Vitalik: El futuro del Acuerdo Ethereum (Parte 1) – Fusión

Autor: Vitalik;

Un agradecimiento especial a Justin Drake, Hsiao-Wei Wang, @antonttc y Francesco por sus comentarios y revisiones.

Inicialmente, la «fusión» se refiere al evento más importante de la historia desde el lanzamiento del Protocolo de Ethereum: la transición tan esperada y con fuerza de prueba de trabajo a prueba de estaca.Hoy, Ethereum se ha convertido en una prueba estable de sistema de participación durante casi dos años, y esta prueba de estaca ha tenido un desempeño muy bien en estabilidad, rendimiento y evitación de riesgos centralizados.Sin embargo, todavía hay algunas áreas importantes para que se mejoren la prueba de participación.

Mi hoja de ruta 2023 lo divide en varias partes: mejorar las características técnicas como la estabilidad, el rendimiento y la accesibilidad a los validadores más pequeños, y los cambios económicos para abordar los riesgos centralizados.El primero se hizo cargo del título de «fusión», mientras que el segundo se convirtió en parte de «Scourge».

Este artículo se centrará en la sección «Fusionar»: ¿qué otras mejoras se pueden hacer en el diseño técnico de la prueba de estaca y qué formas se pueden hacer estas mejoras?

Esta no es una lista exhaustiva de mejoras a la prueba de estaca;

Finalidad única y promesa de democratización

¿Qué problemas estamos resolviendo?

Hoy en día, se necesitan 2-3 épocas (aproximadamente 15 minutos) para completar un bloque y 32 ETH para convertirse en un estakador.Este fue originalmente un compromiso para equilibrar tres objetivos:

• Maximice el número de validadores que pueden participar en el replanteo (esto significa minimizar directamente el ETH mínimo requerido para el replanteo)

• Minimizar el tiempo de finalización

• Minimizar la sobrecarga de los nodos en ejecución

Estos tres objetivos son conflictivos: para lograr la finalidad económica (es decir, el atacante necesita destruir una gran cantidad de ETH para restaurar el bloque finalizado), cada vez que se finaliza la finalización, cada validador debe firmar dos mensajes.Entonces, si tiene muchos validadores, lleva mucho tiempo procesar todas las firmas o un nodo muy poderoso para procesar todas las firmas al mismo tiempo.

Tenga en cuenta que todo depende de un objetivo clave de Ethereum: garantizar que incluso los ataques exitosos puedan generar altos costos a los atacantes.Esto es lo que significa el término «finalidad económica».Si no tenemos este objetivo, podemos resolver este problema seleccionando aleatoriamente un comité (como lo que Algorand hace) para finalizar cada ranura.Pero el problema con este enfoque es que si el atacante controla el 51% de los validadores, puede atacar a un costo muy bajo (recuperar bloques finalizados, revisar o retrasar la finalización): solo se puede detectar parte de los nodos del comité como participantes en Un ataque y ser castigado, ya sea a través de cortes o algunas tenedores suaves.Esto significa que el atacante puede atacar la cadena repetidamente.Entonces, si queremos la finalidad económica, un enfoque simple basado en el comité no funcionará, y a primera vista, necesitamos un conjunto completo de validadores para participar.

Idealmente, queremos retener la resistencia económica mientras mejoramos el status quo de dos maneras:

• Bloques finales en una ranura (idealmente mantenga o incluso reduzca la corriente de 12 segundos de longitud) en lugar de 15 minutos

• Permitir que los verificadores estancen con 1 ETH (por debajo de 32 ETH a 1 ETH)

El primer objetivo se demuestra por dos objetivos, los cuales pueden verse como «consistentes con las propiedades de Ethereum con las propiedades de la cadena L1 orientada al rendimiento (más centralizada)».

