[论文解读] Every Bit Counts in Consensus

Pierre Civit, Seth Gilbert+4 more|arXiv (Cornell University)|Jan 1, 2023

Cryptography and Data Security被引用 3

一句话总结

本文提出 DARE，一种新颖的拜占庭共识算法，通过一种新型分发原原子将值协议与值检索解耦，实现了 O(n^1.5L + n^2.5κ) 的比特复杂度。此外，本文还引入 DARE-Stark，利用 STARK 证明几乎达到理论下界，比特复杂度为 O(nL + n^2poly(κ))，且具有最优的 O(n) 延迟，显著优于以往针对大值共识的 O(n^2L) 边界。

ABSTRACT

Consensus enables n processes to agree on a common valid L-bit value, despite t < n/3 processes being faulty and acting arbitrarily. A long line of work has been dedicated to improving the worst-case communication complexity of consensus in partial synchrony. This has recently culminated in the worst-case word complexity of O(n^2). However, the worst-case bit complexity of the best solution is still O(n^2 L + n^2 kappa) (where kappa is the security parameter), far from the Ω(n L + n^2) lower bound. The gap is significant given the practical use of consensus primitives, where values typically consist of batches of large size (L > n). This paper shows how to narrow the aforementioned gap while achieving optimal linear latency. Namely, we present a new algorithm, DARE (Disperse, Agree, REtrieve), that improves upon the O(n^2 L) term via a novel dispersal primitive. DARE achieves O(n^{1.5} L + n^{2.5} kappa) bit complexity, an effective sqrt{n}-factor improvement over the state-of-the-art (when L > n kappa). Moreover, we show that employing heavier cryptographic primitives, namely STARK proofs, allows us to devise DARE-Stark, a version of DARE which achieves the near-optimal bit complexity of O(n L + n^2 poly(kappa)). Both DARE and DARE-Stark achieve optimal O(n) latency.

研究动机与目标

• 弥合拜占庭共识中理论下界 Ω(nL + n^2) 与现有最佳 O(n^2L + n^2κ) 比特复杂度之间的差距，尤其针对大值（L > nκ）场景。
• 设计一种共识协议，在保持部分同步下最优 O(n) 最坏情况延迟的同时，实现次二次方比特复杂度。
• 证明通过分离值分发、哈希协议和值检索阶段，可高效实现大值共识。
• 表明基于 STARK 的证明可实现接近最优的比特复杂度，逼近理论下界。

提出的方法

• DARE 将共识划分为三个阶段：分发（分发值的编码片段）、协议（使用门限签名对哈希值达成一致）和检索（从片段中重构值）。
• 采用 Reed-Solomon 编码将 L 位的值分割为 n 个大小为 O(L/n) 的片段，实现高效且鲁棒的传播。
• 每个进程广播其值的哈希值以及对该哈希值的 (2t+1)-门限签名，从而在 O(n) 时间内达成对哈希值的一致性。
• 协议使用可证明的证明（如 STARK）将每个片段与其源绑定，确保检索阶段的正确性。
• 在哈希达成一致后，各进程广播其对应的 Reed-Solomon 符号及密码学证明，一旦收到 t+1 个正确片段即可恢复原始值。
• DARE-Stark 通过引入 STARK 证明进一步优化，将每个片段的开销降低至 poly(κ)，实现接近最优的比特复杂度。

实验结果

研究问题

• RQ1 能否为大值（L > nκ）设计出比特复杂度低于二次方的拜占庭共识？
• RQ2 是否可能通过高效的密码学原原子实现接近最优的比特复杂度 O(nL + n^2poly(κ))？
• RQ3 分离分发、协议和检索阶段是否能提升通信效率而不牺牲延迟？
• RQ4 使用 STARK 证明对共识协议的比特复杂度和实用性有何影响？
• RQ5 能否通过新型分发技术克服现有共识协议中 O(n^2L) 的比特复杂度瓶颈？

主要发现

• DARE 实现了 O(n^1.5L + n^2.5κ) 的比特复杂度，相较于 L ≥ nκ 时的 O(n^2L) 最先进水平，有效提升了 √n 倍。
• DARE-Stark 实现了 O(nL + n^2poly(κ)) 的比特复杂度，几乎逼近理论下界 Ω(nL + n^2)。
• DARE 和 DARE-Stark 均保持最优的 O(n) 最坏情况延迟，确保在部分同步环境下快速收敛。
• Reed-Solomon 编码与门限签名的结合，实现了高效分发和低通信开销的哈希值鲁棒协议。
• DARE-Stark 中基于 STARK 的证明可生成紧凑且密码学安全的证明，将每个片段的通信开销降至 poly(κ)，从而实现接近最优的性能。