Fungsi Rawak Boleh Disahkan dalam Konsensus

Protokol konsensus memerlukan kerawakan untuk pemilihan pemimpin, pemilihan jawatankuasa dan penetapan serpihan. Kerawakan itu mesti memenuhi tiga sifat: tidak boleh diramal (tiada sesiapa boleh meramalkan output sebelum output didedahkan), tidak boleh dipincang (tiada peserta boleh memanipulasi output untuk mendapatkan kelebihan), dan boleh disahkan secara awam (sesiapa sahaja boleh mengesahkan bahawa output itu betul tanpa mempercayai penjana). Pendekatan naif gagal: nombor rawak daripada satu nod boleh dimanipulasi, manakala skema komit-menyingkap membenarkan penyingkap terakhir memincangkan hasil. Verifiable Random Functions (VRF) menyelesaikan ketiga-tiga keperluan tersebut.

Fungsi Rawak Boleh Disahkan (VRF), yang diperkenalkan oleh Micali, Rabin dan Vadhan pada tahun 1999, ialah fungsi pseudorawak yang menyediakan bukti ketepatan. VRF mempunyai tiga algoritma: KeyGen menjana pasangan kunci (SK, PK); Buktikan(SK, alpha) menghasilkan (beta, pi), dengan beta ialah output dan pi ialah bukti; dan Sahkan(PK, alpha, beta, pi) mengembalikan nilai sah atau tidak sah. Output beta tidak dapat dibezakan daripada rawak oleh sesiapa yang tidak mengetahui SK (kepseudorawakan VRF), manakala bukti pi tidak boleh dipalsukan (keunikan VRF). Saiz bukti ialah O(1) — tetap tanpa mengira masukan.

Binaan VRF yang paling banyak digunakan ialah ECVRF (IETF RFC 9381), yang berasaskan kekerasan logaritma diskret lengkung eliptik. Dengan diberikan kunci persendirian x dan masukan alpha, pembukti mengira H = cincang-ke-lengkung(PK, alpha) (memetakan alpha kepada titik pada lengkung), kemudian gamma = x * H (pendaraban skalar). Output VRF beta = keccak(gamma). Bukti pi menggunakan hujah pengetahuan sifar seperti Schnorr: pembukti membuat komitmen kepada k rawak, mengira cabaran c = cincang(H, gamma, k*G, k*H), respons s = k - c*x, dan menghasilkan pi = (gamma, c, s). Pengesahan menyemak persamaan Schnorr dan mengira semula beta.

Algorand (Silvio Micali dan rakan-rakan, 2017) mempelopori penggunaan VRF dalam konsensus rantaian blok. Dalam setiap pusingan, setiap pengesah menilai VRF(SK, round || seed) secara persendirian untuk mendapatkan hasil rawak. Hasil itu dibandingkan dengan ambang: jika VRF_output < stake_fraction * threshold, pengesah tersebut dipilih sebagai ahli jawatankuasa atau pencadang blok. Hanya pengesah itu yang mengetahui pemilihannya sehingga mereka menyiarkan blok/undi bersama-sama bukti VRF. Pemilihan sendiri secara kriptografi ini menghapuskan keperluan untuk pemilihan pemimpin secara awam, lalu menjadikan Algorand tahan terhadap serangan penafian perkhidmatan yang disasarkan kepada pemimpin yang diketahui akan memimpin seterusnya.

Ouroboros Praos Cardano (versi yang kini digunakan) menggunakan VRF untuk pemilihan pemimpin slot. Dalam setiap epok, benih rawak baharu diperoleh daripada rantaian blok. Setiap pengendali kumpulan pegangan (SPO) menilai VRF(SK, slot || epoch_seed) bagi setiap slot dalam epok tersebut. Jika hasilnya berada di bawah ambang yang berkadar dengan pegangan mereka, mereka menjadi pemimpin slot dan boleh menghasilkan blok. Bukti VRF disertakan dalam pengepala blok, supaya sesiapa sahaja boleh mengesahkan bahawa SPO itu dipilih secara sah. Hal ini memberikan Cardano keselamatan yang boleh dibuktikan terhadap musuh adaptif yang mengetahui jadual pemimpin pada pertengahan epok.

Ethereum menggunakan RANDAO (tandatangan BLS terkumpul) dan bukannya VRF untuk suar rawaknya. RANDAO lebih ringkas — tiada primitif kriptografi tambahan selain BLS — tetapi terdedah kepada bias pihak terakhir yang mendedahkan: pencadang blok yang boleh menjangka bahawa sumbangan RANDAO mereka akan menghasilkan keputusan yang tidak menguntungkan boleh menahan blok mereka (dengan mengorbankan ganjaran blok mereka). Pemilihan berasaskan VRF menyembunyikan pihak yang dipilih sehingga mereka mendedahkan diri, lalu menghapuskan vektor ini sepenuhnya. Pertukarannya ialah VRF menambahkan kerumitan kriptografi (pemetaan cincangan kepada lengkung dan penjanaan bukti), manakala RANDAO menggunakan semula infrastruktur BLS sedia ada.

