Skip to content

Latest commit

 

History

History
211 lines (106 loc) · 25.4 KB

《读懂区块链PoS共识》第九章 PoS目前存在的问题.md

File metadata and controls

211 lines (106 loc) · 25.4 KB

第九章 PoS目前存在的问题

PoS共识从2012年发展到现在,6年有余。这些年,PoS暴露的问题也比较多,但这些问题和PoW的51%攻击在一个方面很类似,即理论可证,但是实际发生的概率很小。这些年间真正因PoS共识发生的事故屈指可数。PoS的严重缺陷大都都是在研究披露后,才意识到的。但不可否认的是,PoS共识和区块链一样,日新月异的在变化。每一个新的PoS共识出来,都是站在了前人的肩膀上,PoS共识演化出来了很多新型的特性,使得现在我们看到的PoS共识,已经比SunnyKing的一代PoS共识,强健了不少。

PoS共识从提出时,本质上就是希望用持币人的Voting Power(投票权重)代替掉PoW里面的算力权重,来解决能源消耗问题,但是就是这么一个简单的初衷,把很多基于PoW共识设计的原则性平衡都打破了,PoS开始要面对由自己本身带来的各种问题。

首先,从代币分发开始,PoW是算力工作获得初始分配,而PoS的代币却没有初始分发方案,怎么发,发多少,发给谁都是问题,代币分发不下去,用VotingPower代替算力权重的初衷就实现不了。

就是初始代币以非常合理的方式分配出去了,PoS的验证人选举又有了问题,如何选择节点,选择哪个节点又是新的问题了。PoW中通过算力竞争,以解谜题的方式选出了出块节点,付出最多算力的节点获胜,PoS中没有这套啊,难道让Voting Power最多的人一直出块吗?

后来倒是有很多项目设计了选举算法,但是很多算法后来被证明是有可被攻击性的。选举算法都和随机数发生有关,只要是伪随机数,那么肯定就又存在被操作的漏洞,这些漏洞,大则会摧毁整个系统,小则会被利益者操纵,获得更多选举权,从而获得更多的奖励。

PoS的奖励系统又是另外一个问题,PoW一般是固定总量,后通过挖矿分发,PoS的代币早已分发完毕,后续的挖矿动力不足,很多PoS共识的项目用增发的方式来激励挖矿,但增发多少,怎么分发,以怎么样的速率同样是新的问题。

同样是验证人,PoW的验证人作恶是有成本的,因为很可能付出了成本(电力,算力),最后却没有得到奖励。而PoS的作恶,早期是没有成本的,因为很多项目上只要持币用客户端运行节点出块了,这样带来的问题就是,心存恶意的验证人会频繁的尝试出块,签名,出块,签名,甚至不在自己的出块周期内,亦或是在多条链的分叉上签名,无休止,无成本的攻击网络,企图获得更多的奖励,这就是PoS共识上,著名的无利害攻击(Nothing at Stake)。

类似的问题还有很多,都是修改PoW共识机制后引出来的。在PoS上尝试解决这些问题后,又带进来了很多新问题,很多问题是PoS上独有的,甚至理论无法证明的。在相信大部分的人都是诚实的情况下,PoS就是这么一步步走到了现在。

PoS共识发展到现在,机制中会遇到的问题可以分成很多类别,我尝试以外部和内部的分类方式去列举PoS发展过程中碰到的问题。其中外部问题指的是使用PoS共识后,外部可能攻击共识的方式;内部问题指的是PoS共识本身设计,可能引起被攻击的方式。

1.外部问题

1.分发

前面讲到过,PoW的分发是通过挖矿,比如BTC总量是2100万枚,以一个块N个BTC奖励的方式不断分发出去,这种分发相当于将BTC分发给了给这个网络做贡献的人,而且谁都可以来做贡献,在分发范围上并没有丛限制,同时BTC的2100万枚,以4年减半的速度降低分发,也在时间维度上给了参与人机会。PoS没有这种机制,所以PoS的分发就成为了问题。

