💻 computer science

Secret Quorums: Protecting Byzantine Protocols Against Adaptive Adversaries

本文引入了“秘密法定人数”（Secret Quorums），这是一种利用环可验证随机函数的新型抽象，旨在使基于委员会的协议能够利用小型且匿名的验证者子集，在不增加通信开销的情况下抵御自适应攻击者，并通过新的 StealthDust 支付协议进行了演示。

原作者： Maxence Perion, Sara Tucci-Piergiovanni, Rida Bazzi

发布于 2026-07-23

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Maxence Perion, Sara Tucci-Piergiovanni, Rida Bazzi

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个数字世界，在那里，钱不再是口袋里的实物硬币，而是一个每个人都认可的共享、神奇的账本。这就是分布式系统和区块链的世界，在这里，计算机（称为节点）协同工作，记录着谁拥有什么。为了确保没有人作弊——比如把同一枚硬币花两次——这些计算机使用一种被称为“法定人数”（quorum）的安全网。把法定人数想象成一个秘密握手俱乐部：如果足够多的成员（通常是一个特定的数字，比如 3 个中的 2 个）都同意某项交易是真实的，那么它就是正式生效的。俱乐部规模越大，骗子想要欺骗所有人的难度就越高。但问题在于，如果俱乐部规模太大，让所有人达成一致会耗费很长时间，导致整个系统变得缓慢。因此，工程师们开始使用较小的俱乐部来提高速度。然而，这产生了一个新问题。如果一个狡猾的黑客知道这个小俱乐部的成员究竟是谁，他们可以在俱乐部完成任务之前，瞬间贿赂或黑掉这些特定的成员。这就像一个窃贼准确知道哪些守卫正在值班，并在警报响起之前就溜了过去。

这篇题为《秘密法定人数：保护针对自适应攻击者的拜占庭协议》（Secret Quorums: Protecting Byzantine Protocols Against Adaptive Adversaries）的论文，正是针对这一问题展开讨论。作者 Maxence Perion、Sara Tucci-Piergiovanni 和 Rida Bazzi 提出了一种运行这些小俱乐部的新颖方法，即使是最狡猾、最快速的黑客也无法弄清楚谁在负责。他们引入了一个名为“秘密法定人数”的概念，在这里，俱乐部的成员即使在完成工作后仍保持匿名。他们不再是在审批单上签名，而是使用一种特殊的密码学魔术技巧（涉及环签名和随机函数）来证明自己是俱乐部的一部分，而不暴露身份。论文通过一个名为“StealthDust”的新型支付系统展示了这一点，该系统表明，通过隐藏验证者的身份，系统可以更快地结算交易，且通信量更少，同时还能在面对能够随时改变目标的黑客时保持安全。

问题所在：“冲刺型”小偷

想象你正在玩一个游戏，其中一小群朋友被选中来决定一笔交易是否公平。在旧的方法中，一旦选定了一位朋友，他就会举起手大喊：“我加入！”这让所有人知道谁是决策者。现在，想象有一个极其快速且狡猾的小偷。这个小偷可以观察游戏，看到谁举起了手，并在决策完成之前，瞬间将那位朋友变成一名叛徒。在计算机世界中，这被称为“自适应且冲刺型攻击者”（adaptive and rushing adversary）。他们可以在看到某个计算机参与的瞬间对其进行破坏，改变其立场，并停止整个过程。

论文指出，虽然我们有方法在最初秘密地挑选这些朋友（使用一种称为“密码学抽签”的方法），但一旦他们试图证明自己是正确的人选，他们就会不小心泄露身份。这就像是在参加派对时戴着面具，但在打招呼的一瞬间就把面具摘掉了。一旦面具摘下，小偷就知道该针对谁了。

解决方案：隐形俱乐部

作者提出了一个名为秘密法定人数（Secret Quorums）的解决方案。在这个新系统中，朋友们被秘密选中，但当他们证明自己属于该群体时，他们并不会摘下面具。相反，他们使用一种特殊的“环签名”（Ring Signature）。

把环签名想象成一群人手拉手站成一个圈。如果圈中的某人想签署一份文件，他可以以一种方式进行签名，即证明圈中的某人签署了文件，但没人能分辨出具体是谁。这就像签名在说：“我是这个 100 人圈子中的一员，并且我是获得授权的，”而不会指向特定的脸孔。

