Uzlaşmada Doğrulanabilir Rastgele İşlevler

Uzlaşma protokolleri lider seçimi, komite seçimi ve parça ataması için rastgelelik gerektirir. Rastgelelik üç özelliği karşılamalıdır: öngörülemezlik (açıklanmadan önce hiç kimsenin çıktıyı tahmin edememesi), yanlılaştırılamama (hiçbir katılımcının çıktıyı kendi lehine manipüle edememesi) ve herkesçe doğrulanabilirlik (herkesin üreticiye güvenmeden çıktının doğru olduğunu doğrulayabilmesi). Saf yaklaşımlar başarısız olur: tek bir düğümün rastgele sayısı manipüle edilebilir ve taahhüt-açıklama şemaları son açıklayan tarafın yanlılığına izin verir. Doğrulanabilir Rastgele İşlevler (VRF'ler), üç gereksinimin tümünü karşılar.

Micali, Rabin ve Vadhan tarafından 1999'da tanıtılan Doğrulanabilir Rastgele İşlev (VRF), doğruluk kanıtı sağlayan bir sözde rastgele işlevdir. Bir VRF'nin üç algoritması vardır: KeyGen bir anahtar çifti (SK, PK) üretir; Prove(SK, alpha), beta'nın çıktı ve pi'nin kanıt olduğu (beta, pi) çiftini üretir; Verify(PK, alpha, beta, pi) ise geçerli veya geçersiz döndürür. beta çıktısı, SK'yi bilmeyen herkes için rastgele olandan ayırt edilemez (VRF sözde rastgeleliği) ve pi kanıtı sahtesi üretilemez durumdadır (VRF benzersizliği). Kanıt boyutu O(1)'dir; girdiden bağımsız olarak sabittir.

En yaygın kullanılan VRF yapısı, eliptik eğrilerde ayrık logaritma probleminin zorluğuna dayanan ECVRF'dir (IETF RFC 9381). Bir özel anahtar x ve alpha girdisi verildiğinde kanıtlayıcı, H = hash-to-curve(PK, alpha) değerini hesaplar (alpha'yı bir eğri noktasına eşler), ardından gamma = x * H değerini hesaplar (skaler çarpım). VRF çıktısı beta = keccak(gamma) olur. pi kanıtı, Schnorr benzeri bir sıfır bilgi kanıtı kullanır: kanıtlayıcı rastgele bir k seçer, c = hash(H, gamma, k*G, k*H) meydan okumasını hesaplar, s = k - c*x yanıtını üretir ve pi = (gamma, c, s) çıktısını verir. Doğrulama, Schnorr denklemlerini denetler ve beta'yı yeniden hesaplar.

Algorand (Silvio Micali ve diğerleri, 2017), blok zinciri mutabakatında VRF kullanımına öncülük etmiştir. Her turda her doğrulayıcı, rastgele bir çıktı elde etmek için VRF(SK, round || seed) işlemini özel olarak değerlendirir. Çıktı bir eşikle karşılaştırılır: VRF_output < stake_fraction * threshold ise doğrulayıcı bir komite üyesi veya blok önericisi olarak seçilir. Seçildiğini, blokunu/oyunu VRF kanıtıyla birlikte yayınlayana kadar yalnızca doğrulayıcı bilir. Bu kriptografik öz-seçim, herkese açık bir lider seçimine duyulan ihtiyacı ortadan kaldırarak Algorand'ı, yaklaşan liderleri önceden bilenlere yönelik hedefli hizmet engelleme saldırılarına karşı dayanıklı hâle getirir.

Cardano'nun Ouroboros Praos'u (güncel olarak kullanımdaki sürümü), zaman aralığı liderliği seçimi için VRF'lerden yararlanır. Her dönemde blok zincirinden yeni bir rastgele tohum türetilir. Her pay havuzu işletmecisi (SPO), dönem içindeki her zaman aralığı için VRF(SK, slot || epoch_seed) işlemini değerlendirir. Çıktı, paylarıyla orantılı bir eşikten düşükse zaman aralığı lideri olurlar ve bir blok üretebilirler. VRF kanıtı blok başlığına eklenir; böylece herkes SPO'nun meşru biçimde seçildiğini doğrulayabilir. Bu, lider çizelgesini dönem ortasında öğrenen uyarlamalı saldırganlara karşı Cardano'ya kanıtlanabilir güvenlik sağlar.

Ethereum, rastgelelik işaretçisi için VRF'ler yerine RANDAO'yu (biriktirilmiş BLS imzaları) kullanır. RANDAO daha basittir; BLS'nin ötesinde ek bir kriptografik ilkel gerektirmez. Ancak son açıklayanın yanlılığına açıktır: RANDAO katkısının elverişsiz bir sonuç doğuracağını öngörebilen bir blok önericisi, blok ödülü pahasına bloğunu yayımlamayabilir. VRF tabanlı seçim, seçilen kişinin kendisini açıklamasına kadar kimlerin seçildiğini gizler ve bu saldırı vektörünü tamamen ortadan kaldırır. Ödünleşim şudur: VRF kriptografik karmaşıklık (eğriye özetleme ve kanıt üretimi) eklerken RANDAO mevcut BLS altyapısını yeniden kullanır.

