Vitalik: ¿Qué más se puede mejorar en Ethereum POS?

Título original:>Posibles futuros del Protocolo Ethereum, Parte 1: La fusión

Autor: Vitalik, fundador de Ethereum, compilado: Deng Tong, Bittain Vision

Inicialmente, «The Merge» se refiere al incidente más importante del Acuerdo de Ethereum desde su lanzamiento: transición larga y dura de Won de POW a POS.Hoy en día, Ethereum ha estado operando de manera estable durante casi dos años, y este POS ha tenido un desempeño muy bien en términos de estabilidad, rendimiento y evitación de riesgos centralizados.Sin embargo, POS todavía tiene algunas áreas importantes para mejorar.

La hoja de ruta que pinté en 2023 la divide en varias partes:Mejorar las características técnicas, como la estabilidad, el rendimiento y la accesibilidad a las pequeñas verificaciones.Y cambio económico para hacer frente a los riesgos centralizados.El primero se convirtió en parte de «The Merge», y el segundo se convirtió en parte de «The Scourit».

Este artículo se centrará en la sección «The Merge»:¿Cuáles son el diseño técnico del Certificado de Equidad (POS) que se puede mejorar y cuáles son las formas de lograr estas mejoras?

Esta no es una lista detallada de cosas que pueden hacer POS;

Finalidad de una sola ranura (SSF) y democratización de compromiso (SSF)

¿Qué problemas estamos resolviendo?

En la actualidad, Ethereum necesita 2-3 época (aproximadamente 15 minutos) para finalmente determinar un bloque, y se requiere 32 ETH para convertirse en un prometedor.

Este fue originalmente un compromiso que hizo un equilibrio entre los tres objetivos a continuación:

• Maximice el número de verificaciones que participan en el compromiso (lo que significa directamente la cantidad mínima requerida para la promesa mínima)

• Minimizar el tiempo final

• Para minimizar los gastos de los nodos en ejecución

Estos tres objetivos son conflictivos entre sí: para lograr la «certeza final económica» (la finalidad económica, es decir, los atacantes deben destruir una gran cantidad de ETH para restaurar el bloqueo final determinado). Los mensajes deben firmarse.Por lo tanto, si tiene muchas verificaciones, tomará mucho tiempo manejar todas las firmas, o necesita nodos muy potentes para manejar todas las firmas al mismo tiempo.

Tenga en cuenta que todo esto depende de un objetivo clave en Ethereum: garantizar que incluso los ataques exitosos causen altos costos a los atacantes.Este es el significado de la palabra «definición final económica».Si no tenemos este objetivo, finalmente podemos determinar cada ranura para resolver este problema mediante la selección aleatoria de un comité (como el ala).Pero el problema de este método es que si el atacante controla el 51% de las verificaciones, entonces pueden atacar a costos muy bajos (revocado el bloque final determinado, revisar o retrasar la determinación final): solo el del comité del El comité es el del comité.Esto significa que un atacante puede atacar repetidamente la cadena.Por lo tanto, si queremos la certeza final económica, el método basado en el comité simple no es incapaz.

Idealmente, esperamos retener la certeza final económica y, al mismo tiempo, mejorar el status quo en las dos áreas:

1. Complete el bloque dentro de una ranura (idealmente, mantenga o incluso reduzca la longitud de los 12 segundos de corriente) en lugar de 15 minutos

2. Permitió que las verificaciones se comprometieran a 1 eth (originalmente 32 ETH)

La racionalidad del primer objetivo proviene de los dos objetivos.

En primer lugar, asegura que todos los usuarios de Ethereum puedan beneficiarse de las garantías de seguridad de mayor nivel logradas a través del mecanismo de determinación final.Hoy en día, la mayoría de los usuarios no pueden disfrutar de esta garantía porque no están dispuestos a esperar 15 minutos;En segundo lugar, si los usuarios y las aplicaciones no tienen que preocuparse por la posibilidad de retroceso de la cadena (a menos que haya una fuga de fuga de fugas no activada relativamente raras), simplifica el acuerdo y la infraestructura a su alrededor.

