पी + एप्सिलॉन अटैक

इस हमले के साथ आने के लिए एंड्रयू मिलर का विशेष धन्यवाद, और चर्चा और प्रतिक्रियाओं के लिए जैक हेस, व्लाद ज़म्फिर और पॉल ज़्टॉर्क

हाल के सप्ताहों में क्रिप्टोइकोनॉमिक्स में अधिक दिलचस्प आश्चर्यों में से एक हमले से आया है SchellingCoin इस महीने की शुरुआत में एंड्रयू मिलर द्वारा कल्पना की गई थी। हालांकि यह हमेशा समझा गया है कि शेलिंगकॉइन और इसी तरह के सिस्टम (अधिक उन्नत सहित सत्यकॉइन आम सहमति), अब तक एक नई और अप्रयुक्त क्रिप्टो आर्थिक सुरक्षा धारणा पर भरोसा करें – कि एक साथ आम सहमति के खेल में ईमानदारी से काम करने वाले लोगों पर सुरक्षित रूप से भरोसा कर सकते हैं क्योंकि उनका मानना ​​​​है कि बाकी सभी लोग – जो समस्याएं अब तक उठाई गई हैं अपेक्षाकृत सीमांत मुद्दों के साथ एक हमलावर की क्षमता को कम करने की क्षमता है, लेकिन निरंतर दबाव लागू करके समय के साथ उत्पादन पर प्रभाव की बढ़ती मात्रा। दूसरी ओर, यह हमला कहीं अधिक मूलभूत समस्या को दर्शाता है।

परिदृश्य इस प्रकार वर्णित है। मान लीजिए कि एक साधारण शेलिंग गेम मौजूद है जहां उपयोगकर्ता वोट देते हैं कि कोई विशेष तथ्य सही है या नहीं (1) या गलत (0); हमारे उदाहरण में कहें कि यह वास्तव में गलत है। प्रत्येक उपयोगकर्ता या तो 1 या 0 वोट कर सकता है। यदि कोई उपयोगकर्ता बहुमत के समान वोट करता है, तो उन्हें P का पुरस्कार मिलता है; अन्यथा उन्हें 0 मिलता है। इस प्रकार, अदायगी मैट्रिक्स इस प्रकार दिखता है:

	आप 0 वोट करें	आप वोट 1
अन्य वोट 0	पी	0
अन्य वोट 1	0	पी

सिद्धांत यह है कि यदि हर कोई अन्य सभी से सच्चाई से मतदान करने की अपेक्षा करता है, तो उनका प्रोत्साहन भी बहुमत का अनुपालन करने के लिए सच्चाई से मतदान करना है, और यही कारण है कि कोई दूसरों से पहले स्थान पर सच्चाई से मतदान करने की उम्मीद कर सकता है; एक स्व-मजबूत नैश संतुलन।

अब, हमला। मान लीजिए कि हमलावर विश्वसनीय रूप से प्रतिबद्ध है (उदाहरण के लिए एथेरियम अनुबंध के माध्यम से, केवल किसी की प्रतिष्ठा को दांव पर लगाकर, या किसी विश्वसनीय एस्क्रो प्रदाता की प्रतिष्ठा का लाभ उठाकर) मतदाताओं को एक्स का भुगतान करने के लिए जिन्होंने खेल खत्म होने के बाद 1 वोट दिया, जहां एक्स = P + ε अगर बहुमत 0 वोट करता है, और X = 0 अगर बहुमत 1 वोट करता है। अब, अदायगी मैट्रिक्स इस तरह दिखता है:

	आप 0 वोट करें	आप वोट 1
अन्य वोट 0	पी	पी + ε
अन्य वोट 1	0	पी

इस प्रकार, किसी के लिए भी 1 को वोट देना एक प्रमुख रणनीति है, भले ही आपको लगता है कि बहुमत क्या करेगा। इसलिए, यह मानते हुए कि प्रणाली पर परोपकारियों का प्रभुत्व नहीं है, बहुमत 1 को वोट देगा, और इसलिए हमलावर को कुछ भी भुगतान करने की आवश्यकता नहीं होगी। हमले ने तंत्र को शून्य लागत पर सफलतापूर्वक संभालने में कामयाबी हासिल की है। ध्यान दें कि यह निकोलस होउ के तर्क से अलग है हिस्सेदारी के प्रमाण पर शून्य-लागत 51% हमले (ASIC-आधारित कार्य के प्रमाण के लिए तकनीकी रूप से एक्स्टेंसिबल तर्क) इसमें यहाँ नहीं महामारी अधिग्रहण आवश्यक है; भले ही हर कोई इस दृढ़ विश्वास में मृत बना रहता है कि हमलावर विफल होने जा रहा है, फिर भी उनका प्रोत्साहन हमलावर का समर्थन करने के लिए मतदान करना है, क्योंकि हमलावर विफलता का जोखिम खुद उठाता है।