Chainlink VRF, akıllı sözleşmelere hizmet olarak doğrulanabilir rastgelelik sağlar. Tüketici sözleşmesi, LINK tokenları ödeyerek rastgelelik ister. Bir Chainlink dış veri düğümü, bir VRF anahtar çifti barındırır. Düğüm, tohumun blok karmasından ve kullanıcı tarafından sağlanan tek kullanımlık değerden türetildiği ECVRF(SK, seed) işlemini değerlendirir ve ardından zincir üzerinde (beta, pi) değerlerini gönderir. VRF koordinatör sözleşmesi, rastgele çıktıyı tüketiciye iletmeden önce kanıtı doğrular. Böylece akıllı sözleşmeler, zincirin yerel bir VRF rastgelelik kaynağı uygulamasını gerektirmeden manipülasyona dayanıklı rastgeleliğe erişir; bu özellik NFT basımı, piyangolar ve oyunlar için kullanışlıdır.

Signal Protocol, Curve25519 üzerinde bir VRF yapısı olan VXEdDSA'yı (Doğrulanabilir X25519 EdDSA) kullanır. Gönderici tek kullanımlık bir ön anahtar imzası oluşturduğunda VRF, iletiden ve gönderici anahtarından belirlenebilir ancak öngörülemez bir tek kullanımlık değer üretmek için kullanılır. Bu, imzaların doğrulanabilirliğini korurken tek kullanımlık değerin yeniden kullanılmasını (bunun EdDSA güvenliğini bozacağı unutulmamalıdır) önler. VRF kanıtı, alıcının tek kullanımlık değerin doğru biçimde türetildiğini doğrulamasını sağlar ve böylece göndericinin anahtar kurtarma saldırılarını mümkün kılabilecek kötü amaçlı bir değer seçmesini engeller. VXEdDSA, VRF'lerin mutabakatın ötesinde genel amaçlı bir kriptografik araç olarak kullanılabileceğini gösterir.

Doğrulanabilir Gecikme İşlevleri (VDF'ler) bazen VRF'lerle karıştırılır. Bir VDF, en az T adımlık ardışık hesaplama gerektirir (zaman kilidi özelliği) ve doğruluğuna ilişkin kısa bir kanıt içeren çıktı üretir. VDF'ler, RANDAO'daki son açıklayanın yanlılığını azaltmak için kullanılır: Ethereum'un planlanan VDF katmanı, herhangi bir manipülasyon girişiminin önceden bir VDF çalıştırılmasını gerektirmesini sağlayacaktır; bu işlem saldırı penceresinden daha uzun sürer. VRF'ler anında özel değerlendirme, VDF'ler ise yavaş ve herkese açık değerlendirme sağlar. Birbirlerini tamamlarlar: VDF'ler son açıklayanın yanlılığını, VRF'ler ise liderin önceden tahmin edilmesini önler.

VRF seçimi, uyarlamalı saldırganlara karşı önemli bir güvenlik iyileştirmesi sağlar. PBFT ve Tendermint'te liderin kimliği önceden bilinir (sırayla dönen bir çizelge kullanılır); bu da saldırganın bir sonraki lider blok önermeden önce ona DDoS saldırısı düzenlemesine olanak tanır. VRF tabanlı seçim (Algorand, Cardano), blok yayınlanana kadar liderin kimliğini gizli tutar. O zamana kadar blok zaten önerilmiş olduğundan DDoS saldırısı için geç kalınmış olur. Buna uyarlamalı güvenlik veya öngörülemez lider seçimi adı verilir. Bunu mümkün kılan kriptografik özellik, özel anahtara sahip olmayan herkes için VRF çıktısının sözde rastgele olmasıdır.

VRF'leri doğru biçimde uygulamak, dikkat edilmesi gereken birkaç nokta içerir. Eğriye özetleme, zamanlama sızıntılarını önlemek için sabit zamanlı ve düzgün dağılımlı bir algoritma kullanmalıdır (IETF RFC 9380, standartlaştırılmış yöntemleri tanımlar). Kanıttaki VRF tek kullanımlık değeri k, RFC 6979 kullanılarak (SK, alpha) değerlerinden belirlenimci biçimde türetilmelidir; k'nın yeniden kullanılması veya zayıf rastgele bir k kullanılması gizli anahtarı açığa çıkarır (ECDSA tek kullanımlık değerinin yeniden kullanılmasındaki güvenlik açığının aynısı). ECVRF-P256-SHA256-TAI için kanıt boyutu 80 bayt, ECVRF-ED25519-SHA512-ELL2 için de 80 bayttır; her ikisi de zincir üzerinde yer almaya uygundur. VRF'nin benzersizlik özelliği, aynı (SK, alpha) çifti için geçerli iki kanıt bulunmamasını garanti eder.

VRF'ler, doğruluklarına ilişkin kriptografik kanıtlarla birlikte sözde rastgele çıktılar üretir; böylece öngörülemezlik, yanlılığa uğratılamama ve herkese açık doğrulanabilirlik koşullarını karşılar. ECVRF (RFC 9381), eliptik eğriler üzerindeki standart yapıdır. Algorand, uyarlamalı saldırganlara dayanıklılık için VRF tabanlı kriptografik öz-seçim kullanır. Cardano Ouroboros Praos, her zaman aralığı için lider seçimini VRF'lerle gerçekleştirir. Chainlink VRF, akıllı sözleşmelere doğrulanabilir rastgelelik sağlar. VRF'ler, son açıklayanın yanlılığını ele alan VDF'leri tamamlar ve biriktirilmiş BLS imzalarını kullanıp son açıklayanın bilinen zayıflığını taşıyan RANDAO'dan ayrılır.