最早的PoS代币分发方式是通过捐赠的方式,像Peercoin,Nxt都是采用这种方式,都是创始人在Bitcointalk上发帖子,说要做什么什么项目,然后希望获得捐赠,以此来作为开发的一些费用。

起初这些项目获得捐赠都是很少,因为Bitcointalk里面充斥着很多可能以骗局为目的项目,捐赠人往往需要冒着很大的风险。所以那些个通过捐赠活下来的项目,最后分发代币的时候,每个捐赠人可以获得非常非常多的项目代币,就比如Nxt的捐赠,21天,有73个用户参加,总共捐赠了21个BTC,这73人一起瓜分了10个亿Nxt。

后来随着区块链项目的热度起来,很多团队开始开发区块链项目,而不再是以一个人为主,所需要捐赠的钱就开始变多了,2014年后,ICO变得被大众接受,发起点同样还是Bitcointalk。ICO成为首次代币发行销售,意思就是在主网没上线前,先销售代币来获得开发收入,开发团队往往会给自己留10%~20%的代币,剩余的进行ICO。

后来ICO的样式变成了多种多样,但都充斥着同一个目的,就是在自己保留越来越多的代币情况下,又能获得足够多的开发资金。所以我们看到后来的ICO项目,留给自己的代币就不是10%~20%了,而是有了越来越多的名目开始保留代币比例,比如初始投资人,基金会等等。

所以PoS的代币分发是经历了一个非常集中,到较为分散,再到较为集中的这么一个过程。理论上,代币分发的越分散,去中心化程度越好,形成对系统有威胁的成本也会比较高。但是PoS代币分发发展到现在,我们看到一个趋势,就是PoS共识里的代币大户非常的集中,往往前10名持币人持有了超过50%,甚至60%的代币总量。

虽然这符合现实世界的经济分配规律,但是还是不免有点让人寒心。不过,寒心背景下,好像也没有很好的办法来解决代币的合理分发问题,就连我们觉得很公平的BTC分发,现在看来,最终大量持有BTC的人,还是现实中的非常有钱的人。

1.参与度

PoS当中,需要有足够的代币进行Staking才能维护网络安全,因为Staking的量充当着系统中出块人被选择的重要因素。想象一下,如果系统中的Staking量相当低,那么极有可能出现一个大户就几乎可以获得全部的出块机会(分发不均也会出现这样的问题),这样,一个网络就毫无去中心化可言,并且攻击网络变得极其简单,只要大户自己愿意,或者是外部因素直接攻击这个大户就可以了。

典型BFT+PoS的混合共识,加入了系统的容错程度,使得只要超过2/3的Stak拥有人是诚实的,那么系统就不会崩溃,任凭其余人怎么攻击。如果PoS代币分布比较分散的话,要求大量的代币参与到PoS共识中来Staking,将变得一件极其困难的事情。

早期像Peercoin,PoS挖矿设计的想法很多是源于PoW的模型,这导致了PoS奖励对Stake吸引力极其微弱,Peercoin的PoS铸币是根据在币利交易中所消耗的币龄产生利息币。设计时设定了每1币一年将产生1分(利息),这样的设计问题就是动力不足,而且币龄这个事情本来就比较难持有,所以在Peercoin上,PoW出块的数量还是要比PoS的要多得多。

现在很多纯PoS共识对Staking的处理办法就是:增发。用增发的代币去奖励为系统工作的节点,并还造出了一个概念,叫做是非稀释通胀。如果持币人想避免被增发的代币稀释,那么将持有的代币Stake到系统中,那么你就有机会获得超过稀释率的价值。

通常情况下,100%代币Stake的情况下,你Stake能获得的奖励比例和增发的比例是一样的,如果不到100%的代币Stake,那么你获得的奖励比例会随着Staking的比例而变化,成反比,也就是说,你Stake了,别人不Stake,你肯定能获得更多奖励。由此带来的激励会让很多人对Stake有兴趣,更有动力。

目前这种非稀释通胀的方法,是吸引Stake量比较成功的办法。

1.2. 激励问题

由参与度的问题引出来了激励的问题,天下没有免费的午餐。一个网络要变得健壮强大,离不开众人的维护。PoS的维护众人就是所有的持币人,激励更多持币人来维护网络,变成了PoS一项主要的使命。

