LayerZero Labs представила Aerie — исследовательскую систему, которая, по словам её разработчиков, способна агрегировать 32 768 квантово-устойчивых подписей Falcon за 0,65 секунды на ноутбуке Apple без ускорения на GPU.
Краткое содержание
- 32 768 подписей Falcon-512 были агрегированы за 0,65 секунды с использованием 16 рабочих потоков.
- Стандартный агрегат Aerie включает сохранённые данные подписей, тогда как уменьшенная версия с общим salt требует дополнительных условий.
- Исследователи сообщают о более быстрой генерации доказательств, чем у leanVM, в то время как доказательства leanVM проверялись быстрее.
- NIST указывает Falcon как проходящий стандартизацию, отдельно от своего окончательного стандарта подписи ML-DSA.
Объявление LayerZero от 16 октября announcement называет исследователей из собственной команды, a16z crypto research, Университета Карнеги — Меллона и Имперского колледжа Лондона в качестве участников проекта, который основан на криптографической системе доказательств Akita.
Сопровождающая статья представляет способ объединения тысяч цифровых подписей в одно доказательство их действительности. Авторы рассматривают работу в контексте проблемы, с которой сталкиваются блокчейны с доказательством доли владения, где валидаторы подписывают сообщения, подтверждающие состояние сети, а другие участники должны проверять эти подписи.
Согласно статье, Ethereum в настоящее время использует подписи BLS для объединения примерно 32 000 голосов валидаторов в небольшую подпись. BLS не устойчив к квантовым атакам, тогда как постквантовые альтернативы, выбранные официальными органами стандартизации США, лишены такой встроенной возможности агрегации.
Aerie сокращает генерацию доказательств до менее чем одной секунды
В тестах команды на Apple M4 Max Aerie обработала пакет Falcon-512 с использованием 16 рабочих потоков и достигла пикового потребления памяти в 2,1 ГиБ. Вторая рабочая нагрузка, состоящая из 16 384 подписей Falcon-1024, заняла 0,63 секунды при схожих требованиях к памяти.
Исследователи описывают Falcon-1024 как вариант с более высоким уровнем безопасности, с большими подписями и большим объёмом вычислений, чем Falcon-512. В их статье сообщается, что создание доказательства для любой из этих рабочих нагрузок занимало примерно 4,3 секунды при ограничении одним потоком.
Проверка завершённого агрегата Falcon-512 заняла 54 миллисекунды на одном ядре, согласно таблице бенчмарков, по сравнению с 519 миллисекундами для проверки подписей по отдельности. С 16 потоками соответствующие показатели составили 11,6 миллисекунды и 42,9 миллисекунды.
В статье конструкция пакета описывается прямо.
«Одно доказательство покрывает весь пакет, без рекурсии».
По словам авторов, отказ от рекурсии устраняет необходимость создавать промежуточные доказательства и объединять их через последовательные раунды. Их дизайн позволяет другому узлу, владеющему подписями, создать заменяющее доказательство, если исходный агрегатор выйдет из строя.
Меньшие доказательства всё ещё содержат данные подписей
Aerie сохраняет короткое случайное значение, известное как salt, из каждой подписи, чтобы верификатор мог напрямую вычислить связанные хеши, объясняют исследователи. Доказательство выполняет остальные математические проверки, используя Akita для поддержки конструкции.
Для рабочей нагрузки Falcon-512 с 32 768 подписями в статье сообщается об агрегате размером 1 346 КиБ, включая salt и заголовки. Его компонент доказательства составляет примерно 66 КиБ, тогда как сохранённые salt составляют большую часть остальных данных.
Авторы оценивают стандартный агрегат в 42,1 байта на подпись, что примерно в 16 раз меньше, чем дополненные подписи Falcon, которые он заменяет. Их измерения размера исключают открытые ключи и сообщения, предоставляемые верификатору отдельно.
Общий salt мог бы сократить полный агрегат примерно до 66 КиБ, согласно статье, но эта оценка зависит от отдельной политики подписи и предположений о безопасности. Исследователи явно заявляют, что оценка размера не устанавливает соответствие этой политике.
По сравнению с Orthus, более ранней системой агрегации Falcon, команда сообщает о в 1,5 раза более быстрой генерации доказательств, в 38 раз более быстрой проверке и доказательствах в 1,7 раза меньшего размера на том же сервере. В статье это сравнение сопровождается оговоркой, что рабочая нагрузка Orthus опускает проверки формата подписей, которые выполняет Aerie.
Сравнение с Ethereum включает различные схемы подписей
В статье Aerie сравнивается с leanVM, частью работы Ethereum по агрегации на основе хешей. Как ранее сообщал crypto.news, исследователи Ethereum разрабатывали инфраструктуру доказательств для сжатия больших постквантовых подписей для использования в сети.
В разделе 6.3 авторы Aerie сообщают о запуске leanVM на том же M4 Max и агрегировании 900 подписей XMSS за 0,51 секунды с использованием всех ядер. Их сравнение показывает, что пропускная способность доказательств Falcon-512 в Aerie в 29 раз превышает пропускную способность XMSS в leanVM в этих условиях.
Исследователи сообщают о компромиссе при верификации. Доказательства leanVM верифицировались за 5,9–6,5 миллисекунды на одном потоке в указанных конфигурациях, что быстрее, чем результат Aerie в 54 миллисекунды на одном потоке для пакета из 32 768 подписей.
Отдельная работа Ethereum рассматривает, как валидаторы могли бы внедрить новые подписи. Августовский черновик предложил депозитный контракт, готовый к постквантовой эпохе, с криптографическими данными переменной длины и механизмом для вывода из эксплуатации новых депозитов BLS.
Запись предложения на GitHub остаётся черновой заявкой. В его описании указан необратимый режим вывода из эксплуатации BLS, а записи обсуждения показывают нерешённые технические отзывы и требования к проверке.
В своём документе о приоритетах от 7 сентября Протокольный кластер Ethereum Foundation установил цель квантовой устойчивости на декабрь 2029 года, охватывающую исполнение, консенсус и данные. Фонд назвал квантовую угрозу, наступающую в 2030 году, намеренно агрессивным допущением при планировании, при этом ожидается, что внешние эксперты помогут переоценить прогресс начиная с января 2027 года.
Стандарты США отличают Falcon от финализированных альтернатив
Национальный институт стандартов и технологий перечисляет ML-DSA и SLH-DSA среди стандартов цифровой подписи, финализированных в августе 2024 года. В его текущем обзоре программы Falcon указан как выбранный для продолжающейся стандартизации, что является отдельным статусом от этих завершённых стандартов.
NIST рекомендует организациям начать миграцию уязвимых систем и определяет 2035 год как конечную точку для удаления квантово-уязвимых алгоритмов из своих стандартов, при этом системы высокого риска переходят раньше.
LayerZero заявляет, что агрегация ML-DSA работает внутри Aerie, но точные показатели производительности и детали реализации остаются неопределёнными в его анонсе.
