LayerZero Labs wprowadziło Aerie, system badawczy, który według jego twórców może zagregować 32 768 odpornych na kwantowe ataki podpisów Falcon w 0,65 sekundy na laptopie Apple bez akceleracji GPU.
Podsumowanie
- 32 768 podpisów Falcon-512 zostało zagregowanych w 0,65 sekundy przy użyciu 16 wątków roboczych.
- Standardowa agregacja Aerie zawiera zachowane dane podpisów, a mniejsza wersja ze wspólną solą wymaga dodatkowych warunków.
- Badacze donoszą o szybszym generowaniu dowodów niż w leanVM, podczas gdy dowody leanVM były weryfikowane szybciej.
- NIST wymienia Falcon jako podlegający standaryzacji, oddzielnie od swojego sfinalizowanego standardu podpisu ML-DSA.
Ogłoszenie LayerZero z 16 października ogłoszenie wskazuje badaczy z własnego zespołu, a16z crypto research, Carnegie Mellon University i Imperial College London jako współtwórców projektu, który opiera się na systemie dowodów kryptograficznych Akita.
Towarzysząca praca naukowa przedstawia sposób łączenia tysięcy podpisów cyfrowych w jeden dowód ich ważności. Jej autorzy osadzają tę pracę w kontekście problemu, przed którym stoją łańcuchy bloków proof-of-stake, gdzie walidatorzy podpisują wiadomości potwierdzające stan sieci, a inni uczestnicy muszą te podpisy sprawdzać.
Według pracy, Ethereum obecnie używa podpisów BLS do łączenia około 32 000 głosów walidatorów w mały podpis. BLS nie jest odporny na ataki kwantowe, podczas gdy alternatywy postkwantowe wybrane przez amerykańskich urzędników normalizacyjnych nie mają tej samej wbudowanej zdolności agregacji.
Aerie skraca generowanie dowodów poniżej jednej sekundy
W testach wydajności na Apple M4 Max zespół Aerie przetworzył partię Falcon-512 przy użyciu 16 wątków roboczych i osiągnął szczytowe zużycie pamięci na poziomie 2,1 GiB. Drugie obciążenie, obejmujące 16 384 podpisów Falcon-1024, zajęło 0,63 sekundy przy podobnych wymaganiach pamięciowych.
Badacze opisują Falcon-1024 jako opcję o wyższym poziomie bezpieczeństwa, z większymi podpisami i większą ilością obliczeń niż Falcon-512. Ich praca podaje, że wygenerowanie dowodu dla któregokolwiek z obciążeń zajęło około 4,3 sekundy, gdy ograniczono się do jednego wątku.
Sprawdzenie gotowej agregacji Falcon-512 zajęło 54 milisekundy na jednym rdzeniu, zgodnie z tabelą wyników, w porównaniu z 519 milisekundami na sprawdzenie podpisów indywidualnie. Przy 16 wątkach odpowiednie wartości wyniosły 11,6 milisekundy i 42,9 milisekundy.
Praca opisuje konstrukcję partii w bezpośrednich słowach.
„Jeden dowód obejmuje całą partię, bez rekurencji.”
Według autorów unikanie rekurencji eliminuje potrzebę tworzenia dowodów pośrednich i łączenia ich w kolejnych rundach. Ich projekt pozwala innemu węzłowi posiadającemu podpisy na wygenerowanie dowodu zastępczego, jeśli pierwotny agregator zawiedzie.
Mniejsze dowody wciąż zawierają dane podpisów
Aerie zachowuje krótką losową wartość, znaną jako sól, z każdego podpisu, aby weryfikator mógł bezpośrednio obliczyć powiązane skróty, wyjaśniają badacze. Dowód obsługuje pozostałe kontrole matematyczne, wykorzystując Akita do wsparcia konstrukcji.
Dla obciążenia Falcon-512 z 32 768 podpisami praca podaje agregację o rozmiarze 1346 KiB, w tym sole i nagłówki. Jej składnik dowodowy stanowi około 66 KiB, podczas gdy zachowane sole stanowią większość pozostałych danych.
