干货 | 论权益和共识（下）

3.6 不使用 DMMS 的共识

是否一定要使用 DMMS 才能打造分布式的共识机制呢？到目前为止这还是一个开放问题。笔者的猜测是 “不是”。更具体一点来说，简单改变比特币协议，用 “优惠券” 来奖励那些以更低难度挖出未来区块的矿工 [BDC+14, 章节 6.1] 不太可能破坏共识机制，但这种模式显然不符合我们上述的 DMMS 定义。

4. 权益证明

有了比特币的共识机制作为基础，我们来分析一下当前最流行的替代方案，权益证明（Proof of Stake）。PoS 的描述见 [Poe14b]：

有了现代密码学之后，“ ‘信息’ 本身即是物理上真实且具有价值的东西” 这一观念便摆脱了哲学系的教室，进入到真实的商业世界。我们都非常熟悉安全的通信所支撑的经济活动：谈判意见、合同、交易、买单和命令，都能发到互联网公网上而无需担心伪造和拦截。我们也都清楚，如果秘密数据遗失或被盗会带来什么样的经济后果。到了 2009 年 1 月，密码学货币诞生 [Nak09]，有价信息的概念就变得更加具体。你可以在公开的通信媒介中持有和交换一种同质化（fungible）的价值储存物，仅仅只需使用密码学方法（无需物理的安全设施）来防止欺诈和盗窃。人们不仅可以说 “这把加密密钥值 1 万美元，因为假使它暴露，我们就会损失这么多金钱”，还可以说 “这把密钥值 1 万美元，但里面的价值是可以分拆的，你可以拆出 20 美元发给别人，自己留着剩余的部分”。有这些背景知识，权益证明其实很好理解。一个权益证明就是一个对所有权的密码学证明。在密码学货币中，权益证明不仅能够证明一笔货币的所有权，还可以证明这笔钱满足一些特征（比如，这笔钱是被锁定的、无法花用的，直到某些条件被满足才会解锁）。具体来说，证明资金锁定在一种稀缺且实验性的密码学货币上，可以视作证明了其人对该项目的成功有浓厚的兴趣。用户可以用提供锁定的权益来证明自己对项目的持续存在（及可持续发展）有兴趣。

也就是说，权益证明是这样一种观念：我们可以使用密码学证明，而不是像朗道尔极限（Landauer limit）这样的物理学理论，来证明某些计算是非常昂贵的。

4.1 权益证明 vs DMMS

使用 “纯粹的权益证明” 来生成对一种密码学货币的历史的共识，这种思路其实是预设了：有可能创造出一种近似 DMMS 的签名方案 ⁷，其代价函数度量的是该种币本身的数量。这在原理上听起来很简单，我们再次引用 [Poe14b]:

在一个足够有表现力（sufficiently expressive）的账本上，货币的持有者可以锁定他们的货币一段时间，以租借在密码学上可验证的 “权益（stake）”。需要推进共识历史时，每一个权益持有者都为延伸的内容（区块）签名，而不是为这些内容附加工作量证明。出于实践上的方便，一般来说，每次出块都会随机选出权益持有者中的一小部分，来负责出块；而且，要让区块获得合法性（validity），也只需要这个小团队中的大多数同意就行。这些被选中的权益持有者可以获得奖励，而且一段时间后，只要他们愿意，就能解锁自己的权益。这里的观念是，与其让控制历史的经济代价高不可攀，权益持有者们有激励对每一个区块达成一致，因为（a）他们都是随机挑选出来的，不太可能相互勾结；（b）即使他们可能相互勾结，也不想搞崩整个系统（例如，签署相互冲突的历史就会导致这个结果）；（c）他们资本有限，无法造成巨大的破坏。因为上述理由，下一个被随机选出的权益持有者团体可能只会选择在一个他们认为可靠的历史上出块。

注 7：权益证明方案并不总被尝试设计成无过程性的（progress-free，亦即无论你此前做了什么，都不会影响你下一次尝试的成功率），所以并不都能成为正确的或者安全的 DMMS。但是，其根本宗旨仍然是 “让制造历史非常昂贵，并奖励那些参与正确历史的人”，所以我们继续以成本这个视角来观察。

该文已经稍微把事情复杂化了：在真实的权益证明系统中，往往只需要一个签名者认可，而不需要绝大部分的认可。

这里的问题是，要想恰到好处地定义出一种能够度量（以某种货币的形式）锁定权益数量的代价函数，先得有这种货币的共识历史。如果只能达到 “存在某段历史，其中这些币都是锁定在一起的” 的程度，则虽然最终的 DMMS 可能定义得很清楚，但其代价函数不再是度量稀缺的东西，而本文 3.5 节的结论也就都不成立了。

当然，稀缺可以通过惩罚那些签署多个历史的权益持有者来塑造。举个例子，如果系统使用 Schnorr 或者 ECDSA 签名方案，且权益持有者在签名时仅能选择一个特定的 nonce，则他们要签署多个历史时，就必然会用到同样的 (key, nonce) 对来签发两条消息，而这会使得他人能用几何求解出他们的私钥。但是，这样的设计还是不能阻止权益持有者们 “研磨（grinding）” 区块（不断尝试不同的区块），仅发布那个能使他们在下一个区块继续担任出块者的区块 ⁸，这样不断重复就能完全掌控整个区块链。这就是 “权益研磨” 攻击的一个例子。下文我们可以看到，权益研磨只是一个更普遍问题的一个特例而已。

总的来说，一次性签名方案可以防止权益持有者发布相互冲突的历史（前提是攻击者对自己会丢的币估价更高，而不能从自己导致的混乱中得到更多），但一次性签名无法防止权益持有者偷偷地制造相互冲突的历史。