El segundo objetivo se debe al deseo de apoyar las promesas en solitario.Las repetidas encuestas de opinión pública una y otra vez muestran que el factor principal para prevenir más compromiso de personas en solitario es el límite mínimo de 32 ETH.Reducir el límite mínimo a 1 ETH resolverá este problema para que otros problemas se hayan convertido en el factor principal que restringe el compromiso en solitario.

Existe un desafío: certeza más rápida y más objetivos de compromiso democrático en conflicto con el objetivo de los gastos minimizados.De hecho, este hecho son todas las razones por las que no adoptamos un solo espacio al principio.Sin embargo, estudios recientes han propuesto algunos métodos posibles para resolver este problema.

¿Qué es SSF y cómo funciona?

La determinación final de una sola ranura implica el uso de algoritmos de consenso que finalizan el bloque en una ranura.Este no es un objetivo difícil en sí mismo: muchos algoritmos (como el consenso de Tendermint) lo han logrado con el mejor atributo.Uno de los atributos ideales exclusivos de Ethereum es «No hay fuga de fuga de actividad».Afortunadamente, este deseo se ha resuelto: ya hay propuestas para modificar el consenso de Tendermint para adaptarse a la fuga de inactividad.

La principal propuesta de definición final de la ranura única

La parte más difícil del problema es cómo hacer que la certeza final de una sola ranura juegue un papel cuando el número de verificaciones es muy alta, y no conducirá a una sobrecarga de operadores de nodos de alto gas.Por esta razón, hay varias soluciones principales:

• Opciones 1: cadena de batalla para lograr un mejor protocolo de agregación de firma, que puede usar ZK-Snarks, lo que en realidad nos permite procesar las firmas de millones de verificaciones en cada ranura.

Horn, uno de los diseños propuestos para un mejor acuerdo de agregación.

• Opción 2: Comité de órbita: un nuevo mecanismo que permite que los comités medianos seleccionados al azar sean responsables de completar la cadena, pero de conservar la forma en que buscamos las características de costos de los costos de ataque.
  Una forma de pensar sobre el SSF de la órbita es que ha abierto un espacio de opción de compromiso, desde el X = 0 (Comité de estilo Algorand, que es la certeza final de la economía) en este momento, Ethereum todavía tiene suficiente certeza final económica hasta Asegúrese de ser extremadamente seguro, pero al mismo tiempo, hemos obtenido la ventaja de eficiencia de cada ranura con solo verificaciones de tamaño mediano para participar en cada ranura.

Orbit utiliza la preexistencia de la heterogeneidad en la escala de depósito para obtener la mayor definición final económica posible, y aún dará el papel correspondiente de las verificaciones en solitario.Además, Orbit utiliza una comisión lenta para garantizar que el alto grado de superposición entre el número legal adyacente se use para garantizar que su certeza final económica aún sea aplicable al límite de rotación del comité.

• Opciones 3: Mecanismo de compromiso de dos capas, del cual el compromiso se divide en dos categorías, un tipo de requisitos de depósito son más altos y el otro tipo de requisitos de depósito son bajos.Solo los niveles con requisitos de depósito más altos participarán directamente en el proporcionar certeza final económica.Hay varias propuestas (por ejemplo, ver, ver, ver,Compromiso de arcoirisArtículo) Para explicar específicamente qué derechos y responsabilidades de los niveles con requisitos de depósito más bajos.Las ideas comunes incluyen:

• El derecho a confiar las promesas a las promesas de nivel superior

• Extraer al azar promesas de nivel inferior para probar y finalmente determinar cada bloque

• El derecho a generar el derecho de las listas de inclusión

¿Cuáles son las conexiones con la investigación existente?