论文展示了如何使用一种名为环可验证随机函数（rVRF）的工具来构建这一机制。这个工具同时具备两个功能：

它随机挑选谁应该进入俱乐部（这样小偷就无法预测谁会被选中）。
它让被选中的成员能够在不透露姓名的情况下，证明自己属于该俱乐部。

作者从数学上证明，即使小偷速度极快且能瞬间破坏计算机，他们也无法弄清楚哪些计算机正在实际执行工作。小偷只能在黑暗中猜测，无法锁定正确的目标来阻止交易。

结果：StealthDust

为了展示这个想法在现实世界中确实可行，作者构建了一个名为 StealthDust 的新型支付系统。该系统解决了一个棘手的“碎片化支出”（fractional spending）问题，即当你想要同时将你的资金拆分为许多小额支付时。

在旧版本的系统中，为了防范“冲刺型小偷”，计算机必须使用一种被称为“秘密共享”（secret sharing）的非常缓慢且复杂的方法。这就像是通过一串人传递秘密纸条，每个人都必须写一份副本并传递下去。这使得系统变得缓慢，并且需要计算机之间进行大量的“交谈”（通信）。

通过 StealthDust，作者用他们的“秘密法定人数”取代了那种缓慢的秘密共享方法。因为验证者（执行工作的计算机）保持匿名，他们不需要用复杂的秘密共享技巧来隐藏身份。他们可以直接发送他们的匿名证明。

论文发现，这种改变带来了巨大的差异：

速度： 它将支付所需的时间从 5 个消息延迟 缩减到了 3 个消息延迟。
效率： 它减少了结算账目所需的通信量。旧系统要求的复杂度为 O(n³)（随着人数增加增长极快），而 StealthDust 将其降至 O(n²)。在兑付资金时，复杂度从 O(n²) 降至仅为 O(n)。

这意味着什么

论文并未声称解决了宇宙中的所有问题。作者承认，如果网络流量本身会泄露线索（例如消息到达的速度），那么一个非常聪明的小偷可能仍然会得到一些提示。此外，该系统依赖于拥有足够大的潜在候选群体来提供掩护；如果几乎所有人都是小偷，躲藏之处就会消失。

然而，作者成功展示了创建一个系统的可能性：在这种系统中，小型计算机组可以快速且安全地做出决策，即使面对可以随时改变目标的黑客。通过在决策完成后仍保持决策者身份的秘密，他们找到了一种让分布式系统既更快又更安全的方法。这是数字时代的一种新型魔术：在无需露脸的情况下，证明你的可靠性。

技术摘要：秘密法定人数（Secret Quorums）：保护针对自适应攻击者的拜占庭协议

1. 问题陈述

现代基于委员会的支付协议和分布式系统通常依赖于参与者的较小子集（法定人数/Quorums）来提高可扩展性和降低延迟。然而，这种设计引入了一个针对**自适应攻击者（Adaptive Adversaries）**的关键漏洞。在标准的概率性法定人数系统中，虽然验证者的选择是随机的，但典型的验证过程要求选定的节点通过密码学签名揭示其身份。

自适应攻击者能够瞬间破坏节点，并具备“抢跑”（Rushing，即在正确消息到达之前将消息传递给受损节点以观察内容并采取行动）的能力，这种能力可以利用这种身份揭示。一旦验证者的身份通过投票或证明被揭示，攻击者可以立即破坏该节点，擦除其本地状态，并阻止其支持验证过程。如果法定人数规模较小，攻击者可以重复这一过程，破坏足够多的验证者，从而使协议停滞或损害其安全性。

现有的解决方案（如密码学抽签/加密排序技术）可以在节点发言之前保护节点，但无法在它们完成选择证明之后提供保护。其他方法（如盲签名以及用于碎片化消费协议的秘密共享）虽然缓解了这一风险，但引入了显著的通信开销和延迟。

2. 方法论：秘密法定人数

本文提出了秘密法定人数（Secret Quorums），这是一种新的抽象，它扩展了密码学抽签技术，以在整个验证过程中保持验证者的匿名性。

核心抽象

一个秘密法定人数是一个由 $k$ 个验证者组成的集合 $S$ ，从 $n$ 个节点的群体中选出，并具有以下属性：

不可预测性（Unpredictability）： 攻击者无法以高于随机猜测（ $k/(n-f)$ ）的概率预知某个特定节点是否在 $S$ 中。
匿名性（Anonymity）： 成员证明揭示了验证者是合法的，但不会揭示产生该证明的具体是哪位验证者。
公平性（Fairness）： 选择是均匀的；攻击者无法强制将特定节点纳入法定人数。
可验证性（Verifiability）： 任何节点都可以验证由规模为 $k$ 的法定人数生成的有效证明，而无需获知该法定人数的具体组成。