Primero, asegura que todos los usuarios de Ethereum se beneficien de niveles más altos de garantía de seguridad logrado a través de los mecanismos de finalización.Hoy, la mayoría de los usuarios no pueden disfrutar de este tipo de garantía porque no están dispuestos a esperar 15 minutos;En segundo lugar, si los usuarios y las aplicaciones no tienen que preocuparse por la posibilidad de retroceso de la cadena (a menos que ocurran fugas de inactividad relativamente raras), simplifica el protocolo y la infraestructura circundante.

El segundo objetivo está fuera del deseo de apoyar las promesas individuales.Una y otra vez las encuestas han demostrado repetidamente que el factor principal que impide que más personas prometan individualmente es el límite mínimo de 32 ETH.Reducir el límite mínimo a 1 ETH resolverá este problema, de modo que otros problemas se conviertan en el factor principal para limitar la apuesta por separado.

Hay un desafío: certeza más rápida y objetivos más democratizados en conflicto en conflicto con el objetivo de minimizar la sobrecarga.De hecho, este hecho es la razón por la que no adoptamos la certeza de un solo ranura al principio.Sin embargo, investigaciones recientes han propuesto algunas posibles soluciones a este problema.

¿Qué es y cómo funciona?

La finalidad de la ranura única implica el uso de un algoritmo de consenso que finaliza los bloques dentro de una ranura.Este no es un objetivo difícil en sí mismo: muchos algoritmos (como el consenso Tendermint) lo han implementado con propiedades óptimas.Una propiedad ideal exclusiva de Ethereum es una fuga inactiva que Tendermint no admite, lo que permite que la cadena continúe funcionando y eventualmente se recupere, incluso si más de 1/3 de los validadores están fuera de línea.Afortunadamente, este deseo se ha cumplido: ha habido propuestas para modificar el consenso de estilo Tendermint para acomodar fugas inactivas.

Propuesta final principal de un solo ministro

La parte más difícil del problema es descubrir cómo hacer que la finalidad de un solo rango funcione cuando el número de validadores es muy alto sin causar una sobrecarga de operadores de nodo extremadamente alto.Para hacer esto, hay varias soluciones principales:

• Opción 1:Fuerza bruta: esfuerzos para implementar mejores protocolos de agregación de firma, posiblemente utilizando ZK-Snarks, lo que en realidad nos permite procesar las firmas de millones de validadores en cada ranura.

Horn, uno de los diseños propuestos para mejores protocolos de agregación.

• Opción 2:Comisión de órbita: un nuevo mecanismo que permite que las comisiones medianas seleccionadas al azar sean responsables de finalizar la cadena, pero de una manera que conserva los atributos del costo de ataque que estamos buscando.

  Una forma de pensar en Orbit SSF es que abre un espacio para opciones de compromiso que van desde x = 0 (comité de estilo algorand, sin finalidad económica) a X = 1 (estado de Ethereum), abriendo puntos en el medio, Ethereum allí sigue siendo suficiente finalidad económica para lograr una seguridad extrema, pero al mismo tiempo obtenemos la ventaja de eficiencia de solo una muestra de validador aleatorio de tamaño mediano involucrado en cada período.

Orbit aprovecha la heterogeneidad preexistente del tamaño del depósito del verificador para lograr la mayor finalidad económica posible, al tiempo que le da a los verificadores pequeños el papel correspondiente.Además, la órbita utiliza rotaciones lentas del comité para garantizar una alta superposición entre los quórs adyacentes, asegurando así que su finalidad económica aún se aplica a los límites de rotación del comité.

• Opción 3:Promesa de dos capas: un mecanismo en el que las promesas se dividen en dos categorías: uno tiene requisitos de depósito más altos y el otro tiene requisitos de depósito más bajos.Solo los niveles con requisitos de depósito más altos participarán directamente en el proporcionar finalidad económica.Existen varias propuestas sobre qué derechos y responsabilidades son exactamente en los requisitos de depósito más bajos (ver Rainbow Pledge Post, por ejemplo).Las ideas comunes incluyen:

• El derecho a delegar la equidad a los titulares de capital de nivel superior

• Las partes interesadas de nivel inferior al azar prueban y necesitan completar cada bloque

• Derecho a generar la lista de inclusión

¿Cuáles son las conexiones con la investigación existente?

