本文へ移動
Financial Context Wiki

PoSロングレンジ攻撃：過去の鍵、ブートストラップのリスク、チェックポイント

PoSロングレンジ攻撃は、過去のバリデータ権限で署名された代替履歴を提示します。どのノードが影響を受けるのか、攻撃者は何を再現する必要があるのか、弱い主観性チェックポイントとプロトコル固有の同期規則がリスクをどう抑えるのかを解説します。

更新日

プロトコルセキュリティに関する教育目的の分析に限ります。ロングレンジ攻撃への耐性はプロトコルとバージョンによって異なります。新たに同期したノードや長期間オフラインだったノードを信頼する前に、認証され、独立に照合された情報源からブートストラップデータを取得してください。

要点

プルーフ・オブ・ステークのロングレンジ攻撃とは、遠い過去に有効だったバリデータ権限を使い、競合する履歴を信頼できるものに見せかける試みです。事後的な腐敗と呼ばれる一般的な形態では、バリデータが退出し、その担保がスラッシングの対象でなくなった後に、攻撃者がその鍵を入手または侵害します。過去の署名を生成するためにプルーフ・オブ・ワークのエネルギー消費を再現する必要はないため、攻撃者は正直なチェーンが歴史的に負担したコストと比べて安価に、内部的に一貫したフォークを構築できる場合があります。

標的となるのは通常、認証された最近のビューを持たないノードです。たとえば初めて起動するノード、古いバックアップから復元したノード、プロトコルが定める安全な同期期間を超えてオフラインだったノードが該当します。継続的にネットワークを観測しているノードは、すでにファイナライズ済みまたは別の方法で保護された祖先を知っているため、それと競合するフォークを拒否するはずです。そのため、エクリプス攻撃や侵害されたデータソースが正直なビューを同期中のノードから隠すと、攻撃の効果が増幅されます。

過去の鍵だけで、あらゆるものを偽造できるわけではありません。代替履歴は、対象プロトコルの署名ドメイン、状態遷移、バリデータ集合の変遷、時刻規則、ファイナリティまたはチェーン選択の証拠、および鍵更新やチェックポイントに関する制約を満たす必要があります。最近の弱い主観性チェックポイントを要求するPoSプロトコルもあれば、ジェネシスを起点とするブートストラップや、異なる信頼・可用性の仮定を定義するプロトコルもあります。「PoS」を一つの仕組みとして扱うのではなく、正確なチェーン、ネットワーク、フォークバージョン、クライアント、同期モードを分析してください。

チェックポイントは単に便利なブロック番号ではありません。特定のネットワークとコンセンサス状態を、あるepoch、slot、または高さのrootやハッシュに結び付けるものです。認証されると、ノードが検討する履歴の範囲を制限します。その後は、そのアンカーからプロトコル規則に従って残りのチェーンを検証できます。これが弱い主観性です。ピアの最新ヘッドを恒久的に信頼するのではなく、ブートストラップ時に限定的な外部入力を受け取り、想定期間内では客観的な検証を行います。

攻撃と検証の経路

  1. 古いフォーク地点を選ぶ。 攻撃者は、その後バリデータ権限が入れ替わった、または新しいノードが独力で認証しにくい過去の状態を特定します。
  2. 十分な過去の署名権限を得る。 バリデータの退出後、鍵は購入、窃取、保持、バックアップからの復元、または侵害された署名システムからの漏えいによって入手される可能性があります。必要な重みとメッセージ種別はプロトコル固有であり、古い提案者鍵を一つ持つだけで十分とは限りません。
  3. プロトコル上有効な代替履歴を構築する。 攻撃者は、被害ノードのクライアントによる過去の検査を通過するブロック、投票、証明書、バリデータ集合の変更を生成します。無効な状態遷移、誤ったドメイン、あり得ないタイミング、欠けた証明があれば、フォークは依然として無効になり得ます。
  4. フォークを延長して提示する。 署名を安価に生成できれば長い履歴を埋められる可能性がありますが、単純なブロック数で結果は決まりません。そのブランチは、該当する同期モードが使用する正確な選択手続きを勝ち抜くか、迂回しなければなりません。
  5. ブートストラップ時のビューを支配する。 被害ノードを、認証された最近のチェックポイントや正直なピアの証拠から隔離し、代替履歴を唯一または優先される候補として提示します。
  6. 下流システムに依存させる。 ノードが誤った状態を受け入れると、RPC、ウォレット、インデクサー、ブリッジ監視システム、またはアプリケーションは、実際のネットワークが別のチェーンに従っていても、攻撃者のフォーク上ではプロトコル上有効な残高、イベント、バリデータ構成を報告する可能性があります。

防御側はこの経路を逆向きに再現する必要があります。アンカーを認証し、そのチェーンとネットワーク識別情報を確認し、候補チェーンがその子孫であることを検証し、すべてのコンセンサス検査と状態遷移検査を実行し、独立したインフラ間でファイナライズ済みまたは選択済みの状態を比較します。ダウンロードに成功しただけでは、選択した履歴が正規である証拠にはなりません。

具体例

バリデータ集合 V_old が、epoch 120,000 の時点で仮想的なPoSチェーンを支配していたとします。数年後、その過去の重みのうち 2/3 を超えるバリデータが退出し、プロトコル上の罰則を受けなくなりました。攻撃者はそれらの古い鍵を入手し、チェックポイント C_old の直後から競合する履歴を作り始めます。

