【Uzumaki勉強会】RANDAOに関する新提案とその方向性

Transcript

これ録画できてるかどうかどうやって確認するの? あ、これできてる。 うん。これでえい。 ここもついてく。オッケー。 こんにちは。こんにちは。こんにちは。 じゃ、今回はベルリンの議論をえっと踏まえてランダオに関する新しい提案とその方向性についてお話します。 研究テーマとかもまとめてるんで、是非 この動画見た方とかここにいる方でできる 方いたら一緒にできたらいいなって思い ます。 あ、違、 あ、提案しましたっていうやつですね。 結構ビタリックとかからも議論できたりし ていいフィードバックをもらえて、あの、 結構ベルリンでずっとあの色々な

イサリアム周りの人と議論できて有益でし た。 とランダオについての概要を触れて、その 後にあのランダオの攻撃ベクターをえっと 2つ触れてでその解決策え最後にえっとま 僕らの提案した内容とまそうにそれに 関わらずえっとどういう研究テーマがある のかっていうのをお話しします。 で、えっと、まずランダウとは何かって 言うと、えっと、ランダウっていうのは 安全な疑似乱数を分散的に、分散的な方法 で生成するために使用される、え、仕組み ですと。で、主な利用用途としては コンセンサスレイヤビコンチェーンにおい

ては、えっと、リーダーセレクション、 エレクション、これはプロポーザーの選出 、ブロックを作る人の選出ですね。で、 えっと、コミティのエレクション。これは 、えっと、そのブロックを提案さ、提案さ れたブロックを検証する際、その検証する 人のグループを、えっと、選択する際に、 えっと、ラン数を使います。で、 アプリケーション、この乱数、あの、 ランダを通じて生成された乱スっていうの はスマートコントラクトで、あの、 読み込むことが可能なので、えっと、そう いったスマホで読み込んでゲームとか、 あの、ギャンブルとかそういう アプリケーションに、えっと、使われたり もします。 で、乱数生成って、えっと、すごい難しい 、極めて難

、ま、一直不能な数がすごい難しいという 話で、で、このイサリアムみたいな分散 システムは、えっと、求められる性質とし て決定論的に全てのノ度が、え、同じ結果 を出力するっていう性質を、あの、求め られるんですけど、えっと、こういう非 決定論的なランダムネスっていうのは、 えっと、扱うことができませんと。で、 それはなんでかって言うと、非決定的な ランダムネスっていうのが全く同じ入力や アルゴリズムであっても常にこう異なる 結果がこう得られ続けるようなランスなの でこういうあの性質を持ってるランスって いうのは毎回こう濃度ごとに異なる結果 をんでしまってそのネットワーク自体に

その理由が分散してしまうあの異なって しまうていうことでそのコンセンサスが 取れない取りづらいということでえっと 分散システムに求められる決定論性と矛盾 する ま、なのでイサリアムはその決定論的な 方法でいかに予測できない疑事ラン数を 作るかっていうのが、えっと、非常に重要 になっていて、このランスを使ってその ネットワークの状態を保つ作業、 プロトコルの作業であるブロックの提案と してその検証する人っていうのを選ぶので 、かなり乱数というのは非常に、えっと、 重要となります。で、じゃ、どのように そのギ似する、えと、まずイサリアムって いうのは32スロットっていうその ラウンド時間軸を持っていて、で、その各

スロットでそのプロポーザーっていう提案 者が割り当てられて、ま、ランダムに 割り当てられ、あの、ステーク量を引きず にランダムに割り当てられて、で、彼らが その各スロットで仕事をしていくと、ま、 で、そのスロットの単位をスロットという 風に呼んで、32スロットの単位で、で、 各ビコンプロポーザーってのが振り分け られると。で、どのようにじゃあランスが 作られるかって言うと、そのプロポーザー が受術つぎにその乱数スっていうのを提出 していって、えっと、作成していきます。 で、まずスロット1のプロポーザーが自分 のBLSの鍵、秘密をエポックに署名をし て、えっと、それをブロックボディに含み ます。で、その値っていうのを、えっと、 ま、そのBSを使って署名した値っていう のを、えっと、えっと、リビールて言い

ます。で、このリビール値っていうのを 96倍のリビール値をブロックにブロック ボディに含み、それを、え、検証濃度が 受け取り、その検証濃度が受け取った際に 、え、プロポーザーの公開限を元にそれを 、え、妥当性を検証して、もし正当であれ ば、えっと、そのブロックを、えっと、 あの、そのリビール値を、あの、発して、 で、え、1個前のミックス値と、えっと、 組み合わせます。そしてその組み合わせた 値が今のミックス値にとしてこのニューと して生成されてるものに値しますと。で、 次のスロット2の人というのは、えっと、 また同様に自分の秘密借りを使って リビールを、えっと、ブロック作って ブロックにブロード入れて