和PoW不同,PoW是要激励更多的人,而非必须是持币人。这点造就了PoS上激励模型的不一样,加上现在越来越多的PoS项目加入了链上治理,希望持币人社区能来决策项目前进方向,使得投票激励变成了除区块激励外,另外一个比较重要的激励方向。同样的,还有像开发激励,社区大使激励,空投激励等等,越来越多的方向需要被激励,PoS的激励模型已经变得越来越复杂。

现在PoS项目的做法也各有不同,有通过增发覆盖全部激励的,有通过交易手续费抽成来覆盖部分激励的,还有通过抽成区块奖励来奖励部分工作的。这些治理方案就像是一个个国家,每个国家治理的政策都不一样,最终也导致了不一样的结果。

很难判断这些方案谁好谁坏,仁者见仁智者见智了,实践出真知。

2.内部问题

1.1.无利害攻击(Nothing at Stake)

Nothing at Stake是PoS上著名的攻击问题,我们都知道持币人通过Stake来参与PoS共识,获得出块机会。验证人在这个过程中执行了出块和验证两个动作,一般情况下,这两个动作合起来是一个铸币的过程,新的币会被奖励给验证人。

验证人为了获得足够多的奖励,会找更多的机会来出块和验证,其中,通过在分叉,并在新分叉上签名验证,是PoS早期一个非常好的尝试方式。无论哪条分叉链胜出,验证人都可以获得奖励,甚至获得双倍奖励,在PoS上发起这样的攻击,是没有成本的,只需要Stake。

Nothing at Stake中的Nothing指的就是这种无成本攻击攻击网络的情况,Nothing at Stake就可以理解为在Stake时没有成本的攻击网络。无利害攻击发生的概率是比较大的,因为不容易检测,所以很多验证人会暗地里尝试,但因为持币人的总体利益问题,大规模,成群的实际发生不太有可能。

一条链有频发的分叉攻击是恐怖的,所以很多方法前有币龄,后有Slash。币龄的方案成本太高,对Stake的意愿有所抑制,抵押金+Slash的方式非常好的解决了这个问题。验证人在做出块和验证时,需要向系统缴纳抵押金,如果系统检测出验证人的双签情况,验证人的抵押金将会被Slash。

对抵押件的Slash是比较严格的,这样可以有效抑制频繁发生的分叉攻击,保证系统稳定。

1.1.长程攻击(Long Range Attack)

长程攻击指的是从创世区块开始,创建一条比原主链还要长的链,并篡改全部(部分)交易历史,来代替原来的主链,长程攻击也称作为覆盖历史攻击。

区别于短程攻击,长程攻击必须从创世区块开始构造交易,从中间点构造交易分叉链攻击称作为短程攻击。

长程攻击所利用的点在于,新加入的节点或者长期不在线的节点在同步新的区块数据时,并不能很清楚的知道哪条链是真正的主链,如果根据最长链原则来决定的话,很有可能出现真正的主链被篡位的情况,被修改了历史的主链变成了最长链,成为了新节点的同步接入点。长程攻击的制胜点在于,在分叉链生成的区块长度大于主链时,所有节点将会接受最长链的交易。

理论上,因为验证人在分叉链生成区块是没有代价的,而且是不需要等待时间,基于创世区块生成一条比主链还要长的链变得简单,唯一条件就是造出来的链比主链还要长,才能发起攻击,有很多理论都可以证明,但是实际操作很困难。有博主在文章中说过:

这样的攻击只能针对非常长区块时间的区块链来实施。根据研究,持有 30% 权益的攻击者在长约 6 年的区块链上才能发动这种攻击

随着PoS的发展,各个阶段发起的长程攻击各不相同,针对策略也不相同,以下是几种典型的攻击方式:

1.2. 简单攻击(Simple Attack)

