原文標(biāo)題：《Sticking to 8192 signatures per slot post-SSF: how and why》

原文作者：Vitalik Buterin，ETH research

原文編譯：Luccy，BlockBeats

編者按：SSF（Single Slot Finality）即單槽確定性，它提供了一種方法來顯著減少以太坊的延遲。在區(qū)塊鏈共識機(jī)制領(lǐng)域，最終性意味著交易或區(qū)塊變得不可撤銷，確保其不能被篡改或逆轉(zhuǎn)。實(shí)現(xiàn)最終確定性對于去中心化系統(tǒng)的信任和安全至關(guān)重要，因?yàn)樗穗p重支出和其他惡意活動的風(fēng)險。

SSF 建議在區(qū)塊鏈共識機(jī)制中，單個時隙或時間單位可以被視為「最終確定」。它與最初的以太坊共識不同，可以讓所有驗(yàn)證者參與認(rèn)可或簽署插槽，能夠減少交易確認(rèn)時間并改善整體用戶體驗(yàn)。

Vitalik「回歸」ETH research 探討了為什么需要在 SSF 后讓參與的驗(yàn)證者每個槽位有兩個簽名，即達(dá)到 8192 個簽名數(shù)，同時對如何實(shí)現(xiàn)這一目標(biāo)提出 3 種假設(shè)，即全面質(zhì)押、兩層質(zhì)押和輪換參與，分析了在保持協(xié)議安全性的前提下，如何更有效地處理每個槽位的簽名數(shù)量，并討論了它們的優(yōu)劣勢以及對協(xié)議和用戶的影響。BlockBeats 將原文編譯如下：

以太坊與大多數(shù)其他（帶有終局性的）權(quán)益證明系統(tǒng)的一個主要區(qū)別在于，以太坊力圖支持極大數(shù)量的驗(yàn)證者：目前我們擁有 895, 000 個驗(yàn)證者，Zipf 定律的分析表明，這相當(dāng)于數(shù)以萬計(jì)的獨(dú)立的個體或?qū)嶓w。這樣做的目的是為了支持去中心化，使普通人能夠參與質(zhì)押，而不需要每個人都放棄自己的行動能力并把控制權(quán)交給少數(shù)幾個質(zhì)押池之一。

然而，這種方法要求以太坊鏈在每個槽位處理大量的簽名（今天約為 28, 000 個；SSF 后為 1, 790, 000 個），這是一種非常高的負(fù)載。為了支持這種負(fù)載，必須做出許多技術(shù)上的犧牲：

它需要一個復(fù)雜的證明傳播機(jī)制，其中證明被分割到多個子網(wǎng)之間，需要超級優(yōu)化 BLS 簽名操作來驗(yàn)證這些簽名等等。

我們目前沒有明確的、能夠高效應(yīng)對的量子抗性替代方案。

像視圖合并這樣的分叉選擇修復(fù)變得更加復(fù)雜，因?yàn)闊o法提取單個簽名。

對這么多簽名進(jìn)行 SNARK 處理很困難。Helios 需要在一個專門的額外簽名上運(yùn)行，稱為同步委員會簽名。

它要求一個槽內(nèi)有三個子槽而不是兩個，從而增加了安全最小槽時間。

簽名聚合系統(tǒng)乍一看似乎合理，但實(shí)際上它產(chǎn)生了遍布整個系統(tǒng)的系統(tǒng)性復(fù)雜性。

此外，它甚至沒有實(shí)現(xiàn)其目標(biāo)。質(zhì)押的最低要求仍然是 32 ETH，這對很多人來說是不可及的。僅從邏輯分析的角度來看，長期內(nèi)讓每個人在每個槽位都簽名的系統(tǒng)，真正為普通人提供質(zhì)押的目標(biāo)似乎是不可行的：如果以太坊有 5 億用戶，其中 10% 參與質(zhì)押，那意味著每個槽位有 1 億個簽名。從信息論的角度來看，在這個設(shè)計(jì)中處理懲罰至少需要每個槽位 12.5 MB 的數(shù)據(jù)可用空間，大致相當(dāng)于全面分片的目標(biāo)。也許是可行的，但要求質(zhì)押本身依賴于數(shù)據(jù)可用性抽樣是一個很大的復(fù)雜性增益。而且即便如此，參與質(zhì)押的僅僅是全球人口中的 約 0.6% ，而且還沒有開始涉及驗(yàn)證這么多簽名的計(jì)算問題。