注 8: 注意，随机数必须由区块链本身来决定，因为它就是大家要共识的唯一对象。所以 PoS 矿工可以用权益研磨来扭曲系统。使用多个区块或者久远的区块来决定随机数并不能解决这个问题，无论哪一种方案，都有某一方能够操纵它。

4.2 零成本的模拟（Costless Simulation）

终极来看，问题在于，为提出一条权益签名而锁定的币，仅存在于这些币所属的区块链上（coins bonded against a stake signature only exist within the blockchain to which those coins belong）。这就意味着，只要某些团体能以低廉的成本创建区块链，这样的团体就会创建多条区块链，然后选择较为偏向他们利益的那一条。

如果每个人都能便宜地创建历史，那系统就会崩溃。锁定权益的用意正在于，让 “便宜创建历史” 的权限仅对那些愿意长期持有这种货币的人开放，而且可以假设，对这些人来说，这个系统意义重大，以至于不可能去攻击它。但是，因为没有全局时间（对那些新加入网络的人，也没有全局历史），那就根本没有办法把 “最近” 才开始持币的人与 “一直” 持币的人区分开来。对一个权益证明系统来说，在历史中的任何一个时间点，都有一组签名密钥可以转让货币、锁定和解锁权益、签名区块。可以假设，在真实世界里的某一刻，系统创建出一个新区块的时候，在这一刻，一些密钥对应着所有权。但是，真实世界的时间会继续流转，而这个区块会变成静态之物，所有与它相关的签名密钥也会一起变成静态的。

我再说一遍：在真实的时间里，区块链会变得越来越长，权益会解锁，币会被用来交换别的产品和服务，而那些密钥，即使误用会导致持有者损失价值，也会变得毫无意义。但对于一个不可更改的区块链来说，区块的密钥的含义（meaning）永远不能发生改变。

因为在一个权益证明系统中，部分密钥就决定了未来，这就导致了一个问题。无论什么人，只要能获得这些密钥（可能是自己把币清仓了的用户，或是跟她买到了私钥或者捡到了她的私钥的人；用户不善于长期保存私钥，尤其是那些他们觉得自己再也用不上的私钥！），就有能力分叉这个网络，或者创造出另一个历史；新用户并不能分辨出哪个是真的、哪个是伪造的。

要点在于，即使权益持有者要锁定（具有高昂市场价值的）一大笔资金，而且一旦不遵守协议就会损失所有资金，这种威慑力在用户解锁自己的权益之后也会消失，而解锁或早或晚总会到来（无论是从系统外部看还是从系统内部看），而且在当下（这个区块）也必然无法确定权益会在什么时候（哪个区块）解锁。所以，免费的历史，或者说 “零成本的模拟”，是没法通过锁定由系统内部定义的价值来防范的。

4.3 “长程” 攻击 vs. “短程” 攻击

如果你要求权益持有者必须长时间绑定权益，而且使用久远以前（以区块计）的区块产生选择签名者的随机性，那就可以让上述的攻击者必须重写很长一段时间的历史。常常有人说，这样就能 “防止短程攻击”。

很清楚的是，这还是没有解决零成本模拟问题；毕竟，只要创建历史本身很容易，那无论创建多长的历史分支都很容易。不过，支持者们常常说，有一个诚实签名者创建的历史，这条链积攒的区块数量也正对应着现实世界里的较长时间，而对这段历史的任何修改都会与参与者们所铭记的这段历史相冲突。因此，大家可以检测到并意识到这是一场攻击，然后拒绝掉它。

如果软件能正确实现这里的规则，那确实是没什么问题的了，但它改变了比特币这类系统所用的信任模型。那些新加入网络的参与者会遭遇多种历史，而且也不再能够仅凭自己就辨认出哪个是真的；他们需要询问网络中已有的参与者（可能是他们的朋友，家人，声誉卓著的大企业、公开的网站，等等）哪个历史才是真的。这就不是一种分布式共识机制了！这是另一类共识机制，虽然能在始终在线的对等节点间去中心化地形成，但新加入网络的用户和长期离线的，就必须信任某些人了。这种模型对于法律上的压力、对 “被信任” 实体的攻击和网络攻击，自然都是非常脆弱的。

4.4 其他考量

再次引用 [Poe14b]：

另外，这种可以控制未来签名者人选（甚至控制整个权益持有者集合，可通过控制进入区块的交易实现）的能力会带来严重的后果。甚至不必由处心积虑的攻击者来动手，任何时候有权出块的签名者都有激励将大家导向一个他本人会有更多权益（也因此能获得更多奖励）的历史，使系统趋向中心化。他们可以通过扭曲未来区块对签名者的选择来实现，或者更隐蔽地，可以审查那些最终会扩大权益持有者群体的交易。

5. 结论及后续研究

本文描述了 DMMS 机制如何能产生一种分布式的共识机制。虽然 DMMS 连带着一些经济上的要求，足以形成共识，但它可能不是必需的。开放问题包括减少这些经济上的假设（或者证明这些要求是不可消除的），以及确定哪些条件是分布式共识的必要条件。

我们还分析了 DMMS 的一种替代品，权益证明。我们证明了，仅靠系统内的资源，权益证明是无法形成分布式共识的，因为它要依靠自己尝试形成的历史来执行惩罚。

（完）

（文内有许多超链接，可点击左下 ”阅读原文“ 从 EthFans 网站上获取）

原文链接:

https://download.wpsoftware.net/bitcoin/pos.pdf

作者: Andrew Poelstra