Chainlink VRF menyediakan kerawakan yang boleh disahkan sebagai perkhidmatan untuk kontrak pintar. Kontrak pengguna meminta kerawakan dengan membayar token LINK. Nod oracle Chainlink menyimpan pasangan kunci VRF. Nod tersebut menilai ECVRF(SK, seed), dengan seed diperoleh daripada cincangan blok dan nilai sekali guna yang diberikan pengguna, kemudian menghantar (beta, pi) pada rantaian blok. Kontrak penyelaras VRF mengesahkan bukti itu sebelum meneruskan hasil rawak kepada pengguna. Hal ini memberikan kontrak pintar akses kepada kerawakan yang tahan manipulasi tanpa memerlukan rantaian tersebut melaksanakan suar VRF asli — berguna untuk pencetakan NFT, cabutan bertuah dan permainan.

Signal Protocol menggunakan VXEdDSA (EdDSA X25519 Boleh Disahkan), iaitu pembinaan VRF pada Curve25519. Apabila pengirim menghasilkan tandatangan kunci awal sekali guna, VRF digunakan untuk menghasilkan nilai sekali guna yang deterministik tetapi tidak dapat diramal daripada mesej dan kunci pengirim. Hal ini menghalang penggunaan semula nilai sekali guna (yang akan menjejaskan keselamatan EdDSA) sambil mengekalkan kebolehsahan tandatangan. Bukti VRF membolehkan penerima mengesahkan bahawa nilai sekali guna itu diperoleh dengan betul, sekali gus menghalang pengirim daripada memilih nilai sekali guna berniat jahat yang boleh membolehkan serangan pemulihan kunci. VXEdDSA menunjukkan bahawa VRF ialah alat kriptografi umum yang melangkaui konsensus.

Fungsi Kelewatan Boleh Disahkan (VDF) kadangkala dikelirukan dengan VRF. VDF memerlukan pengiraan berjujukan sekurang-kurangnya T langkah (sifat kunci masa), lalu menghasilkan output dengan bukti ringkas tentang ketepatannya. VDF digunakan untuk mengurangkan bias pihak terakhir yang mendedahkan dalam RANDAO: lapisan VDF yang dirancang untuk Ethereum akan menyebabkan setiap cubaan manipulasi memerlukan pelaksanaan VDF lebih awal, yang mengambil masa lebih lama daripada tempoh serangan. VRF menyediakan penilaian persendirian serta-merta; VDF menyediakan penilaian awam yang perlahan. Kedua-duanya saling melengkapi: VDF menghalang bias pihak terakhir yang mendedahkan, manakala VRF menghalang ramalan pemimpin.

Pemilihan VRF memberikan peningkatan keselamatan utama terhadap musuh adaptif. Dalam PBFT dan Tendermint, identiti pemimpin diketahui lebih awal (jadual giliran berulang), lalu membolehkan musuh melancarkan serangan penafian perkhidmatan teragih terhadap pemimpin seterusnya sebelum mereka mencadangkan blok. Pemilihan berasaskan VRF (Algorand, Cardano) merahsiakan identiti pemimpin sehingga blok disiarkan — pada ketika itu blok tersebut sudah dicadangkan, jadi serangan penafian perkhidmatan tiba terlalu lewat. Hal ini dipanggil keselamatan adaptif atau pemilihan pemimpin yang tidak dapat diramal. Sifat kriptografi yang membolehkannya ialah hasil VRF kelihatan seperti rawak kepada sesiapa sahaja yang tidak memiliki kunci persendirian.

Pelaksanaan VRF dengan betul memerlukan perhatian kepada beberapa perkara. Pemetaan cincangan kepada lengkung mesti menggunakan algoritma masa malar dan seragam (IETF RFC 9380 mentakrifkan kaedah piawai untuk menghalang kebocoran pemasaan). Nilai k yang digunakan sekali dalam bukti VRF mesti diperoleh secara deterministik daripada (SK, alpha) menggunakan RFC 6979 — penggunaan semula k atau penggunaan k rawak yang lemah akan mendedahkan kunci rahsia (kerentanan yang sama seperti penggunaan semula nilai sekali guna dalam ECDSA). Saiz bukti untuk ECVRF-P256-SHA256-TAI ialah 80 bait; untuk ECVRF-ED25519-SHA512-ELL2 juga 80 bait — kedua-duanya sesuai dimasukkan dalam rantaian blok. Sifat keunikan VRF menjamin bahawa tiada dua bukti sah wujud bagi pasangan (SK, alpha) yang sama.

VRF menghasilkan output pseudorawak bersama bukti kriptografi tentang ketepatannya, yang memenuhi sifat tidak dapat diramal, bebas bias dan boleh disahkan secara awam. ECVRF (RFC 9381) ialah pembinaan piawai pada lengkung eliptik. Algorand menggunakan pemilihan sendiri secara kriptografi berasaskan VRF untuk menentang musuh adaptif. Cardano Ouroboros Praos menggunakan VRF untuk pemilihan pemimpin bagi setiap slot. Chainlink VRF menyediakan kerawakan yang boleh disahkan kepada kontrak pintar. VRF melengkapi VDF (yang menangani bias pihak terakhir yang mendedahkan) dan berbeza daripada RANDAO (yang menggunakan tandatangan BLS terkumpul serta mempunyai kelemahan pihak terakhir yang mendedahkan dan diketahui).