因此，與其依賴密碼學(xué)家創(chuàng)造魔法子彈（或者魔法防彈）來實(shí)現(xiàn)每個槽位中簽名數(shù)量不斷增加，我建議我們進(jìn)行一次哲學(xué)性的轉(zhuǎn)變：首先放棄對此類期望。這將極大地擴(kuò)展權(quán)益證明設(shè)計(jì)空間，并允許大量技術(shù)簡化，通過允許 Helios 直接在以太坊共識上進(jìn)行 SNARK，使其更加安全，并通過使即使是像 Winternitz 這樣無趣但長期存在的簽名方案也變得可行來解決量子抗性問題。

為什么不「只使用委員會」？

許多面臨這個確切問題的非以太坊區(qū)塊鏈采用基于委員會的安全方法。在每個槽位期間，它們隨機(jī)選擇 N 個驗(yàn)證者（例如，N ≈ 1000），這些驗(yàn)證者負(fù)責(zé)最終確認(rèn)該槽位。值得提醒的是，為什么這種方法不足夠，因?yàn)樗鼪]有提供問責(zé)制。

為了了解原因，假設(shè)發(fā)生了 51% 的攻擊。這可能是一次終態(tài)逆轉(zhuǎn)攻擊或?qū)彶楣簟榱诉M(jìn)行攻擊，您仍然需要經(jīng)濟(jì)參與者控制大部分股份，以在攻擊中達(dá)成一致，即運(yùn)行參與攻擊的軟件，并與最終被選為委員會的所有驗(yàn)證者一起參與攻擊。數(shù)學(xué)上的隨機(jī)抽樣確保了這一點(diǎn)。然而，他們因此而受到的懲罰微乎其微，因?yàn)榇蠖鄶?shù)同意攻擊的驗(yàn)證者最終并未被選為委員會成員，因此未被看到。

目前，以太坊的做法完全相反。如果發(fā)生了 51% 的攻擊，整個攻擊驗(yàn)證者集合的大部分將被削減他們的押金。目前攻擊的成本約為 9 百萬 ETH（約 200 億美元），并且假設(shè)網(wǎng)絡(luò)同步中斷以最有利于攻擊者的方式進(jìn)行。

我認(rèn)為這是一個很高的成本，但這代價太高了，我們可以在這個問題上做出一些犧牲。即使攻擊成本為 1-2 百萬 ETH 也完全足夠。此外，目前以太坊存在的主要中心化風(fēng)險體現(xiàn)在一個完全不同的地方：如果最低押金金額降低到接近零，大規(guī)模的質(zhì)押池的力量將減弱不了多少。

這就是為什么我提倡一個中庸的解決方案：在驗(yàn)證者責(zé)任上做一些犧牲，但仍然保持很高的總可削減 ETH 數(shù)量，作為交換，我們可以享受到較小驗(yàn)證者集的大部分好處。

Tendermint 使用的協(xié)議，以及 SSF 無可避免地會使用的協(xié)議），每個參與的驗(yàn)證者每個槽位需要兩個簽名。我們需要解決這個現(xiàn)實(shí)，我看到有三種主要方法可以解決這個問題。

方法 1 ：全面采用去中心化的質(zhì)押池

Python 之禪中包含一句非常關(guān)鍵的話：

There should be one-- and preferably only one --obvious way to do it.（應(yīng)該有一種——最好只有一種——明顯的方法來完成它。）

對于使質(zhì)押變得平等的問題，以太坊目前違反了這個規(guī)則，因?yàn)槲覀兺瑫r在執(zhí)行兩種不同的策略以實(shí)現(xiàn)這一目標(biāo)：（i）小規(guī)模的獨(dú)立質(zhì)押，和（ii）使用分布式驗(yàn)證器技術(shù)（DVT）的去中心化質(zhì)押池。基于上述原因，（i）只能支持一些個人質(zhì)押者；總是會有很多人的最低押金金額太大。然而，以太坊正在支付支持（i）的非常高的技術(shù)負(fù)擔(dān)成本。

一種可能的解決方案是放棄（i），全力以赴（ii）。我們可以將最低押金金額提高到 4096 ETH，并設(shè)定總驗(yàn)證者上限為 4096 個（約 1670 萬 ETH）。預(yù)期小規(guī)模質(zhì)押者將加入 DVT 池：通過提供資本或成為節(jié)點(diǎn)運(yùn)營者。為防止攻擊者濫用，節(jié)點(diǎn)運(yùn)營者角色需要以某種方式受到聲望門檻的限制，各個池將通過在這方面提供不同選項(xiàng)來競爭。資本提供將是無需許可的。

我們可以通過設(shè)定懲罰上限（例如，為總提供押金的 1/8）使這個模型中的質(zhì)押更加「寬容」。這將允許減少對節(jié)點(diǎn)運(yùn)營者的信任，盡管由于概述的問題，值得謹(jǐn)慎對待。