ブロードキャストして検証ノードが、えっ と、それをあの、検証してもしあの 正しければ正しいっていうか、ま、正当で あれば、え、1つ前のミックスと 組み合わせて新しいミックスを、あの、 作ると。で、もしその 検証濃度が検証して正当でないとなると そのブロックはリジェクトされます。ま、 という風に、あ、これがリジェクトレです ね。リジェクトされた際は、ま、こんな 感じで、あの、そのサイコロがあの、含ま 、含まれない、あの、サイコロが更新され ない。で、この、ま、イコールブロックも 提案されないと、ま、という形でこう どんどんどんどん自術つなぎになってって 、えっと、最終的に最後のスロットの

プロポーザーが、えっと、ランスを生成し て、ま、ミックス値を更新して、その最後 、そのエポックの最後に更新された、えっ と、ミックス値っていうのが、えっと、 乱数源、疑似乱数源として、えっと、利用 されます。ま、利用用途はプロポーザーと あのコミティのエレクションなんですけど 、それは、え、今ルックアイヘッドって いうその乱数が確定してから使われるまで の期間が1エポックルヘッドが1で設定さ れてるので、えっと、大体このエポックの 次の次 に、え、使われます。で、このワンビット バイアスっていうのは何かって言うと、 その最後のプロポーザーがバイアスをかけ られる。ま、要はどのサイコロを使う

かっていうのを、えっと、どのその サイコロのランスを使うかっていうのを、 その最後だけ、最後のプロポーザーだけは その1個前のランスを使うか、あるいは、 えっと、自分がそのランスを更新してその 新しいランスを使うかっていうこの2 パターン をこう、あの、比較することができて、 選ぶことができると。うん。ま、なので、 えっと、ま、すごいシンプルな仕組みだ けど、えっと、徹底論的に、え、秘密を 使ってランスを生成していって、 で、その最終的な攻撃ベクター、あの、 マニプュレーションベクターっていうのは 、ま、バイナリーの2択にこう できますよっていうシンプルで、ま、安全 な仕組みになってます。

で、実際にランダオの課題アタックベクター何があるかって言うと、ここ 2年で2つ報告されていて、 1 つがセルフィックシュマイニングアタックっていうもの。 ミキシング、 あ、セルフィッシュミキシングアタックで、 2 つ目がランダーオーフォーキングアタックで、こっちが上のやつが 2024で下のやつが2025 ですね。今年でどちらもあの理論的な攻撃です。 で、ちょっとそれぞれあの説明していき ます。まずセルフッシュミキシングアタッ クっていうのは何かって言うと、さっきの そのバイナリなバイアスがかけられ るっていう攻撃があったと思うんですけど 、もしそのプロポーザーがテイルの

スロット、テイルっていうのはその エポックの1番最後から連続して、え、 プロポーザーがこう何スロットか割り当て られた際に、え、攻撃ベクターがあるよっ ていうあの話で、例えばその3スロット 連続であのテイルを取ったとしたとあの するとプロポーザーっていうのは2×2× 2の8パターンの、えっと状態空間って いうのを計算することができて、その状態 空間の中から最もその自分の、え、 プロポーザー自身が2ポック先に高い確率 でプロポーザーになれるような状態空間を 選択することができて、それによって、え 、もしかしたらインセンティブが上がるか もていうようなところから始まってる研究 です。で、ま、これは理論的にはテイル スロットをこの連続で取れば取るほど指数

関数的にその攻撃者が、え、計算できる、 え、状態空間っていうのが増えてくので、 えっと、その分その自分にとって都合の いい、え、ラン数を選ぶことができて、で 、それによって次の次のエポックで たくさんプロポーザーになって報酬を回収 するっていうようなものです。これによっ てそのバイナリーな選択しかできなかった けど、あの連続で獲得することでも指数 関数的に選択可能性っていうのが増えてく と。ただここれの攻撃は大体25%以上を 、え、ま、その攻撃者が、えっと、その ステーク量の25%以上を、え、保有して いるような状況で、えっと、その攻撃の、 えっと、インセンティブっていうのが現実 的になっていくっていう報告がされてい

ます。ま、理由は結構25%って多くて、 ライドが多分2020、20から25% ぐらいだと思うんですけど、ライドがそれ に該当するかもしれなくて、なんで25% かって言うと、そのこれっていうのは攻撃 をしようと思うとプロポーザーっていうの はそのブロックを提案しないっていう選択 肢を取らなきゃいけないですよね。ま、 それすなわちそのブロックから得られる 報酬っていうのを失うことになるので トレードオフとしてはこのえっとタームで ブロック報酬をどれだけ失うかっていうの とその次の次のエポックで適用される ブロックのえっとプロポーザーになれる 確率とそれによって得られるブロックの 報酬がこうあのトレードオフとかそれを こう見る感じになっていて、ま、基本的に