简单攻击指的是分叉链在单位时间里面尽可能都的创造区块,以此来超过原主链长度所形成的攻击。在分叉链上,往往只有主导分叉的验证人一个,所以他完全可以忽略别人生成的区块,只生成自己的区块,并加快单位时间内自己区块的生成速度,那么分叉链的出块速度就有可能超过主链。

解决这种攻击的方法也很简单,用验证时间戳的方式来解决,对每个区块时间的时间戳进行验证,对于不合理的时间戳,比如同一时间里出现的多个区块,直接认定为不合理,进而决定哪条链是主链。

1.3. 变节攻击(Posterior Corruption)

变节攻击是比简单攻击更高级一点的攻击方式,变节攻击指的是分叉链验证人通过获得旧验证人的私钥,在分叉链上加速完成区块超越的一种攻击方式。

发展较长的区块链项目,可能已经更换了好几拨验证人,旧的验证人私钥依旧可以签署以前的旧区块,分叉链验证人通过购买,行贿或者破解的方式获得旧验证人的私钥,从而签署合理的区块,来达到加速的目的。

这种方案可以通过,用密钥演进加密技术(Key-Evolving Cryptography)和移动检查点技术(Moving Checkpoint)来解决,使用KEC的方式会让签名的私钥动态生成,旧私钥签名将不在可用,这可以有效阻止旧私钥被获得的情况发生。

1.4. 权益流损(Stake Bleeding)

权益流损指的是分叉链验证人通过延长主链出块时间,同时通过累计分叉链权益,以加快分叉链出块速度的攻击方式。

一般分叉链上的验证人也是原主链上的验证人,当验证人在原主链上获得出块机会时,验证人会通过各种策略来延迟出块,甚至不出块,而分叉链上往往只有少数验证人,主导分叉的验证人可以获得大量出块机会,累计的权益又能加大其出块的几率,这样一慢一块,就可以达到赶超原主链的目的了

这种攻击可以通过采用移动检查点的策略来应对 ,在指定的区块高度设定检查点,并确定检查点之前的区块交易不可变,这样可以有效防止这样的策略。

总的来说,现存提出的解决长程攻击的方案有很多,但是没有一种是可以完美解决的。长程攻击在理论上都是可证的,但是其攻击的难度也是比较大的,像第二种变节攻击,你需要找到旧的验证人,还需要从他手中获得私钥,这种难度还是可想而知的。

1.5. 短距离攻击/行贿攻击(对数日到数月不等跨度的区块进行重组)

短距离攻击是相对长距离攻击而言的,短距离攻击指的是对数日到数月不等跨度的区块进行重组,从而修改部分对自己有利的区块数据,达到攻击的目的。

举一个简单的例子,A购买商家B的一个商品,用代币支付后,商家B未等待区块确认,即让A拿走商品,完成交易。此时A立即贿赂网络中的大多数节点,让他们接受修改过后的交易记录,只要贿赂成本比商品价值低,那么攻击成功。

当然,这个例子只说明了短距离攻击的可能性,但在实际中,A贿赂多个PoS节点的操作可能性很小,只要节点分布足够分散,那么贿赂将变得极其困难。另外,如果有多个PoS节点的Staking权重较大,那么A只需要贿赂大权重的节点就可以了。

商家B如果在等待安全确认后,再将商品给A,那么这种情况发生的可能性会变得小很多。51%的概率攻击才有可能重改超过多个区块安全确认以上的历史数据,这个我会在51%攻击中说述。

1.6. 51%Stak攻击

51%攻击源于PoW,全称为51%的算力攻击,意思是拥有超过51%算力的矿池,拥有修改或者重写旧历史的能力。在PoS里面,因为没有了算力,所以51%代表的就是51%的币量,其成本也从电力,机器变成了币值。

同样拥有51%攻击能力的情况下,在PoS中发起51%攻击要比PoW中的51%攻击要简单一点,因为不需要进行算力计算,拥有51%权重的验证人极有可能连续出块,那么伪造一条分叉链,包含了篡改数据的区块,替代原有的主链非常容易成功。只要发起攻击的成本比获利低,那么这种攻击就有操作空间。