बचाव योजनाएँ

शेलिंग तंत्र को उबारने के लिए कुछ तरीके अपनाए जा सकते हैं। एक दृष्टिकोण यह है कि शेलिंग सर्वसम्मति के राउंड एन के बजाय यह तय करने के लिए कि “बहुमत सही है” सिद्धांत के आधार पर किसे पुरस्कृत किया जाता है, हम राउंड एन + 1 का उपयोग यह निर्धारित करने के लिए करते हैं कि राउंड एन के दौरान किसे पुरस्कृत किया जाना चाहिए, केवल डिफ़ॉल्ट संतुलन के साथ जिन लोगों ने राउंड N के दौरान सही तरीके से मतदान किया (प्रश्न में वास्तविक तथ्य पर और राउंड N – 1 में किसे पुरस्कृत किया जाना चाहिए) दोनों को पुरस्कृत किया जाना चाहिए। सैद्धांतिक रूप से, इसके लिए एक हमलावर की आवश्यकता होती है जो न केवल एक दौर, बल्कि भविष्य के सभी दौरों को भ्रष्ट करने के लिए एक लागत-मुक्त हमला करने की इच्छा रखता है, जिससे आवश्यक पूंजी जमा हो जाती है कि हमलावर को अबाधित होना चाहिए।

हालाँकि, इस दृष्टिकोण में दो दोष हैं। सबसे पहले, तंत्र नाजुक है: यदि हमलावर दूर भविष्य में वास्तव में सभी को P + ε का भुगतान करके किसी भी दौर को भ्रष्ट करने का प्रबंधन करता है, चाहे कोई भी जीतता हो, तो उस दूषित दौर की अपेक्षा हमलावर के साथ सहयोग करने के लिए एक प्रोत्साहन का कारण बनती है। पिछले सभी दौरों में वापस प्रचार करें। इसलिए, एक राउंड को करप्ट करना महंगा है, लेकिन हजारों राउंड को करप्ट करना ज्यादा महंगा नहीं है।

दूसरा, के कारण छूट, योजना को दूर करने के लिए आवश्यक जमा राशि अनंत होने की आवश्यकता नहीं है; इसे बस बहुत बड़ा होना चाहिए (यानी प्रचलित ब्याज दर के व्युत्क्रमानुपाती)। लेकिन अगर हम चाहते हैं कि न्यूनतम आवश्यक रिश्वत को बड़ा बनाया जाए, तो ऐसा करने के लिए एक बहुत ही सरल और बेहतर रणनीति मौजूद है, पॉल स्टोर्ज़ द्वारा अग्रणी: प्रतिभागियों को एक बड़ी जमा राशि जमा करने की आवश्यकता होती है, और एक ऐसे तंत्र का निर्माण करना होता है जिसके द्वारा जितना अधिक विवाद होता है, उतनी ही अधिक धनराशि दांव पर होती है। सीमा पर, जहां 50% से थोड़ा अधिक वोट एक परिणाम के पक्ष में हैं और 50% दूसरे के पक्ष में हैं, पूरी जमा पूंजी अल्पसंख्यक मतदाताओं से छीन ली गई। यह सुनिश्चित करता है कि हमला अभी भी काम करता है, लेकिन रिश्वत अब जमा राशि से अधिक होनी चाहिए (मोटे तौर पर छूट की दर से भुगतान के बराबर, हमें अनंत-राउंड गेम के बराबर प्रदर्शन देता है) न कि प्रत्येक राउंड के लिए केवल भुगतान। इसलिए, इस तरह के एक तंत्र को दूर करने के लिए, किसी को यह साबित करने में सक्षम होने की आवश्यकता होगी कि कोई 51% हमले को दूर करने में सक्षम है, और शायद हम आसानी से मान सकते हैं कि उस आकार के हमलावर मौजूद नहीं हैं।