Formas de lograr una finalidad de un solo rango (2022): https://notes.ethereum.org/@vbuterin/single_slot_finity

Propuestas específicas para el acuerdo final de Ethereum único (2023): https://eprint.iac.org/2023/280

ORBIT SSF: https://ethresear.ch/t/orbit-ssf-solo-staking-friendly-validator-set-management-for-ssf/19928

Análisis adicional del mecanismo de estilo de órbita: https://notes.ethereum.org/@anderselowsson/vorbit_ssf

Horn, Acuerdo de agregación de firma (2022): https://ethresear.ch/t/horn-collecting-signatures-for-faster-finity/14219

Fusión de la firma del consenso a gran escala (2023): https://ethresear.ch/t/signature-merging-for-large-scale–consensus/17386?u=Asn

El Protocolo de agregación de firma propuesta por Khovratovich et al.: Https://hackmd.io/@7dpnyqjkqgeyc7wmlpxhtq/bykm3ggu0#/

Agregación de firma basada en Stark (2022): https://hackmd.io/@vbuterin/stark_aggregation

Rainbow Staking: https://ethresear.ch/t/unbundling-taking-towards-rainbow-taking/18683

¿Qué más queda por hacer?¿Qué pesar?

Hay cuatro rutas viables principales (también podemos usar una ruta híbrida):

• Mantener el status quo

• Órbita SSF

• Poderoso SSF

• SSF con apuestas de dos capas

(1) significa no hacer nada y mantener la apuesta tal como está, pero esto empeorará la experiencia de seguridad de Ethereum y las propiedades centralizadas peores de lo que hubiera sido.

(2) Evite la «alta tecnología» y resuelva el problema repensando hábilmente los supuestos del protocolo: relajamos el requisito de «resistencia económica» para que pidiéramos que los ataques fueran caros, pero los ataques aceptables podrían ser 10 veces menos costosos de lo que son ahora. (Por ejemplo, el ataque cuesta $ 2.5 mil millones, no $ 25 mil millones).Se cree ampliamente que la resistencia económica de Ethereum hoy está mucho más allá del nivel que debe ser, y sus principales riesgos de seguridad están en otros lugares, por lo que este es posiblemente un sacrificio aceptable.

El trabajo principal es verificar que el mecanismo de órbita sea seguro y tiene las propiedades que queremos, luego formalizarlo por completo e implementarlo.Además, EIP-7251 (aumentar el equilibrio máximo válido) permite la consolidación del saldo de validador voluntario, lo que reduce inmediatamente la sobrecarga de verificación de la cadena y sirve como una etapa inicial efectiva para el lanzamiento de la órbita.

(3) Evite el replanteamiento inteligente, pero use una alta tecnología para forzar el problema.Para hacer esto, se necesita una gran cantidad de firmas (más de 1 millón) en muy poco tiempo (5-10 segundos).

(4) Evite el replanteamiento inteligente y la alta tecnología, pero crea un sistema de replanteo de dos niveles que aún tiene riesgos centralizados.El riesgo depende en gran medida de los derechos específicos obtenidos por los niveles de compromiso más bajos.Por ejemplo:

• Si la parte interesada de bajo nivel necesita delegar sus derechos de prueba a la parte interesada de alto nivel, la delegación puede ser centralizada, y eventualmente obtendremos dos partes interesadas altamente centralizadas.

• Si se requiere un muestreo aleatorio de los niveles inferiores para aprobar cada bloque, entonces un atacante puede gastar una cantidad muy pequeña de ETH para prevenir la finalidad.

• Si una parte interesada de bajo nivel solo puede hacer una lista de inclusión, la capa de prueba aún puede estar centralizada, y en este punto el ataque del 51% en la capa de prueba puede revisar la lista de inclusión en sí.

Se pueden combinar varias estrategias, como:

• (1 + 2): Agregue órbita sin realizar una finalidad de una sola ranura.

