조건을 위반함을 보임.
• PFaB의 레마 7(증명서 보증에 관한)에 문제가 있음을 밝혀내어, 빠른 경로에 대한 주요 정확성 논증이 무효화됨을 강조함.

실험 결과

연구 질문

• RQ1 네 대리자와 하나의 뷰 전환 조건에서 Zyzzyva에서 안전성 위반이 발생할 수 있는가?
• RQ2 FaB의 매개변수화된 변형(PFaB)은 진행 증명서가 일관되지 않을 경우 뷰 전환 중에도 라이브니스를 유지하는가?
• RQ3 PFaB의 진행 증명서 메커니즘은 리더 교체 시 적어도 하나의 값이 보증되도록 충분한가?
• RQ4 옵티미스틱 빠른 경로를 가진 프로토콜이 빠른 경로와 복구 경로가 완전히 통합되어 있지 않더라도 Byzantine 조건 하에서 안전하고 라이브할 수 있는가?
• RQ5 뷰에서 적절한 리더가 없을 경우, 상충하는 prepare 메시지와 commit-증명서로 인해 PFaB에서 정지 상태에 이를 수 있는가?

주요 결과

• Byzantine 리더가 상충하는 값을 사전 제안하고, 정상 대리자가 이를 수락함으로써, 단 하나의 뷰 전환 조건에서도 Zyzzyva에서 안정성 위반이 발생하여 결정이 일관되지 않게 된다.
• FaB의 매개변수화된 변형(PFaB)에서 진행 증명서가 상충하는 prepare 값을 포함하는 두 개의 신규 뷰 메시지와 다른 값에 대한 commit-증명서를 포함할 수 있어 프로토콜이 멈출 수 있음.
• 증명서가 어떤 값도 보증하지 못하기 때문에 프로토콜이 진행이 되지 않으며, 이는 f+t+1개의 상충하는 prepare 메시지와 상충하는 commit-증명서 존재로 인해 보증 조건이 위반되기 때문이다.
• 문제의 근본 원인은 PFaB의 레마 7에 있으며, 이는 모든 진행 증명서가 적어도 하나의 값을 보증한다고 잘못 가정하고 있으나, 실제로는 어떤 값도 보증하지 못할 수 있음을 보여준다.
• f=1, t=0, n=4 조건에서도 문제가 발생하므로, 이는 대규모 시스템이나 복잡한 장애 패tern에 의존하지 않는다는 것을 보여준다.
• 논문은 기존의 신속한 Byzantine 복제 프로토콜 중에서 최적의 스텝 복잡도, 내성, 1/3 이하의 장애 발생 조건 하에서의 안전성, 부분 동기 환경에서의 진행성을 동시에 충족하는 것이 없다고 결론 내린다.