• La forma de realizar la determinación final de una sola ranura (2022):>https://notes.ethereum.org/@vbuterin/single_slot_finity

• La propuesta específica del protocolo de determinación final de la ranura única de Ethereum (2023):https://eprint.iacr.org/2023/280

• Órbita SSF:>https://ethresear.ch/t/orbit-ssf-solo-staking-friendly-validator-set-management- SSF/19928>

• Análisis adicional del mecanismo de estilo de órbita:

• Horn, Acuerdo de agregación de firma (2022):>>https://ethresear.ch/t/horn-collecting-signatures-faster-finity/142199

• Fusión de firma de consenso a gran escala (2023):>https://ethresear.ch/t/signature-merging-for- gran escala- cononsus/17386? U = asn>

• >KhovratovichEsperando el acuerdo de agregación de firma propuesto:>>https://hackmd.io/@7dpnyqjkqgeyc7wmlpxhtq/bykm3gugu0 #/

• Agregación de firma basada en Stark (2022):https://hackmd.io/@vbuterin/stark_aggregation

• Compromiso de arcoiris:https://ethresear.ch/t/unbundling-taking-towards-rainbow-taking/18683

¿Qué debo hacer para hacer?¿Qué necesitas pesar?

Hay cuatro rutas principales posibles para elegir (también podemos adoptar una ruta mixta):

1. Mantener el status quo

2. Orbit SSF

3, fuerza bruta SSF

4. SSF con dos capas de mecanismo de compromiso

1 Significa que no hace nada y lo mantiene, pero esto hará que la experiencia de seguridad de Ethereum y los atributos de centralización de compromiso sean peores que originalmente.

2 Evite la «alta tecnología», y para resolver el problema reorganizando sutilmente el acuerdo: relajamos los requisitos de «definición final económica», de modo que requerimos que el ataque sea costoso, pero el costo de ataque puede ser 10 veces más bajo que El del presente ahora.En general, se cree que la definición final económica actual de Ethereum supera con creces el nivel que necesita.

El trabajo principal es verificar si el mecanismo de órbita es seguro y tiene los atributos que queremos, y luego formalmente formalmente formalmente formarlo e implementarlo.Además, EIP-7251 (aumentar el equilibrio efectivo máximo) permite que la verificación voluntaria se fusione, lo que reducirá inmediatamente la sobrecarga de verificación de la cadena y servirá como una etapa inicial efectiva lanzada por la órbita.

3 Evite el reposo ingenioso, pero resuelva por la fuerza el problema con una alta tecnología.Para hacer esto, lleva un corto período de tiempo (5-10 segundos) recolectar una gran cantidad de firmas (más de 1 millón).

4 Evite el ingenioso pensamiento y la alta tecnología, pero crea un sistema de compromiso de dos capas, que todavía tiene riesgos centralizados.El riesgo depende en gran medida de los derechos específicos obtenidos por la capa comprometida más baja.Por ejemplo:

• Si las promesas de bajo nivel deben confiar el derecho a demostrar a las promesas superiores, entonces la conflicto puede ser centralizada, y al final obtendremos dos niveles de compromiso altamente concentrados.

• Si se requieren muestras aleatorias para aprobar cada bloque, el atacante solo necesita gastar una pequeña cantidad de ETH para evitar la certeza final.

• Si el compromiso de nivel inferior solo puede producir una lista, la capa de prueba puede mantener la centralización.

Puede combinar múltiples estrategias, como:

1 + 2: Agregar órbita, pero no ejecute la naturaleza final de la ranura única

1 + 3: Use una tecnología fuerte para reducir la cantidad mínima del depósito sin la necesidad de ranuras únicas para finalizar.La cantidad de agregación requerida es 64 veces menor que la situación (3), por lo que el problema se vuelve más fácil.

2 + 3: Use parámetros conservadores para ejecutar órbita SSF (por ejemplo, el comité de verificación de 128K, no 8k o 32k), y use la tecnología de fuerza bruta para que sea súper eficiente.

1 + 4: Agregue el compromiso del arco iris, pero no haga una sola confirmación final de la ranura

¿Cómo interactúa SSF con otras partes de la hoja de ruta?

Además de otros beneficios, la determinación final de la ranura también reduce el riesgo de múltiples ataques MEV de ciertos tipos de MEV.Además, en el mundo de la determinación final de las tragamonedas individuales, el diseño de separación de prueba-proposs-proposs y otros canales de producción de bloques internos deben diseñarse de diferentes maneras.

La debilidad de la estrategia de fuerza bruta es que hacen que sea más difícil reducir el tiempo de ranura.

