[论文解读] CFT-Forensics: High-Performance Byzantine Accountability for Crash Fault Tolerant Protocols

Weizhao Tang, Peiyao Sheng+5 more|arXiv (Cornell University)|May 16, 2023

Distributed systems and fault tolerance被引用 2

一句话总结

CFT-Forensics 是一种高性能的问责框架，适用于崩溃容错（CFT）协议（如 Raft），能够在极低开销下实现对拜占庭节点的密码学识别。在真实世界的 CBDC 部署中，其吞吐量达到 Raft 的 97.8%，延迟仅高出 14.5%，优于通用解决方案（如 PeerReview），通过协议特定的优化实现性能优势。

ABSTRACT

Crash fault tolerant (CFT) consensus algorithms are commonly used in scenarios where system components are trusted -- e.g., enterprise settings and government infrastructure. However, CFT consensus can be broken by even a single corrupt node. A desirable property in the face of such potential Byzantine faults is \emph{accountability}: if a corrupt node breaks protocol and affects consensus safety, it should be possible to identify the culpable components with cryptographic integrity from the node states. Today, the best-known protocol for providing accountability to CFT protocols is called PeerReview; it essentially records a signed transcript of all messages sent during the CFT protocol. Because PeerReview is agnostic to the underlying CFT protocol, it incurs high communication and storage overhead. We propose CFT-Forensics, an accountability framework for CFT protocols. We show that for a special family of \emph{forensics-compliant} CFT protocols (which includes widely-used CFT protocols like Raft and multi-Paxos), CFT-Forensics gives provable accountability guarantees. Under realistic deployment settings, we show theoretically that CFT-Forensics operates at a fraction of the cost of PeerReview. We subsequently instantiate CFT-Forensics for Raft, and implement Raft-Forensics as an extension to the popular nuRaft library. In extensive experiments, we demonstrate that Raft-Forensics adds low overhead to vanilla Raft. With 256 byte messages, Raft-Forensics achieves a peak throughput 87.8\% of vanilla Raft at 46\% higher latency ($+44$ ms). We finally integrate Raft-Forensics into the open-source central bank digital currency OpenCBDC, and show that in wide-area network experiments, Raft-Forensics achieves 97.8\% of the throughput of Raft, with 14.5\% higher latency ($+326$ ms).

研究动机与目标

• 解决在拜占庭故障下，崩溃容错（CFT）协议中缺乏高效且实用的问责机制的问题。
• 提供密码学问责——即能够密码学地识别行为异常的节点——而无需替换底层的 CFT 共识协议。
• 降低通用问责解决方案（如 PeerReview）固有的通信和存储开销，后者需记录所有消息。
• 实现在真实系统（如中央银行数字货币，CBDC）中部署问责机制，且性能影响极小。

提出的方法

• 设计一个符合取证要求的 CFT 协议族，包括 Raft 和多 Paxos，通过结构化日志和密码学签名支持高效问责。
• 引入轻量级、协议特定的日志机制，仅记录关键状态和消息元数据，相比完整消息记录显著降低开销。
• 将 Raft-Forensics 实现为 nuRaft 库的扩展，通过最小改动集成到共识逻辑中。
• 使用分块数据结构和密码学哈希，实现高效审计与取证分析中的证据生成。
• 开发可视化工具，用于演示攻击检测与证据展示，包括嫌疑节点识别和不可否认的密码学证据。
• 在微基准测试和与 OpenCBDC 的真实世界集成中评估性能，测量在真实工作负载下的吞吐量和延迟。

实验结果

研究问题

• RQ1 能否为 CFT 协议构建一个实用的问责框架，其开销显著低于通用解决方案（如 PeerReview）？
• RQ2 在真实世界部署中，协议特定的问责扩展与原始 CFT 协议相比性能如何？
• RQ3 能否以最小改动将问责机制集成到广泛使用的 CFT 协议（如 Raft）中，且不牺牲系统可用性或正确性？
• RQ4 在大规模、地理分布式的部署（如 CBDC）中，问责开销与系统性能之间的权衡如何？
• RQ5 所提出的框架是否能提供可验证的、密码学上强效的异常行为证据，可供独立审计？

主要发现

• Raft-Forensics 在使用 256 字节消息时，达到原始 Raft 峰值吞吐量的 87.8%，延迟增加 44 毫秒。
• 在与 OpenCBDC 集成的广域网实验中，Raft-Forensics 达到 Raft 吞吐量的 97.8%，延迟高出 14.5%（+326 毫秒）。
• 通过利用协议特定的结构并避免完整消息日志，该框架相比 PeerReview 显著降低了通信和存储开销。
• 性能评估表明，即使在高负载和网络分区情况下，Raft-Forensics 仍能保持强一致性和可审计性。
• 与 OpenCBDC 的集成表明，可在生产级 CBDC 系统中以可接受的性能代价添加问责机制。
• 可视化工具成功演示了取证审计，包括嫌疑节点识别和不可否认的异常行为密码学证据。