实际上,51%这是一个相对值,并不是说只要到了51%的币量,发起攻击就一定成功,而是说51%是相对比较容易成功的,51%被选中出块的概率已经超过了半数,所以概率会比较高。当然,理论上,20%也有可能发起类似的攻击,并获得成功,但是这种可能性更低了。

发起51%攻击的结果可能是糟糕的,对于已经持有超过51%代币的持币人来说,攻击系统,极有可能导致系统性的风险,通过这种攻击获利很有可能导致整个大盘受到打击,这样说来,这种攻击是动机是比较弱的,像是捡了芝麻丢了西瓜。

1.7. 卡特尔组织攻击(Cartel Attack)

Cartel是针对BFT拜占庭容错的体系来说。现在很多共识都采用了混合共识,特别是PoS+BFT的组合,BFT给系统带来了容错,抗风险能力提高了。

只要系统中超过2/3的人是诚实的,任凭其余人怎么作恶,怎么攻击网络,网络都可以稳定的运行。现存区块链项目,往往存在着因代币分布不均或者有钱人统一收购的情况,经常在各种项目中看到大户的存在,他们俩俩成群就可以达到1/3以上的持币量,甚至有些大户自己就拥有了超过1/3的持币量。

一些验证人为了获利,往往会和较大的持币人形成联盟,以达到系统的破坏门槛,这种组织我们称作为卡特尔组织,这种组织的攻击会让系统变得招架不住,或者停止出块,或者是网络崩溃,亦或是会在出块时拒绝某些交易等,结果是惨痛的。

目前这种攻击无法解决,只能相信我们当中大部分的人是诚实的。

1.8. 女巫攻击(Sybil Attack)

女巫攻击指的是攻击者通过大量生成节点,以拖慢整个网络,或者使用垃圾交易对整个网络发起攻击的方式。

这种攻击在PoS共识的公有链中比较容易发生,因为PoS共识当中不需要大量的硬件来获得算力,只需要运行节点程序就可以了,这样在PoS中就可以以非常低的成本,来创建大量的节点,完成对系统的攻击。

后来有了抵押金的方式后,这种攻击就能得到遏制。所有节点必须要拥有一定量的Stake才能获得出块机会,大量生成节点也需要大量的抵押金,这样的攻击并不会给攻击者带来很多的利益,所以女巫攻击在PoS共识中就很少存在了。

1.9. Grind Attack 粉碎攻击

粉碎攻击指的是攻击通过寻群系统选举算法偏好,使用或者联合计算资源让自己偏向被选中出块的攻击方式。更具体的解释如下:

在熵未被引入PoS的验证人选举中之前,验证人可以通过模拟选举的方式,来找出系统偏向,从而利用自己的计算能力或者联合一部分验证人的计算能力,改变系统选举偏向,这种对PoS系统的攻击叫做是Grind Attack,也叫做是粉碎攻击。

举个例子,有大户控制一组了利益相关者,他们联合一起,尝试模拟协议执行,尝试不同的利益相关者参与者序列,来找到有利于对他们的操作方式, 这就是PoS当中所谓的"磨损"漏洞,这些验证人可以使用计算资源来操纵领导者选举。

这种攻击也是通过对验证人选举操作来获利的,关于针对验证人选举的随机算法攻击,我们在下个例子中有讲到。

解决粉丝攻击的方法就是尽可能的让验证人选举算法足够随机,保护好随机数源的生成方式,不能使用固定的生成方式,只要随机数源是足够随机的,此种攻击能预计到随机偏好是无意义的。现在有很多项目都公布了自己的随机数算法,也有足够多证明其算法是无偏差,不能被操纵的。虽然宣传多有夸张,但是都有数学可证,起码预测的难度是非常大的。

1.10. 随机算法的攻击

理论上,验证人的选举算法都有被攻击的可能性,选举验证人的过程比较复杂,里面综合了多方面权重,也给与了攻击者可以下手的点。比如按照权重选择验证人,或是验证人抵押金交付与否的判断逻辑,以及奖金池分配等,都会产生代码漏洞出现。