方法 2 ：兩層質(zhì)押

我們創(chuàng)建兩層質(zhì)押者：一個「重」層，要求 4096 ETH 參與終態(tài)確認(rèn)，和一個「輕」層，沒有最低要求（也沒有押金和提現(xiàn)延遲，沒有削減的漏洞），增加了第二層安全性。為了使一個塊終態(tài)確認(rèn)，既需要重層終態(tài)確認(rèn)，又需要輕層中至少 50% 的在線輕驗(yàn)證者證明。

這種異質(zhì)性對于審查和攻擊抵抗是有益的，因?yàn)闉榱斯舫晒Γ枰瑫r腐化重層和輕層。如果一層被腐化而另一層沒有，鏈將停止；如果是重層被腐化，可以對其進(jìn)行懲罰。

這樣做的另一個好處是，輕層可以包含同時用作應(yīng)用程序內(nèi)抵押的 ETH。主要的缺點(diǎn)是通過確立小規(guī)模質(zhì)押者和大規(guī)模質(zhì)押者之間的分歧，使質(zhì)押變得不那么平等。

方法 3 ：輪換參與（即委員會但有問責(zé)制）

我們采取一種類似于在這里提出的超級委員會設(shè)計(jì)的方法：對于每個槽位，我們選擇 4096 個當(dāng)前活躍的驗(yàn)證者，并在每個槽位中仔細(xì)調(diào)整該集合，以便我們?nèi)匀痪哂邪踩浴?/p>

然而，我們在這個框架內(nèi)做了一些不同的參數(shù)選擇，以在其中獲得「物有所值」。尤其是，我們允許驗(yàn)證者使用任意高余額參與，并且如果驗(yàn)證者的 ETH 數(shù)量超過一定數(shù)量 M（這將必須是浮動的），則他們在每個槽位中參與委員會。如果驗(yàn)證者有 N

在這里我們有一個有趣的杠桿，即在激勵目的上解耦「權(quán)重」與共識目的上的「權(quán)重」：委員會中每個驗(yàn)證者的獎勵應(yīng)該是相同的（至少對于使用 ≤M ETH 的驗(yàn)證者來說），以保持平均獎勵與余額成比例，但我們?nèi)匀豢梢酝ㄟ^ ETH 加權(quán)計(jì)算委員會中的共識驗(yàn)證者權(quán)重。這確保打破最終性需要的 ETH 量等于委員會中總 ETH 的 1/3 倍以上。

一個粗略的 Zipf 定律分析會計(jì)算出這個 ETH 數(shù)量，如下：

在總余額的每個二次方級別，驗(yàn)證者的數(shù)量與該余額級別成反比，并且這些驗(yàn)證者的總余額將相同。

因此，委員會將有來自每個余額級別的等量 ETH 參與，除了超過障礙 M 的級別，其中驗(yàn)證者始終在委員會中。

注：為更清楚展示計(jì)算數(shù)據(jù)，接下來的步驟將截圖展示

這種方法的主要缺點(diǎn)是在協(xié)議中隨機(jī)選擇驗(yàn)證者的復(fù)雜性略有增加，以便我們可以在委員會更改的情況下獲得共識安全性。

主要優(yōu)點(diǎn)是它以一種可識別的形式保留了獨(dú)立質(zhì)押，保持了一個單一類別系統(tǒng)，甚至允許將最低押金金額降低到非常低的水平（例如 1 ETH）。

結(jié)論

如果我們確定在 SSF 協(xié)議后，要堅(jiān)持使用 8192 個簽名，這將使技術(shù)實(shí)施者以及輕客戶端等側(cè)基礎(chǔ)設(shè)施的構(gòu)建者的工作變得更加容易。任何人都可以更輕松地運(yùn)行共識客戶端，用戶、質(zhì)押愛好者等人可以立即根據(jù)這一假設(shè)進(jìn)行工作。以太坊協(xié)議的未來負(fù)載不再是未知的：未來可以通過硬分叉進(jìn)行提升，但只有當(dāng)開發(fā)人員確信技術(shù)已經(jīng)足夠改進(jìn)，能夠在相同輕松的水平上處理每個槽位更多的簽名。

剩下的工作將是決定我們要采用上述三種方法中的哪一種，或者可能是完全不同的方法。這將是一個我們對哪些權(quán)衡我們感到滿意的問題，特別是我們?nèi)绾翁幚硪后w質(zhì)押等相關(guān)問題，這可能可以與現(xiàn)在變得更加容易的技術(shù)問題分開解決。