Elección de líder de un solo líder secreto (ssle)

¿Qué problemas estamos resolviendo?

Hoy, qué verificaciones propondrán que el próximo bloque se puede conocer de antemano.Esto producirá una vulnerabilidad de seguridad: el atacante puede monitorear la red, determinar qué dirección IP correspondiente a qué verificaciones y lanzar un ataque de DOS cuando el verificador está a punto de proponer el bloque.

¿Qué es SSLE y cómo funciona?

La mejor manera de resolver el problema de DOS es ocultar qué verificaciones generarán la información del siguiente bloque, al menos antes de que se genere el bloque real.Tenga en cuenta que si eliminamos los requisitos «individuales», esto es fácil: una solución es permitir que cualquiera cree el siguiente bloque, pero se requiere que Randao revele menos de 2 256/ n.En promedio, solo un verificador puede cumplir con este requisito, pero a veces hay dos o más, a veces no habrá.Siempre ha sido un problema combinar los requisitos «secretos» con los requisitos «individuales».

Un acuerdo electoral de un solo líder secreto utiliza una tecnología cifrada para crear una identificación de persona de verificación «ciega» para cada persona de verificación, y luego dar a muchos propuestas la oportunidad de reorganizar y reorganizar el grupo de identificación ciego (esto es similar al método de trabajo de mixnet. de formas de trabajo), así resolvió este problema.En cada vez, se selecciona una ID de ciega aleatoria.Solo el propietario de la ID ciego puede generar pruebas efectivas para proponer el bloque, pero nadie sabe qué verificación de la ID de ciegas.

Batir el protocolo SSLE

¿Cuáles son las conexiones con la investigación existente?

• Papel de Dan Boneh (2020):https://eprint.iacr.org/2020/025.pdf

• Batillo (Propuesta específica para Ethereum, 2022):https://ethresear.ch/t/whisk-a-practical-shuffle-base-sprotocol-thereum/11763

• Etiqueta electoral de líder secreto único en EthResear.ch:https://ethresear.ch/tag/single-secret- líder-elección

• SSLE simplificado usando la firma del anillo:https://ethresear.ch/t/simplify-ssle/12315

¿Qué debo hacer para hacer?¿Qué necesitas pesar?

De hecho, el resto es encontrar e implementar un protocolo simple y simple para que podamos implementarlo fácilmente en la red principal.Le otorgamos una gran importancia a Ethereum como un acuerdo bastante simple, y no queremos que la complejidad aumente aún más.El SSLE que vimos ha agregado cientos de especificaciones de línea e introdujo nuevos supuestos en el cifrado complejo.Encontrar una implementación de SSLE antiquantum suficientemente efectiva también es un problema suspendido.

Al final, esto puede ocurrir: solo cuando intentamos e introdujimos audazmente el mecanismo para ejecutar el certificado general de conocimiento cero en el protocolo de Ethereum en el L1 en otras razones (como el árbol estatal, ZK-EVM) «Sexual» caer a un nivel suficientemente bajo.

Otra opción es ignorar SSLE en absoluto, pero resolver el problema de DOS con una medida aliviadora (como en la capa P2P) fuera del protocolo.

¿Cómo puede interactuar con otras partes de la hoja de ruta?

Si agregamos un mecanismo de separación de Attester-Proposer (APS), como la ejecución t 4, entonces el bloque de ejecución (es decir, un bloque de bloque de Ethereum) no necesitará SSLE porque podemos confiar en constructores de bloques especializados.Sin embargo, para los bloques de consenso (es decir, bloques que incluyen mensajes de protocolo como pruebas, piezas que pueden incluir listas, etc.), aún nos beneficiaremos de SSLE.

Confirmación de negociación rápida

¿Qué problemas estamos resolviendo?

Es valioso que el tiempo de confirmación de la transacción de Ethereum se acorte aún más de 12 segundos a 4 segundos.Esto mejorará significativamente la experiencia del usuario basada en L1 y rollups, al tiempo que hará que el protocolo Defi sea más eficiente.También hará que L2 sea más fácil descentralización porque permitirá que una gran cantidad de aplicaciones L2 funcionen en rollups, reduciendo así L2 para construir sus propias necesidades de clasificación descentralizadas basadas en el comité.