そのブロックからもらえる報酬って結構 あるのでそんなにあのたくさんのその ステーク量を持ってないと現実的ではない と 形です。 で、次にランダフォーキングアタックって いうこのミキシングアタックから派生した もので、これはそのリオグっていうその フォークアウトのお手法をそのさっきの 分析に加えるともうちょっとあの攻撃 リスクが増えるよっていうことを示してい てでこれは具体的にどういうことかって 言うと、ま、攻撃者が3031、えっと、 次のエポックのスロット1にいるとして 考えます。で、このじ、この想定だと32 スロット目のプロポーザーっていうのは

オーネストなんですよね。ただ、えっと、 ここで何をするかって言うと、31す、1 スロット目のプロポーザーがブロックを 作ってアテステーションもするんだけど、 えっと、そのブロックっていうのを ネットワークにブロードキャストせずに ウィスホールドしておくと。で、32 スロットの、えっと、ブロック プロポーザーは30のブロックっていうの が見えないので、30スロット目の ブロックをこうヘッドとしてブロックを こうフォークさ、フォークさせ るっていうか、あの、ブロックを作ります と。で、その32スロット目の プロポーザーのブロックが、あの、提案し 終わった後にスロット1のプロポーザーが 、え、ブロックを提案します。で、その 提案する際に31スロット目のブロックと

、え、スロット1のブロックを一緒に提案 して、それを30スロット目につけます。 そうすると32スロット目の、えっと、 ブロックがこれ利用されてしまうっていう 攻撃で、で、その利用の条件っていうのは ブロックプロポーザーがステック報酬、あ 、ステック量の20%を持ってれば、え、 攻撃ができてしまうっていうことが示され ていて、で、そうするとこれはその何が 言えるかって言うと、重要な点は2個あっ て、1点目がまずプロポーザーがブロック を提案しないっていう選択肢を取らずとも この攻撃をできてしまうっていう点ですね 。ま、つまり今まではプロポ32スロット 目のプロポーザーがブロックを提案しな いっていう選択肢を取らないと、え、攻撃 できなかったですけど、この手法はえっと

そのオーネストなプロポーザーを利用具 すればいいので、そうなった場合はその ブロックを提案してブロックを得ながらも その乱数を自分のいい方向にこう持って いけるるっていうあの思いますね。 それが従来のリオルだと 33%か50%か必要だったけど20% のステーク量でできちゃうってこと具自体は 20%でできる。あ、でも 意外と知られてない。 意外と知られてないけど。 え、でもそれだったら 変わんないんじゃない?

変わんない。 熱プロポーザーが力されるリスクって 20%あるんだ。分かんなくない? え、今回これで20% になったわけじゃなくて。 あ、そう。これで元々20% で利用グはできてその利用具を使ってさらにランダムマニプレーションをあのやりやすくなりますよっていう。あ、ランダムマニプレーションをやりやすくなるってこと。 うん。 ブロック提案時の報酬を失わずともできるっていうのが 1つ目のあの理点で もう1 点目はこれってその連続でテイルからえっとなんと連続からテールのスロット全然獲得してないと思うんだけどこれっていうのは利用具によって連続でスロットを獲得してなかったとしても連続でスロットを利用グすことによって連続でスロットを獲得しているようなそれあの予測可 音声計上あの指数関数的にその状態を見る

ことができるっていうこの2つの理点が あってでこれによるとこの研究とかだと その1つ前さっきのあのセリフミキシング アタック よりもその 攻撃 することのインセンティブがその大きく なるその ステーク量っていうのが25%から20% にされる。ま、あとこれによってその チェーンのそのリオルグが起こる、えっと 、割合いっていうのも高くなる。 あとそのチェンのスループットも下がるみたいになんか色々なちょっと詳細は論文読んで欲しいんですけど詳細のその数字はただかなりこうチェーンのプロトコルにとってえっと良くないことが起こりやすくなると どういうインセンティブがあるの?

これは次の次のエポックで自分がプロポーザーになれる確率っていうのを上げられ うん。セルフミキシングでも同じだけど、ま、例えば 2の3乗だったら8パターン通りのエポッ N+2の未来を見て、あ、 6個目がやっちゃ俺ら 1番プロポーザーになってるみたいな。 その6個目を選ぶ時にスロット 30ではプロポーズ、31ではしない、 32 ではするみたいなのを選ぶってなるほど。 うん。感じ。その 2 の形状通りあるって言うけどさ、その指数の中から実際に計算できるのってどれぐらいなんだろう?実際にその有限の時間なわけじゃん。計算できるパターンって。 うん。