数学验证的选举算法在Cardano上有比较明确的证明过程,但是其他大部分项目都是没有对选举算法进行验证的,很多项目沿用了开源的算法,只是添加了更多不确定因素的随机源来产生选举随机数。

在第三章 PoS运行原理当中,验证人选举的方法我列了几个,大多都是比较成熟的算法,从运行开来,想要直接成功攻击这些算法,还是比较难的。不过,一般情况下,这种攻击不难被发现,就算是被发现了也不好证明,所以这种攻击几乎无法追溯。

1.11.抗审查能力(Censorship Resistance)

抗审查能力指的是区块链项目创建了价值交换网络,可以随时随地不受管制的和另外一方进行价值交换的能力,这种管制某种意义上特别指的是政府管制。

初始说的抗审查能力来源于比特币,BTC的价值交换一出来,就打破了地域和政府的管制,使得交易变得极其自由,这点在PoS共识的价值交换中,得以延续,这是广义上的抗审查能力。

但是随着区块链项目的进行,越来越多的管制开始伸向价值交换,从交易所的KYC,到区块链的可追溯数据,人们通过千丝万缕的联系将个人实体和虚拟地址关系建立了起来,于是乎,我们现在看到了狭义上的抗审查能力的出现。

狭义上的抗审查能力有两个指向

1.在现在这种情况下,人们依然可以不受管制的进行价值交换

  1. 指验证人可以不针对打包某些交易的能力受到限制

第1种上面已经阐述过,现在的解法有通过接入隐私技术,如zk-SNARK或者环形签名的方式来解决的,也有通过混币方式,混淆发起人和接收人的方式,总的来说,这些解决方法目前比较小众,还不够普及。

第2种就是针对现在的PoS验证人来说的,本质上,PoS上的验证人除了以手续费最大为优先打包交易的,超过区块大小限制则会在下个区块打包,而不应该以审查地址或者大额交易这种条件来进行打包,但是现在的验证人是有选择性的,并且可以决定不打包某些交易,大的Cartel组织可以直接拒绝某些交易,让这些交易失败。

目前也没有直接的方法解决第2种抗审查情况,大部分人诚实的情况下,肯定有诚实的验证人会打包被Cartel组织拒绝的交易。

1.12. 拒绝交易攻击(Transaction Denial Attacks)

拒绝交易攻击指的是攻击者针对某一个地址发起的攻击,致使其不能参与区块链网络的价值交换。

我们知道区块链网络本质上是一个点对点的价值网络(P2P),交易一旦广播,节点的无偏差性使得交易广播实际上被阻止的成功率很低很低,成功阻止的范畴我们可以转化为51%的攻击方式,这种攻击在PoW和PoS上都存在。

所以我这里说的是在交易被广播前,发起的拒绝交易攻击。这种攻击可能出现在任何轻节点SPV,或者使用其他全节点API的广播的钱包,交易所,或者是某些服务,当你发起交易是,提供服务的工具有可能通过审查你的条件,来决定是否将你的交易广播到P2P网络中。

这种问题的解决办法是,尽可能的使用全节点服务,特别是钱包。如果一定要选择轻节点,请选择社区比较信任的全节点作为接入点。

1.13. 无法同步攻击(Desynchronization Attacks)

无法同步攻击指的是P2P网络中,攻击者攻击某些节点,让其无法和其他节点一样保持同步的攻击方式。

无法同步到最新区块的全节点钱包,会出现无法转账的情况。这种攻击的发起者可能是其他节点,因为这样攻击会使得被攻击节点无法获得预期收益,而且长期处于掉线,甚至会被Slash,这样发起攻击的节点就可以获得更高的被选举概率。

这种攻击可以分为内部攻击和外部攻击,外部攻击就是典型的DDoS攻击,在区块链不断同步新区块的时候,如果你的服务器被DDoS攻击了,那么节点服务器就无法同步情况;而内部攻击就是黑客直接hack进你的服务器,做了一些不友好的事情,导致你的节点服务器无法同步。

这两种攻击预防的方案也很多,和服务器的安全架构有关系,无法彻底杜绝,但是可以提高攻击代价,比如通过购买一些防护方案提高服务器的安全级别等。