• (1 + 3): Use la tecnología de fuerza bruta para reducir el tamaño mínimo de depósito sin realizar una finalidad de un solo rango.La cantidad de polimerización requerida es 64 veces menor que el caso puro (3), por lo que el problema se vuelve más fácil.

• (2 + 3): Realice SSF de órbita con parámetros conservadores (por ejemplo, el Comité de Validador de 128K en lugar de 8K o 32K) y use técnicas de fuerza bruta para que sea súper eficiente.

• (1 + 4): Agregue el reverencia de arco iris sin ejecutar la finalidad de la ranura única.

¿Cómo interactúa con el resto de la hoja de ruta?

Entre otros beneficios, la resistencia de la ranura única reduce el riesgo de ciertos tipos de ataques MEV múltiples.Además, en un mundo de finalidad de un solo rango, el diseño de separación de prover-proposor y otras tuberías de producción de bloques de protocolo deben diseñarse de diferentes maneras.

La debilidad de las estrategias violentas es que hacen que sea más difícil acortar el tiempo de ranura.

Elección de líder de un solo líder secreto

¿Qué problemas queremos resolver?

Hoy, se sabe a qué validador propondrá el próximo bloque.Esto crea una vulnerabilidad de seguridad: un atacante puede monitorear la red, identificar qué validadores corresponden a qué direcciones IP y lanzar un ataque DOS en el validador cuando está a punto de proponer un bloque.

¿qué es?¿Cómo funciona?

La mejor manera de resolver el problema de DOS es ocultar la información de qué validador generará el siguiente bloque, al menos antes de generar el bloque.Tenga en cuenta que si eliminamos el requisito «único», esto es fácil: una solución es dejar que cualquiera cree el siguiente bloque, pero requiere que Randao revele menos de 2256/N.En promedio, solo un validador puede cumplir con este requisito, pero a veces habrá dos o más, y a veces habrá cero.Combinar el requisito de «confidencialidad» con el requisito «único» siempre ha sido un problema difícil.

El Protocolo Electoral de Líder Secreto de un solo secreto resuelve este problema mediante la creación de una ID de verificador «ciega» para cada verificador utilizando algunas técnicas de cifrado, y luego brinda a muchos proposores la oportunidad de barajar y reblinificar el grupo de ID de ciegas (que es similar a cómo funcionan las redes híbridas) .En cada período, se selecciona una ID de ciega aleatoria.Solo el propietario de la ID ciego puede generar una prueba válida para proponer un bloque, pero nadie sabe a qué verificador corresponde la ID ciega.

Batir el protocolo SSLE

¿Cuáles son los enlaces con la investigación existente?

Documento de Dan Boneh (2020): https://eprint.iac.org/2020/025.pdf

Whisk (propuesta específica de Ethereum, 2022): https://ethresear.ch/t/whisk-a-practical-shuffle basada en ssle-protocol-for-ethereum/11763

Etiqueta de elección de líder secreto único en ethresear.ch: https://ethresear.ch/tag/singing-secret-leader-election

SSLE simplificado usando la firma del anillo: https://ethresear.ch/t/simplified-ssle/12315

¿Qué más queda por hacer?¿Qué pesar?

En realidad, todo lo que queda es encontrar e implementar un protocolo que sea lo suficientemente simple como para que podamos implementarlo fácilmente en el Netnet principal.Tomamos Ethereum como un protocolo bastante simple y no queremos que aumente una mayor complejidad.La implementación de SSLE que estamos viendo agrega cientos de líneas de código de especificación e introduce nuevos supuestos en el cifrado complejo.También es una pregunta abierta para encontrar una implementación de SSLE cuántica suficientemente eficiente.

Eventualmente, esto puede ocurrir: la «complejidad adicional marginal» de SSLE solo disminuirá cuando introduzcamos un mecanismo de prueba de conocimiento cero común en L1 del protocolo Ethereum por otras razones (por ejemplo, árboles de estado, ZK-EVM). suficiente nivel.