それが本当に指数関数全て計算できちゃうんだったら問題だけど現実的になんかログとかしか計算できないんだったらどうでも電ってなりそう ああ数は多分計算で計算ってその計算量的にみたいな そうそれはそれは多分全然できる気がする まあ3とかだったらあまそうだね10と うん。まあ、どうだろう。 そのオーダーがどうなるかっていう話。 うん。まあ、確かに。それは確かに。 確かに 16 とか来るとかなり若手でかすよ。うん。ま、でも現実的にはそのそんなにスロット数を多く取らなくても大体 2とか4とかま、

これ全部であれか。 シグネチャー計算コストとしてシグネチャー うん。うん。と、えっと、 Xうん。うん。 で、エポ次の次のスロットのエポックをのプロポーザーを計算するのは うん。コストが どんぐらいだが。 えっと、ここで確定したミックスをその次の次のエポックと一緒に発化するとそれがシードになって [音楽] そのシードを えっと、そうだね。確率を じゃあま、大体うん。

シグネ1回のシグネチャーと1 回の発だから、まあそうかが書くパターン必要ってことね。 うん。うん。 それは指数感指数にはならなそうだな。 どうだ?並列化できないか? 平列かできるんじゃないかな? パターン。 うん。できないかな?

あ、その計算の列か。うん。 系列化できたら、ま、実際かなり計算量オーダーは低くなるぐらい。 うん。確かに。うん。 オーダーは変わんないよ。オー 両オーダー変わんない。 オーダーは変わんない。うん。 うーん。そうか。なるほど。オッケー。 オッケー。で、えっと、課題を整理すると 2つあって、1つ目がプレデクタビリ ティっていうものと、2つ目が マニペタビリティっていうもので、えっと

、前に関してはさっき、あの、さっきの、 え、攻撃者が複数のテールスロットKを 傾向スロットを獲得すると、えっと、将来 のビックス値の入力か力っていうのを、 えっと、質感する的に計算できることで マニュピタビリティっていうのがその計算 したあのものに基づいてえ、ブロックの 提案とあとは利用みたいなものを通じて 利益利益をえ最大化できるするための操作 をえきこていう点ですね。2の経ですね。 あ、2の経っ て先行研究で定義そうだね。 定義ってほどではない。

初めて出てきたの。あ、言葉。うん。 このプレクタビリティとマニフレータビリティって言葉は 誰が使い始めた?この言葉は俺あのリサリサーチで整理したって感じ。 初めて使い始めた言葉。うん。 ま、使われてる可能性あるかもだけど、ま、 明治的に使ってはないかな。 うん。ま、直感。 なるほど。 ま、で、えっと、俺らが考えてたのはこの プレディクタビリティ、予測可能性、予測 空間みたいなものをあの、短縮することで その操作をする、えっと、インセンティブ を下げられるっていう点ですね。 で、ま、その提案がこれで、えっと、ま、

前のずっと違うのはこのコミッティ、今 まではこプロポーザーだった分が コミッティになってるっていうことと、 このリビールの生成が、えっと、 あるあの式位置を引いてるっていうことで 、最後にその、え、生成されたリビール値 っていうのをその当該ブロックで使うん じゃなくて、次のスロットのブロックに、 え、あの、使うっていう、入れ込むって いう感じになってます。うん。で、これは 、えっと、シンプルに言えばプロポーザー が、えっと、ランダをリビールを生成する のではなく、コミッティがある式位置を、 え、ま、コミティたちがその署名をして、 で、ある式を超えた段階でリビ、あの、

ユニークなリビール値が生成されますと。 で、そのユニークなリビール値っていう ものを、えっと、ランダのリビールとして 、え、利用します。 で、その、えっと、あの、リビール、あの 、ランダをリビールの値っていうのは プロポーザーが、え、予測することができ なくて、その敷位値が集まった時点で 初めて、えっと、明らかになる値を使うの で、プロポーザーが連続スロットを獲得し たとしても、例えば最後のテールスロット から3連続で獲得したとしても、えっと、 その、その将来の状態空間をこう、現在の ランダウよりも計算することができなくな るっていいうような仕組みです。で、えっ

と、プロポで、次のプロポーザーが1つ前 の1つ前のあの式位置署名のリビールを その、えっと、自分のブロックに含んで、 で、あとは検証は従来通り、えっと、検証 濃度がもしそれをあの、検証して正しけれ ば、えっと、ブロックをあの、可能にする というか、投票する。で、もし正しく なかったら、えっと、それはリジェクト するというような、あの、発想になって ます。 で、これが予測可能性が、えっと、2の 形状から+1に大幅削減っていうあのもの なんですけど、えっと、この辺のゾアバ さんが作ってくれたやつなんですけど、ま 、仮にその後ろの3スロット、テールの3