एक अन्य दृष्टिकोण प्रति-समन्वय पर भरोसा करना है; अनिवार्य रूप से, किसी तरह समन्वय, शायद विश्वसनीय प्रतिबद्धताओं के माध्यम से, वोटिंग ए (यदि ए सत्य है) पर प्रायिकता 0.6 और बी के साथ संभावना 0.4 के साथ, सिद्धांत यह है कि यह उपयोगकर्ताओं को (संभावित रूप से) तंत्र के इनाम और के एक हिस्से का दावा करने की अनुमति देगा। उसी समय हमलावर की रिश्वत। यह (लगता है) खेलों में विशेष रूप से अच्छी तरह से काम करता है जहां प्रत्येक बहुसंख्यक-आज्ञाकारी मतदाता को एक निरंतर इनाम देने के बजाय, खेल को एक निरंतर कुल भुगतान के लिए संरचित किया जाता है, इस लक्ष्य को पूरा करने के लिए व्यक्तिगत अदायगी को समायोजित करने की आवश्यकता होती है। ऐसी स्थितियों में, सामूहिक-तर्कसंगतता के दृष्टिकोण से यह वास्तव में मामला है कि समूह अपने सदस्यों के 49% वोट बी को हमलावर के इनाम का दावा करने के लिए और 51% वोट ए को हमलावर के इनाम का भुगतान सुनिश्चित करने के लिए सबसे अधिक लाभ कमाता है। .

हालाँकि, यह दृष्टिकोण स्वयं इस दोष से ग्रस्त है कि, यदि हमलावर की रिश्वत काफी अधिक है, तो वहाँ से भी दोष हो सकता है। मौलिक समस्या यह है कि ए और बी के बीच एक संभाव्य मिश्रित रणनीति दी गई है, प्रत्येक वापसी के लिए प्रायिकता पैरामीटर के साथ हमेशा (लगभग) रैखिक रूप से बदलता है। इसलिए, यदि, किसी व्यक्ति के लिए, ए की तुलना में बी को वोट देना अधिक समझदारी भरा है, तो बी के लिए प्रायिकता 0.51 के साथ मतदान करना भी अधिक समझदारी होगी, बी के लिए प्रायिकता 0.49 की तुलना में, और बी के लिए प्रायिकता 1 के साथ मतदान करना भी काम करेगा। बेहतर।

इसलिए, हर कोई हमेशा 1 के लिए मतदान करके “1 के लिए 49%” रणनीति से चूक जाएगा, और इसलिए 1 जीत जाएगा और हमलावर लागत रहित अधिग्रहण में सफल हो जाएगा। तथ्य यह है कि ऐसी जटिल योजनाएँ मौजूद हैं, और “काम करने लगती हैं” के इतने करीब आती हैं कि शायद निकट भविष्य में कुछ जटिल प्रति-समन्वय योजना सामने आएगी जो वास्तव में काम करती है; हालाँकि, हमें इस स्थिति के लिए तैयार रहना चाहिए कि ऐसी कोई योजना विकसित नहीं की जाएगी।

आगे के परिणाम

SchellingCoin द्वारा संभव किए जाने वाले क्रिप्टो आर्थिक तंत्रों की विशाल संख्या को देखते हुए, और क्रिप्टोग्राफ़िक दुनिया और वास्तविक दुनिया के बीच किसी भी प्रकार के लिंक को बनाने के लगभग सभी विशुद्ध रूप से “विश्वास-मुक्त” प्रयासों में ऐसी योजनाओं के महत्व को देखते हुए, यह हमला एक संभावित गंभीर खतरा बन गया है। – हालांकि, जैसा कि हम बाद में देखेंगे, एक श्रेणी के रूप में स्कीलिंग योजनाएँ अंततः आंशिक रूप से बचाव योग्य हैं। हालाँकि, जो अधिक दिलचस्प है वह तंत्र का बहुत बड़ा वर्ग है जो पहली नज़र में शेलिंगकॉइन की तरह नहीं दिखता है, लेकिन वास्तव में ताकत और कमजोरियों के समान सेट हैं।

विशेष रूप से, आइए हम एक बहुत विशिष्ट उदाहरण की ओर इशारा करें: कार्य का प्रमाण। काम का प्रमाण वास्तव में एक बहु-संतुलन खेल है, जिस तरह से स्केलिंग योजनाएँ हैं: यदि दो कांटे, ए और बी मौजूद हैं, तो यदि आप उस कांटे पर माइन करते हैं जो जीतता है तो आपको 25 बीटीसी मिलता है और यदि आप माइन करते हैं उस कांटे पर जो हारकर समाप्त होता है, आपको कुछ नहीं मिलता।