Otra opción es ignorar SSLE en absoluto y usar mitigaciones fuera del protocolo (como en la capa P2P) para resolver problemas de DOS.

¿Cómo interactúa con el resto de la hoja de ruta?

Si agregamos un mecanismo de separación de prover-proposor (APS), como ejecutar boletos, entonces ejecutar bloques (es decir, bloques que contienen transacciones Ethereum) no requerirán SSLE porque podemos confiar en un constructor de bloques dedicado.Sin embargo, para los bloques de consenso (es decir, bloques que contienen mensajes de protocolo (como pruebas, secciones que pueden contener listas, etc.), aún nos beneficiaremos de SSLE.

Confirmación de transacción más rápida

¿Qué problemas estamos resolviendo?

La reducción adicional en el tiempo de confirmación de la transacción de Ethereum es valiosa, de 12 segundos a 4 segundos.Hacerlo mejorará significativamente L1 y la experiencia del usuario basada en el agregado al tiempo que hará que el protocolo Defi sea más eficiente.También hará que L2 sea más descentralizado, ya que permitirá que una gran cantidad de aplicaciones L2 trabajen en la agregación, lo que reduce la necesidad de que L2 construya su propio tipo descentralizado basado en comité.

¿qué es?¿Cómo funciona?

Aquí hay aproximadamente dos tecnologías:

• Reduzca el tiempo de ranura, por ejemplo, a 8 segundos o 4 segundos.Esto no significa necesariamente la finalidad de 4 segundos: la finalidad esencialmente requiere tres rondas de comunicación, por lo que podemos establecer cada ronda de comunicación como un bloque separado, que al menos se confirmará inicialmente después de 4 segundos.

• Permitir que el propositor emita una preconfirmación durante el proceso de intervalo de tiempo.En casos extremos, el proponente puede incorporar las transacciones que ve en sus bloques en tiempo real e inmediatamente publicar un mensaje de preconfirmación previa para cada transacción («Mi primera transacción es 0 × 1234 …», «I La segunda transacción es 0 × 5678 … «).La situación en la que el proponente emite dos confirmaciones conflictivas se puede manejar de dos maneras: (i) cortando al propositor, o (ii) usando el Prover para votar cuál es antes.

¿Cuáles son los enlaces con la investigación existente?

Basado en la prefirmación: https://ethresear.ch/t/based-preconfirmations/17353

Propuesta obligatoria del protocolo (PEPC): https://ethresear.ch/t/unbundling-pbs-towards-protocol-proposer-commitments-pepc/13879

Ciclos entrelazados en cadenas paralelas (thresear.ch/t/staggered-periods/1793

¿Cuáles son el resto y qué compensaciones hay?

No está claro qué tan útil es reducir el tiempo de ranura.Incluso hoy, es difícil para los pendientes en muchas partes del mundo obtener pruebas lo suficientemente rápido.Intentar un tiempo de ranura de 4 segundos tiene el riesgo de centralizar el conjunto de validador, y no es práctico ser un validador fuera de algunas áreas privilegiadas debido a la demora.

La debilidad del método de preconfirmación del proponente es que puede mejorar en gran medida el tiempo de inclusión en el caso promedio, pero no en el peor de los casos: si el proponente actual funciona bien, su transacción se confirmará en 0.5 segundos, y no (no (no (no (no ( Promedio) para ser incluido en 6 segundos, pero si el propositor actual está fuera de línea o no funciona bien, aún tiene que esperar 12 segundos completos antes de poder comenzar la próxima ranura y proporcionar un nuevo propositor.

Además, hay una pregunta abierta, a saber, cómo incentivar la preconfirmación.Los proponentes tienen la motivación para maximizar su opcionalidad el mayor tiempo posible.Si el comprobante firma la puntualidad de la preconfirmación, el remitente de transacciones puede condicionar parte de la tarifa en la preconfirmación inmediata, pero esto pone una carga adicional en el comprobante y puede dificultar que el prueba continúe actuando como Una «tubería tonta» neutral.