Autorzy podają standardową agregację na poziomie 42,1 bajta na podpis, około 16 razy mniejszą niż zastępowane przez nią dopełnione podpisy Falcon. Ich pomiary rozmiaru wykluczają klucze publiczne i wiadomości dostarczane osobno weryfikatorowi.
Wspólna sól mogłaby zmniejszyć pełną agregację do około 66 KiB, zgodnie z pracą, ale to oszacowanie zależy od oddzielnej polityki podpisywania i założeń bezpieczeństwa. Badacze wyraźnie stwierdzają, że oszacowanie rozmiaru nie potwierdza zgodności z tą polityką.
W porównaniu z Orthus, wcześniejszym systemem agregacji Falcon, zespół donosi o 1,5 razy szybszym generowaniu dowodów, 38 razy szybszej weryfikacji i dowodach 1,7 razy mniejszych na tym samym serwerze. Praca zastrzega to porównanie, wyjaśniając, że obciążenie Orthus pomija kontrole formatu podpisu, które wykonuje Aerie.
Porównanie Ethereum obejmuje różne projekty podpisów
Artykuł porównuje Aerie z leanVM, częścią prac Ethereum nad agregacją opartą na haszach. Jak wcześniej informował crypto.news, badacze Ethereum opracowywali infrastrukturę dowodów, aby kompresować duże podpisy postkwantowe do użytku w sieci.
W sekcji 6.3 autorzy Aerie informują o uruchomieniu leanVM na tym samym M4 Max i agregowaniu 900 podpisów XMSS w 0,51 sekundy przy użyciu wszystkich rdzeni. Ich porównanie umieszcza przepustowość dowodzenia Falcon-512 w Aerie na poziomie 29 razy większym niż przepustowość XMSS w leanVM w tych warunkach.
Badacze informują o kompromisie dotyczącym weryfikacji. Dowody leanVM zostały zweryfikowane w czasie od 5,9 do 6,5 milisekundy na jednym wątku w cytowanych konfiguracjach, szybciej niż 54-milisekundowy wynik Aerie na jednym wątku dla partii 32 768 podpisów.
Odrębne prace Ethereum dotyczą tego, jak walidatorzy mogliby przyjąć nowe podpisy. Sierpniowy projekt zaproponował gotowy na postkwantowy kontrakt depozytowy z danymi kryptograficznymi o zmiennej długości oraz mechanizmem wycofywania nowych depozytów BLS.
Zapis propozycji w GitHub pozostaje zgłoszeniem roboczym. Jej opis wskazuje nieodwracalny tryb wycofania BLS, podczas gdy zapisy dyskusji pokazują nierozwiązane uwagi techniczne i wymagania dotyczące przeglądu.
W dokumencie priorytetów z 7 września Protocol Cluster Fundacji Ethereum wyznaczył cel odporności kwantowej na grudzień 2029 r. obejmujący wykonanie, konsensus i dane. Fundacja nazwała zagrożenie kwantowe pojawiające się w 2030 r. celowo agresywnym założeniem planistycznym, przy czym zewnętrzni eksperci mają pomóc w ponownej ocenie postępów począwszy od stycznia 2027 r.
Standardy USA odróżniają Falcon od sfinalizowanych alternatyw
National Institute of Standards and Technology wymienia ML-DSA i SLH-DSA wśród standardów podpisu cyfrowego sfinalizowanych w sierpniu 2024 r. Jego obecny przegląd programu wskazuje Falcon jako wybrany do trwającej standaryzacji, co jest odrębnym statusem od tych ukończonych standardów.
NIST zaleca, aby organizacje rozpoczęły migrację podatnych systemów, i wskazuje 2035 r. jako punkt końcowy usuwania algorytmów podatnych na ataki kwantowe ze swoich standardów, przy czym systemy wysokiego ryzyka przechodzą migrację wcześniej.
LayerZero twierdzi, że agregacja ML-DSA działa w Aerie, ale dokładne dane dotyczące wydajności i szczegóły implementacji pozostają oczekujące w jego ogłoszeniu.