スロットが攻撃者に乗っ取られた場合を、 え、考えますと。で、そのまずその スロット30の時点で、えっと、考えて みると現行のランダウだと、あの、3 スロットの全ての、えっと、選択肢という か、計算あの、可能な部分が8通りあって 、で、えっと、ただそのアンプデタブル ランダの方だと計算できるその プロポーザーが当該スロットになるまで その時に生成されるリビール値っていうの が分からないので、2通りしか分かりませ んと。 うん。で、これで、えっと、次のスロット に進むと、えっと、ま、こっちの8通

りってのは変わんないんですけど、下の方 だと、えっと、1と0はフィスされて、ま 、どっちかになって、で、新しくその1、 要はブロックを提案するっていう選択肢が その当該スロットによって初めて分かって 、ま、それによって新しい0も分かるので 、これで、えっと、3択、ここの0と0と 新出てきた0によって3 パターン。この時点であの 0ってか10かな。うん。こうこうか。 うん。 なりますか?

うん。ちょっと待って。俺ついてけてないか。 2 個戻ってもらって。ここでこの矢印は何をしてる?この矢印は生成されたリビールはどこに含まれるか。どのブロックボディに含まれるか。なるほど。 これが次のスロットに持ち越される。 そう、 ブロックってプロポーズっていうで進んでいくけど、そのこれまではプロポーズプロポーザーがプロポーズの段階で生成してそのスロットでブロックに含めてたけど今回はコミッティ俺らが新たに設けたまあま既存の人にやってもらうかもしれないけどコミッティっていうプロポーザーとは別の人がいるからその 自分のうん。そう、

役割を分割前みたいな感じ。 そう。うん。だからやってること2 つあるよね。あ、そういうことか。 そういうことか。プロポーザーの役割りを 2つに分割したみたいな。 あ、違う。えっと、コミティに引任してるリビール。 そう、そう。リビールの で、それとスロットの位置が変わる、今 2つの変化だよね。 そう。なんか要はランダムをマルチパーティー計算で そうそうそうそうそう。 なるべくバイアスがかからないようにしたってことです。そう。そう。 え、でもその分コミュニケーションコストかかると思う。 そう、コミュニケーションコスト。 うん。えっと、 コミティがコミュニケートする必要。 あ、コミュニティがプロポザン出す。あ、それは増える。 コミティ同士でもコミュニケーションしなきゃいけない。

うん。そうっすね。コミティとこのスラッシュホールドは特に数字は待ってない。今の コミを提案で出したのはコミッティ。 あの、シルっていうあ、やつのIL コミッティっていうのを使うっていうの一応 1 番押しとしてはやってるけど、ま、デザインパターンとしてそこは置いてるだからそれだと 16人で、ま、そのうちの [音楽] うん。大きい。 これVRFって何が違うの? Vま、よくより言われ VDFの方がよく出てくるからVDF と言うと VDFは多分完全にアンバイアスというか

VDFは全く違うと思うけど VRFと全く同じに見えるんだけど。 あ、そうなのか。 うん。 一応ジャスティンがジャスティンドレーク がこれと似たような提案を2018年には してたんだけど思いついた後それを見つけ たんだけどそこだと その敷地1照署名のユニーク性みたいな ところが入ってなくて結構それが重要な気 がしたからそれってVDFとは別のやつ ジャスティンの提案て多分うんVRF あ、VDFとは別だね。メ なんか2018年VDF

使ったランドの提案をしてたから。 ああ、そう、そう。結構いっぱい書いてる。その頃に。 うん。トレードオフは変わんない気がしてて。 うん。うん。VRF の議論でとなんか同じ議論に収束しそうな気がしてるんだけどコストの見積りて出してる。 ララウンドのコンプレキシティとコミュニケーションの コンプレキシティ。ま、そこは今後の実際にあのベジマンとかとかっていうのは 多分理論の時点で出した方がいいかも。 ああ、ま、それも出せるから、 そのDKGのどういうDKG

を使うかっていうのと、 ま、敷明はDLS 式名でいいと思うけどに依存するっていうのがあって、それがどれがいいかがわかんなかったぐらい。 しかもこれアンホネストマジョリティじゃん。 2/3 というかうん。 あの、トラストじゃない前提で動いてるでしょ。 うん。ああ、そういうことね。 そう、そう、そう。 各コミティが生成する値が正しいのかっていうのを検証しなきゃいけないんだ。 うん。そう。検証しない。 そのコストもあるから。そう。 ま、例えばそれをボレでやるとかあるけど

うん。 それはあの最近ファイアブロックとかいろんなとこがやり始めてるけど うん。 そこのコストとどうなんかトレードオフ取れてるのかっていうで 既存のVRFだと 結局コミュニケーションコストが大きいから帰却されてるのを自分たちの方がいい案倍取れてるんだよっていう主張をしてく必要があるんじゃないかなと思って うん。 それはありそう。 はい。うん。これスロット1 個ずらしてるのはなんて言うんですか?