通过环形可验证随机函数（rVRF）实现

作者使用**环形可验证随机函数（rVRF）**构建了秘密法定人数，这是一种结合了可验证随机函数（VRF）与环签名（Ring Signatures）的密码学原语。

候选集： 对于一次查询，会根据查询数据派生出一个确定性的候选验证者集合 $V_k$ 。
私有自我选择： 每个候选节点使用源自查询的种子私下评估一个 rVRF。如果输出低于特定阈值，则该节点判定自己属于有效法定人数的一部分。
匿名证明： 被选中的节点生成一个针对候选集的环签名。该签名证明了候选集中有某人被选中并产生了有效的随机输出，但在密码学上隐藏了具体的签名者。
验证： 客户端收集这些环签名。验证者检查这些签名是否为有效的环签名，并检查底层的随机输出是否满足选择阈值。来自同一签名者的重复输出会被拒绝，以防止通胀。

该构造在异步网络中运行，且不会比标准法定人数协议增加额外的通信步骤，尽管它需要联系整个候选集（ $V_k$ ）而非仅仅是选中的子集。

3. 主要贡献

本文做出了三个主要贡献：

秘密法定人数抽象： 定义了一种新的抽象，能够实现匿名的法定人数验证。与标准秘密选举（在行动时揭示成员身份）不同，秘密法定人数确保即使在验证过程被验证后，验证者仍保持匿名。
实际实现： 在异步网络中使用 rVRF 构建了秘密法定人数的具体实现方案。这提供了一种在无需为每一步都进行复杂多方计算的情况下，实现去中心化设置的可行机制。
StealthDust 协议： 设计了 StealthDust 协议，用于解决碎片化消费问题（允许来自单个账户的并行非冲突支付）。StealthDust 应用了秘密法定人数，以取代前沿协议（Bazzi 和 Tucci [10]）中涉及身份揭示的机制。

4. 结果与性能

将秘密法定人数应用于通过 StealthDust 实现的碎片化消费，在保持对强自适应和抢跑攻击者韧性的同时，显著提高了复杂度和延迟方面的表现。

通信复杂度：
- 结算（Settlement）： 从前序协议中的 $O(n^3)$ （由于使用了秘密共享）降低到 StealthDust 中的 $O(n^2)$ 。
- 赎回（Redeem）： 从 $O(n^2)$ 降低到 $O(n)$ 。
- 支付（Payment）： 支付阶段的成本与候选集大小 $V_m$ 成正比，而非法定人数大小 $m$ ，但消除了对秘密共享的需求。
延迟：
- 支付延迟从前序协议（涉及盲签名和多个轮次）中的 5 个消息延迟 降低到 3 个消息延迟。
安全性： StealthDust 在防止攻击者在选择后识别并破坏验证者的同时，维持了原始碎片化消费协议的安全性和存活性保证。

5. 意义与局限性

意义：
本文认为，秘密法定人数为基于委员会的协议如何应对自适应攻击者提供了根本性的转变。通过将合法性证明与身份揭示解耦，该协议防止了困扰小型法定人数系统的“抢跑并破坏”攻击向量。作者证明，这种保护可以在不引入秘密共享带来的沉重开销的情况下实现，使得小型法定人数协议在高度对抗的环境中变得可行。

适度的声明与局限性：
作者明确承认了若干权衡与局限：

匿名集大小： 匿名性受限于候选集大小 $V_k$ 。如果 $V_k$ 较小，匿名集也会较小，可能有助于流量分析。当 $V_k = n$ 时，匿名性最强。
网络元数据： 虽然密码学证明隐藏了身份，但网络元数据（如时间、流量分析）仍可能泄露信息。该协议假设通过混淆传播（如 Gossip 协议、批处理）来减轻此类风险。
概率性质： 有效法定人数的选择是概率性的。系统保证以高概率至少选择 $k$ 个验证者，但并非确定性保证。
访问策略： 该构造支持随机采样访问策略。目前不支持复杂的访问策略（即法定人数成员身份取决于系统状态或之前的法定人数），因为这可能会泄露关于成员身份的信息。
密码学假设： 该实现依赖于安全且高效的 rVRF 原语的存在。

总之，本文将秘密法定人数呈现为一种实用的、首个可行的构建方案，它在匿名性、效率和安全性之间取得了平衡，为构建更具扩展性且能抵御自适应威胁的分布式系统提供了路径。