Confirmación de negociación rápida¿Qué y cómo funciona?

Generalmente hay dos tecnologías aquí:

1. Reduzca el tiempo de ranura, como reducir a 8 segundos o 4 segundos.Esto no significa necesariamente la certeza final de 4 segundos: la determinación final en sí misma requiere una comunicación de tres ruedas, por lo que podemos establecer cada ronda de comunicación en un bloque separado, que será al menos una confirmación preliminar después de 4 segundos.

2. Subsidadores para publicar prefirmación durante el período de ranura.En casos extremos, la propuesta puede incluir las transacciones que ven en tiempo real e inmediatamente publicar el mensaje de prefirmación de cada transacción («Mi primera transacción es 0 × 1234 …», «Soy la segunda transacción es 0 × 5678 … «).La propuesta emitió dos conflictos de confirmación de conflictos se puede manejar de dos maneras: (i) castigo por la propuesta, o (ii) usar testigos para votar por lo que uno es antes.

¿Cuáles son las conexiones con la investigación existente?

• Basado en la prefirmación:https: //ethresear.ch/t/based-preconfirmations/17353

• Acuerdo Promesas de propuesta forzada (PEPC):>https://ethresear.ch/t/unbundling-pbs-towards-protocol-proposercommitments- Pepc/13879

• El ciclo escalonado en la cadena paralela (la idea de baja latencia en 2018):https://ethresear.ch/t/staggered- períodos/1793

¿Qué debo hacer para hacer?¿Qué necesitas pesar?

No está claro acortar la viabilidad del tiempo de ranura.Incluso hoy, los compromisos en muchas áreas del mundo son difíciles de obtener lo suficiente.Existe un riesgo de concentración de verificaciones en el tiempo de ranura de 4 segundos, y debido a la demora, no es práctico convertirse en un autenticador fuera de algunos privilegios.

La debilidad de la propuesta previa confirmación del método es que puede mejorar en gran medida el tiempo de inclusión de la situación promedio, pero no puede mejorar la peor situación: si la propuesta actual funciona bien, su transacción se confirmará en 0.5 segundos En lugar de (promedio) 6 6 6, se incluye en segundos, pero si la propuesta actual está fuera de línea o funciona mal, aún debe esperar 12 segundos para comenzar la próxima vez y proporcionar nuevas propuestas.

Además, hay un problema irrazonable, es decir, cómo motivar la prefirmación.La propuesta tiene la motivación para maximizar sus opciones el mayor tiempo posible.Si el testigo firmó la puntualidad previamente confirmada, entonces el remitente de transacciones puede predecir inmediatamente las condiciones que se predecirán, pero esto traerá una carga adicional al testigo, y puede dificultar que el testigo continúe actuando como neutral «Tubo tonto tonto.

Por otro lado, si no intentamos hacerlo y mantenemos el tiempo de determinación final en 12 segundos (o más), el ecosistema prestará más atención al mecanismo previo a la confirmación del segundo piso y la interacción en el segundo El piso llevará más tiempo.

¿Cómo puede interactuar con otras partes de la hoja de ruta?

Basado en la preconfirmación de la propuesta, en realidad se basa en el mecanismo de separación-proposis de prueba (APS), como

Los expertos en computación cuántica, como Scott Aaronson, han comenzado a considerar la posibilidad de computadoras cuánticas en la mitad del período medio.Esto tendrá un impacto en todo el mapa de ruta de Ethereum: esto significa que cada protocolo de Ethereum que depende de la curva elíptica necesita algunos hash u otras alternativas antiquantum.Esto significa particularmente que no podemos asumir que siempre podremos confiar en el excelente rendimiento de la agregación BLS para manejar las firmas del conjunto de autenticación a gran escala.Esto demuestra que la conservación de la suposición del rendimiento del diseño de la equidad es razonable, y también es la razón por la cual el esquema alternativo antiquantum se está desarrollando más activamente.

Gracias por los comentarios y la revisión de Justin Drake, Hsiao-Wei Wang,@antonttc y Francesco.