2つとかさ ずらさんあ、そういうこと。もっとずらすってこと。 ま、多分まんですか? 1個にずらしてるとこ。1 個にずらしてるんじゃないですか?今1 個にずらしてる。まず東ブロックだと 埋められない。プロポートした後だから。 うん。で、確かに 1つ そのコミュニケーションのオーバーヘッドとかがあって 1つじゃ無理とかてうん。 かなと思ったけどなんで じゃあ23 とかでもいいのかなとかま、理由があればいいですね。 いや、特には うん。番にっていう感じですね。 ま、てかそもそもこれやるならエポックごとに作んなくていいよ。

そう。 これやるのはスロットごとに倒しちゃえばいいから。そ、 そう。 ここもいっぱい考えたけど、ま、一旦はその 1番シンプルな形の提案っていう うん。すね。 それも確かに全然できる。 あ、旗ここがずれちゃってるのがむしろシンプルじゃない。 気がしちゃったから。 うん。うん。 ま、なんか例えば今のアテステーションアテーションも実際スロット 30で提出したアテステーションは 31に含められるって意味では同じ ああ、だから、ま、ずれっていうか だと

うん。 非シンプルさを増やしていいのかっていう。 ま、そう、結局これは、これがいい提案するにはもっとランダムを今のランダムはやばいっていうのを 示さないとうん。だとではないと。うん。 ま、で、えっと、 どういったっけ?これで この敷地を使う場合だと スロットが進むごとに新しい選択肢って いうのが1つずつ増えてく

ので、えっと、 3スロット連続でテイルスロット プロポーザーが取ったとしても 累積でこう くっていうのが3+一通り になるっていうことですね。 フロットをフロットが更新されて初めて新しい卓が見 1択ずつ見えてくるっていう。 これってさ、コミュニティコミティがランダム作るのに悪さできるの?そもそもビット [音楽] 0あるあるの?2/3取られたらある。

あ、だから3 取られた前提ってこと?あ、や、これは取られてないですね。 あ、え、どういうこと? あの、プロポーズはもう結局、あの、プロポーズしなかったらその敷地署名を含めないっていうことはできる。 あ、そうなの?コミュニティがランダム作るんじゃなくて、 コミュニティがランダム作るんだけど、それを結局ブロックを含めなかったらそれは帰却されちゃう。 次のプロポーザーに。 なるほど。 そう。結局プロポーザーが強いっていうのは残る。 あ、でもブロックの検証にそのランダオリビールは含まれないんだよね。含まれるんで [音楽] 含まれるのか。うん。 あ、そうなん。さっき矢印がちょっとむずいかも

これね。 うん。ここのランダムの検証が次のブロックに持ちらさせる。持ち越されるか。 うん。 うん。じゃあこれはそのコミュニティを 3分ん支配合してってわけじゃなくて うん。 あ、そうです。この絵はちょっと分かり これはそのこの鬼はプロポーザーで それプロポーザー。 それ、それはちょっと誤解 プロポーザーで仮にその 1 人、ま、あるいはそのプロポーザーと決託してるコミティメンバーがとしても 2/3、

ま、特定の式位置を超えない限り安全に、え、乱数が生成できてプロポーザーがそれをコントロールする余用余地はない。 操作、操作するには含めないっていう選択肢しかないってこと。そう、そう、そう。 うん。 含めるか含めないかのはずっと残るとブロックチェーンはプロポーザーが全部 1個1個繋いでいくから作られていくから はい

はいコミティでシャッフルされるんですか?どう のでこいっとシャッフルされる毎回そうで いや、エポックかな。エポックか。うん。 そのまま一応デザインパい。 ああ。 うん。 で、これによる、えっと、敷位置署名が 結構肝で 攻撃者がコミュニッティのある式位置を 支配しない限り敷位置の署名の値を事前 予測することができないと。で、えっと、 その値が予測できないので、 えっと、ま、あとはその、あの、その敷地

分をその プロポーザー攻撃者が支配できないと操作 することもできない。 うん。 いうことですね。 で、ちょっと次、えっと、ま、今回の提案 に限らず、ま、限るところもあるんです けど、リサクエが追加でいくつかあって、 まずその先行研究の、えっと、ランダム マニピュレーション、あの、さっきの セルフミキクシングアタックのところで、

そのセルフミキシングアタックはブロック 報酬を固定とし使っていて、ただその想定 として仮にその実際にはそのエポック先の 特定のスロットとか特定の期間でMEB スパイクだったりとかト訓ンのロンチとか そういう形でそのブロック報酬が高騰する 時期があってでそれをそのプロポーザーが もしま撃者が知っていた場合に期待値及び そのプロトコールへのワーストケースが どのようにこう変化するの っていうのは、えっと、ま、今回のこの 僕たちの提案がそもそも理論的な攻撃 ベクターに対しする、ま、理論的な大まか