	आप ए पर मेरा	आप बी पर माइन करते हैं
अन्य मेरा ए पर	25	0
अन्य मेरा बी पर	0	25

अब, मान लीजिए कि एक हमलावर एक साथ कई पार्टियों के खिलाफ दोहरे खर्च का हमला करता है (यह आवश्यकता सुनिश्चित करती है कि हमलावर का विरोध करने के लिए बहुत मजबूत प्रोत्साहन वाली कोई भी पार्टी नहीं है, विपक्ष इसके बजाय सार्वजनिक अच्छा बन रहा है; वैकल्पिक रूप से दोहरा खर्च विशुद्ध रूप से एक हो सकता है। 10x उत्तोलन पर हमलावर की कमी के साथ मूल्य को क्रैश करने का प्रयास करें), और “मुख्य” श्रृंखला ए और हमलावर के नए डबल-स्पेंड फोर्क बी को कॉल करें। डिफ़ॉल्ट रूप से, हर कोई उम्मीद करता है कि ए जीत जाएगा। हालांकि, हमलावर विश्वसनीय रूप से उन सभी को 25.01 बीटीसी का भुगतान करने के लिए प्रतिबद्ध है जो बी पर खनन करते हैं यदि बी हार जाता है। इसलिए, अदायगी मैट्रिक्स बन जाता है:

	आप ए पर मेरा	आप बी पर माइन करते हैं
अन्य मेरा ए पर	25	25.01
अन्य मेरा बी पर	0	25

इस प्रकार, बी पर खनन एक प्रमुख रणनीति है, भले ही किसी की महामारी संबंधी मान्यताएं हों, और इसलिए हर कोई बी पर खनन करता है, और इसलिए हमलावर जीत जाता है और कुछ भी भुगतान नहीं करता है। विशेष रूप से, ध्यान दें कि काम के सबूत में हमारे पास कोई जमा राशि नहीं है, इसलिए आवश्यक रिश्वत का स्तर केवल खनन इनाम के लिए कांटे की लंबाई से गुणा किया जाता है, न कि सभी खनन उपकरणों की 51% की पूंजीगत लागत। इसलिए, एक क्रिप्टो आर्थिक सुरक्षा के दृष्टिकोण से, कोई एक अर्थ में कह सकता है कि काम के प्रमाण में वास्तव में कोई क्रिप्टो आर्थिक सुरक्षा मार्जिन नहीं है (यदि आप दांव के सबूत के विरोधियों से थक गए हैं जो आपको इंगित करते हैं एंड्रयू पॉल्स्ट्रा का यह लेख, प्रतिक्रिया में उन्हें यहां लिंक करने के लिए स्वतंत्र महसूस करें)। यदि कोई वास्तव में इससे असहज है कमजोर व्यक्तिपरकता हिस्सेदारी के शुद्ध प्रमाण की स्थिति, तो यह इस प्रकार है कि सही समाधान शायद खनन के लिए सुरक्षा जमा और डबल-वोटिंग-दंड जोड़कर हिस्सेदारी के हाइब्रिड प्रमाण के साथ काम के प्रमाण को बढ़ाना हो सकता है।

बेशक, व्यवहार में, इस दोष के बावजूद कार्य का प्रमाण बच गया है, और वास्तव में यह अभी भी लंबे समय तक जीवित रह सकता है; यह केवल मामला हो सकता है कि परोपकारिता की पर्याप्त उच्च डिग्री है कि हमलावर वास्तव में 100% आश्वस्त नहीं हैं कि वे सफल होंगे – लेकिन फिर, अगर हमें परोपकारिता पर भरोसा करने की अनुमति है, तो हिस्सेदारी का भोली सबूत भी ठीक काम करता है। इसलिए, स्केलिंग योजनाएँ भी व्यवहार में आसानी से काम कर सकती हैं, भले ही वे सिद्धांत रूप में पूरी तरह से सही न हों।

इस पोस्ट का अगला भाग “व्यक्तिपरक” तंत्र की अवधारणा पर अधिक विस्तार से चर्चा करेगा, और सैद्धांतिक रूप से इनमें से कुछ समस्याओं को हल करने के लिए उनका उपयोग कैसे किया जा सकता है।