Por otro lado, si no intentamos hacer esto y mantener el tiempo de finalización a los 12 segundos (o más), el ecosistema prestará más atención a los mecanismos previos a la confirmación desarrollados por la capa 2, y las interacciones a través de la capa 2 tomarán más tiempo.

¿Cómo interactúa con el resto de la hoja de ruta?

La preconfirmación basada en el propuesta se basa en los mecanismos de separación de prover-propositor (APS), como la ejecución de boletos.De lo contrario, la presión para proporcionar una preconfirmación en tiempo real puede ejercer una presión demasiado concentrada sobre los validadores convencionales.

Otras áreas de investigación

51% de recuperación de ataque

En general, se cree que si ocurren el 51% de los ataques (incluidos los ataques que no pueden aprobar pruebas criptográficas, como la censura), la comunidad trabajará juntos para implementar una bifurcación suave minoritaria para garantizar que las personas buenas ganan y las malas personas se reduzcan o se corten debido a inactividad.Sin embargo, se puede decir que este nivel de exceso de relación en la capa social no es saludable.Podemos tratar de reducir la dependencia de la capa social y hacer que el proceso de recuperación sea lo más automatizado posible.

La automatización completa es imposible porque si es así, esto contará como A & GT; algoritmo de consenso tolerante a fallas del 50%, y ya conocemos las limitaciones (muy estrictas) meditables de tales algoritmos.Pero podemos implementar la automatización parcial: por ejemplo, si el cliente revisa una transacción que el cliente ha visto lo suficiente, el cliente puede negarse automáticamente a aceptar una cadena como final, o incluso negarse a aceptarla como el jefe de la selección de la horquilla.Un objetivo clave es asegurarse de que los malos en el ataque no puedan ganar al menos rápidamente.

Aumentar el umbral de quórum

Hoy, si el 67% de las partes interesadas lo apoyan, el bloque será finalizado.Algunas personas piensan que esto es demasiado radical.Solo hubo una falla final (muy breve) a lo largo de la historia de Ethereum.Si este porcentaje aumenta al 80%, el número de períodos no finales aumentados será relativamente bajo, pero Ethereum obtendrá seguridad: en particular, muchas más situaciones controvertidas conducirán a un cese temporal de la finalidad.Esto parece mucho más saludable que el «lado equivocado» ganando de inmediato, si el lado equivocado es el atacante o el cliente tiene un error.

Esto también responde a la pregunta «¿Cuál es el significado de un prometedor separado»?Hoy, la mayoría de los Stakers ya han atravesado las piscinas y parece poco probable que los Stakers individuales obtengan hasta el 51% de ETH estacada.Sin embargo, parece posible hacer posible si tratamos de lograr que las promesas individuales lleguen a las minorías que bloquean la mayoría, especialmente si la mayoría alcanza el 80% (y por lo tanto solo requiere el 21% para detener la mayoría).Mientras el prometedor individual no participe en el ataque del 51% (ya sea una reversión o revisión final), tales ataques no lograrán una «victoria limpia» y el prometedor individual ayudará activamente a organizar la bifurcación suave minoritaria.

Resistencia cuántica

Metaculus actualmente cree que a pesar del gran error, es probable que las computadoras cuánticas comiencen a agrietarse la criptografía en algún momento de la década de 2030:

Los expertos en computación cuántica, como Scott Aaronson, también han comenzado a considerar la posibilidad de que las computadoras cuánticas realmente funcionen a mediano plazo.Esto tiene implicaciones para toda la hoja de ruta de Ethereum: esto significa que cada parte del protocolo Ethereum que actualmente depende de la curva elíptica requiere algún tipo de alternativa basada en la resistencia cuántica basada en el hash u otra alternativa.Esto significa específicamente que no podemos suponer que siempre podremos confiar en las excelentes características de la agregación BLS para manejar firmas de grandes conjuntos de validados.Esto justifica el conservadurismo en los supuestos de rendimiento de diseño de prueba de estancamiento y también es la razón del desarrollo más agresivo de alternativas de resistencia cuántica.