な設計になるんで、ま、これを、ま、 さっきも指摘あった通り結構複雑性みたい なものは元々のあのランダオ自体が シンプル、ものすごくシンプルなので複雑 性は増えることになってしまうので、その 複雑性を増やすその理由、大きな理由がで 、で、ま、その1つのあの 方向としてもしメブとかそのブロック報酬 が固定じゃないとするとどのような ワーストケースが得られるかみたいなもの は1つ、えっと、研究する価値があるかな と思います。で、2つ目は2つ目と3つ目 に関しては、これは今の提案とかなり関連 しているんですけど、その実際に予測可能

性っていうのが減った場合にどのように あの期待値が減少するのか。ま、もう ちょっと言うと元々の先行研究だとその 攻撃者が取得している、え、ステーク量が 例えば20%だったら期待値はこぐです よっていうのが、えっと、算出されてるん ですけど、ま、今回のようにその予測可能 性っていうのが削減した場合にその、えっ と、攻撃が利に叶ってる、利に叶うような そのステーク量だったり機待値だったり そういったものがどのように変化するの かっていう理論的研究ですね。で、3つ目 が、えっと、今回敷位置署名を使ってある 式位置を超えると特定のリビル値を吐け

るっていうあのものなんですけど、その トレードオフというか、ま、その考え なきゃいけない点として、あの、 2/3コミあるコミ、その乱数を生成する 際に使用するコミッティの2/3、ま、 特定の式位置が支配され続けた場合、その ラン数がずっとその変わらないとか、 えっと、そのブロックが常にこう飛躍され てしまうみたいなことがあって、これは そのライブネスにすごくプロトコルの ライブネスにすごく影響があるので、そう いった点を例えばコミュニティサイズを 大きくするとか、えっと、そういう どのようにライブネスへの影響があるか、

あるいはそれを最小化するのかっていう、 それも出し多分よりここで大事なのはその 2/3乗っ取られるってよりは1/3 が地震とか戦争とかであの繋がなくなっちゃった場合でも 2/3が集まんなくなるからうん。確かに その攻撃ってよりはそういう災害とかで 1/3 がいなくなっちゃうだけでブロックチェーンがずっとプロポーズされなくなってしまって うん。 で、ま、トランザクションが一向に通らな いっていう問題が発生してしまって 分からんです。 で、最後に使用設計になって、あの、使う

わけじゃないんですけど、実際にその ビームチェーンの乱数、これはその今の ものに限らずなんですけど、今BM チェーンの乱数とかその辺りをどう使用 どのように使設計するのかっていうのが あのオープンなその問というか議論として あるので、VDFだったり、VRFだっ たり色々なものを考慮しながらどうこう ビームチェーンの乱数をこう設計して 提案するかだったりその際にどうこう な何て言うんでしょう [音楽] があるのかみたいなものを見たりとかま

そういう次のPMチェーンの乱数設計に 関することをこうまるっとやっていただく というものですね。 ま、この辺りちょっとできたらいいかなって思います。以上です。 はい。はい。 あ、ま、またあれやね。さっき正が言ってた、 あのVRFだったりその辺りと比較 うん。そうっすね。は、ちょっと見たいすね。 うん。あ、なんでしょう?

えっと、あれ、さっきちょっと説明も漏れてた。わかんない。このこの 2 番目のマニクラビリティっていうのが個人的には大事で その例えば単純にアテーションの発信を取るとかやれば 1番は簡単に満たせるんだよね。 その、えっと、この時点の アテステーションはプロポザは事前に知り 得ないから、その アテスの発を取るみたいな単純なことは できるんだけど、それやるとこの マニピュラブルなことはめちゃくちゃでき ちゃって、そのアテスター側にも攻撃者は 何人かいて、そいつらのアテスの出し入れ によってまためっちゃそのハッシュが大量

に計算できてしまうアタンっていう問題が 解決がむずかったんだけど式1署名はその 2/3を超えさえすればそのまだろうと 100%だろうと80%だろうと常に唯一 ユニークな対応を作ってくれるからこの マニペラビリティのところもあの防げ るっていうのが 敷地1証明のすごい特質すべき性質ながき ますね。 うん。それのおかげでできてるっていう 書面は唯一なのかな?

それはそうだと思う。 検証に通るだけでは違う気もしない。 えっといや、あのそれが多分あ、ま、そうじゃない式一gram署名もあるかもだけど少なくとも俺らが提案で使ってる BLS式一署名は唯一だね。 あの、事前に DKG でその普通の集約署名と違うのは根本的にはあの秘密鍵と公開鍵がワンペアしかなくてそれを秘密分散して [音楽] いそうなんだけどうん 署名を作る時に乱数を含めるでしょ?

BL署名って? いや、BL照明含めVSない。ECDSA はあるんだけどなんすか? このそうそミスティック そうだ。どう? 今のなるほど。今のイサリアムの BLS ってミスティックなの使われてるんだったっけ?そうだと思うな。 ナンスがないのが、ま、数学的にはすごい綺麗っていう話があったはず。 ECDSA

と比べて。でも一般的にはデタミスティックだと うん。 安全性の要件としては弱いよね。同じメッセージから同じ証明が作れるから。同じメッセージから同じが作れる。 [音楽] ま、秘密が結局他の人は知れないから、ま、あの うん。ちゃうかってこと。 うん。 うん。署名に簡単な値を変えると別の証明がつけちゃったりするん。うん。デタミスティックは ああ、ま、それはそう でもそ分かんない。その要件がここでは必要ないんだったらいいんで。

えっと、今のランダーはエポックに署名するんだけど、俺らのはスロット番号に署名するっていう提案してて [音楽] うん。 うん。で、メッセージは共通にしないと多分集約できない。なんかみんなスロット番号に証明っていうメッセージに証明するのはみんな同じクリフカなことになってるかわかんないけど。 ちなみにその敷一美署名で はい。うん。 各パーティーが うん。 交換するメッセージの値何か分かる。何のシェアを交換するのかっていう。

えっと、それは多分どの DKGを使うかっていうのを依存してて、 DKGは関係ないんじゃ BLSNのタイプにやってじゃない。 DKでただ分散するシステムなだけで うん。そこにどのしだってあれって別に BLSじゃなくてうん。ど テックなら何でもいいわけでうん。 えっと、どういうことだ?えっと、そん時にでもシェア、シェアはその時点で確定するよね。うん。だからシェアじゃなくて、あの、署名のシェアを交換していくわけでしょ。署名を作るために。 あ、そう。

で、それはあの、今考えてるのはそのシンプルにただプロポーザーに投げるというか、みんな各自が各自が何の値をコミュニケーションするのかっていうのが結構大事で えっと、署名シェア、 証明シェアだけでいいの? だけでいいと思う。 じゃあコミュニケーション1回だけ。 そう、多分。 ただDKG の方がそっちは重いっていうのはあると思うけど、えっと、ま、アグリゲーターとかも設置してもいいかもしれないけど、 16 人ならアグリゲーターとかいらないのかなって。 というか、多分こういう提案するんだったらその冒頭のタイミングでうん。 一緒にやっちゃうっていうのが1番。

あ、ま、そう、そう、そう。 だからそれがで、コミュニケーションが 1回なんたらそれができるんだけど うん。 ただそのアグリゲーターがバルさしないように うん。 なんか工夫しなきゃいけなくてチェーンだったら各署名をスナークにやるからちゃんと ランダウのアグリゲートあの BLS の署名のアグリゲートもスナークで同時に証明するみたいなことができれば安全にまあ 1回の操作でランダオの生成と うん 署名の集約ができるんじゃないかなって あそうだと思うけど 今も ただ署名シェアがその式

1以上集まれば作れはすると思うから。 ただ初面シェアだけしかそんな単純なんだ。 BLSの式位って あれどうなのかな?それでできないかな? あ、待ってよ。あ、ま、ま、事前に東海シ屋もあの共有はもちろんされてるから検証はそれでできる。 ECDSAだと4回はラウンドがあって ああ、そんなにあった。最初にR、RとK っていうランダムを生成するんだけど、 その、その逆数の値をシェアしたり で、その逆数がちゃんと した乱数ですよっていうゼロ知識をシェア、一緒にシェアしたり。 あ、それは多分そう、乱数がないおかげで

BLSはそれがないっていう のはあると思う。数がないおかげなのかな。 じゃないかな。 乱数がないおかげではない気がする。というよりは 署名の先形性がないから、 あの失数肩に乗ってるでしょ、乱数が。それを うん。 マルチパーティーで計算するためにあらかじめ指数部を支アしなきゃそれぞれが署名の値を作れない。 なるほど。なるほど。 えっと、BLS の署名の作り方は秘密をかける秘密の回数分だけ大局線のあの上するだけ だからシェアをうん。

上山してそれを そう、もう1 回上すれば復現できるみたいとか えっと復現するのはただの足し算で復現っていうか、え、ま、集約された署名を作るのは多足し算だけで、えっと、検証する時に必要なのは ペアリング。ペアリング。 そう、ペアリングで その集約公開鍵署名 メッセージと [音楽] G2ベースポイントあ、軍 2個目の軍のベースポイントその 4つの引数で

選手う うん。 うん。よし。 コストは早く出した方がいい。

ま、そうだね。実装とかより先に。 なるほど。 ベンチマークとかより先にコスト出した方がいい。 そう。確かにそれは GK かってる側からの意見としてでもありがたい。 とこすかね。うん。いいっすね。 じゃあ、ありがとうございました。 ありがとうございます。 これでいい。ま、もう切っていいんじゃ ない