捏造したブランチ上で、攻撃者はこの仮想プロトコルに必要な投票へ署名し、その後のバリデータ構成を変更し、epoch 420,000 まで進めます。正直なネットワークもepoch 420,000 に到達しているため、epoch番号が同じ、またはファイルが長いというだけでは、ブートストラップ中のノードは、どちらのブランチが社会的・運用上の正規チェーンであるか判断できません。捏造ブランチがそもそも受理可能かどうかは、プロトコルの過去の規則をすべて満たすかにかかっています。

ノード N_live は、正規のファイナライズ済みチェックポイント C_recent をepoch 419,936 で観測していました。攻撃フォークは C_recent の子孫ではないため、N_live はこれを拒否します。一方、ノード N_new はジェネシスから開始し、敵対的なピアにしか接続せず、認証された最近のアンカーを持ちません。そのプロトコルと同期モードが履歴内の証拠だけで二つの履歴を区別できなければ、攻撃ブランチを受け入れる可能性があります。

N_new に認証された組 C_recent = (root, 419,936) を渡すと、判断の境界が変わります。クライアントは同期経路にその正確なチェックポイントが含まれることを必須とし、含められない場合はフェイルクローズしなければなりません。この例のepochと 2/3 というしきい値は、あるファイナリティ型設計を説明するためのものであり、PoS共通のパラメータでも、特定ネットワークの現在の設定でもありません。

対策とレビュー用チェックリスト

プロトコル設計

  • 事後的な腐敗、バリデータの入れ替わり、適応的な鍵侵害、ネットワーク隔離、データ可用性を含む、正確なロングレンジセキュリティモデルを文書化します。
  • どのファイナライズ済み状態を決して巻き戻してはならないか、またフォーク選択がローカルで信頼されたアンカーとの競合をどう扱うかを定義します。
  • 矛盾する署名を検出して処罰できる間に安全性の仮定が有効であり続けるよう、バリデータの退出、引き出し、集合の入れ替わりを制限します。
  • 弱い主観性期間または別の同期安全性の仮定を、恒久的な日数ではなく、現在の状態とプロトコル定数から導出される値として指定します。
  • プロトコル設計が対応する場合は、鍵更新署名や前方秘匿署名を検討します。通常の鍵削除は有用な運用上の衛生策ですが、完全なコンセンサス防御ではありません。
  • 初回同期、チェックポイント同期、スナップショット復元、長期オフラインからの復旧を個別にテストします。稼働中に安全なフォーク選択規則であっても、ブートストラップが自動的に安全になるわけではありません。

ノードのブートストラップと運用

  • 同期前に、チェックポイントのrootまたはブロックハッシュ、epochまたは高さ、chain ID、ネットワーク、フォークバージョン、取得時刻、提供者を記録します。
  • 認証された経路でアンカーを取得し、真に独立した複数の情報源を照合します。一つのノードや運営者を利用する複数のウェブサイトは独立していません。
  • 古い、形式不正、別ネットワーク、または競合するチェックポイントを拒否します。検証失敗後に、アンカーなしの同期へ暗黙にフォールバックしてはいけません。
  • 同期したチェーンに正確なアンカーが含まれることを要求し、意図したコンセンサスクライアントと実行クライアントですべての子孫を検証します。
  • ピア、クライアント、運営者、RPCを多様化し、エクリプス状態、ファイナライズ済みrootの不一致、異常なロールバック、長期のファイナリティ障害を監視します。
  • 古いデータベースやバックアップから復元した後はアンカーを再確認し、プロトコルが定める安全期間内に更新します。

アプリケーションからの依存

  • 新たに同期した一つのRPCが成功を報告しただけで、預入資産、ブリッジメッセージ、または不可逆な取引を確定してはいけません。
  • 影響の大きい処理を行う前に、独立したノード間でチェーン識別情報、ファイナライズ済みチェックポイント、イベントの祖先関係を照合します。
  • コンセンサス履歴とアプリケーション上の事実を分けて考えます。正規チェーンであっても、オラクルの正しさ、コントラクトの安全性、プロトコル外のデータ可用性、カストディアンの支払能力を証明するものではありません。
  • 競合するファイナライズ済みチェックポイントや信頼されたアンカーに備えた停止方針を用意します。この状態はコンセンサス障害、破損したブートストラップデータ、または誤ったネットワークを示す可能性があり、長いブランチを自動選択して解決すべきではありません。

よくある誤解

  • すべてのPoSチェーンが同じ方法で脆弱になる。 ロングレンジ攻撃への耐性は、プロトコルのバリデータ変遷、署名、ファイナリティ、フォーク選択、チェックポイント、同期の仮定に依存します。
  • 古い鍵があれば、制約なくあらゆる取引を書き換えられる。 攻撃者は依然として被害ノードの完全な検証規則に受け入れられる履歴を生成する必要があります。過去の権限は一部の攻撃構成では必要ですが、十分とは限りません。
  • ブロック、epoch、署名が多いチェーンが本物である。 選択にはプロトコル固有の有効性、重み、証明書、アンカーが使われ、共通の長さ比較は存在しません。
  • ファイナリティだけで、ジェネシスから開始するノードが社会的な正規チェーンを特定できる。 認証された最近のビューがないノードには、内部的に有効な二つのファイナライズ済み履歴が曖昧に見える場合があります。ファイナリティが保護するのは、関連するチェックポイントをすでに知っているノードです。
  • スラッシングは常に攻撃を抑止する。 完全に退出したバリデータにはスラッシング可能な担保が残っていない場合があり、証拠は帰属可能で、罰則を適用できる間に処理されなければなりません。
  • チェックポイントは一社を永遠に信頼することを意味する。 信頼は特定の最近のアンカーに限定でき、認証された配布、独立した照合、その後のローカル検証によってさらに減らせます。
  • 退出済みの鍵を削除すればプロトコル上の問題は解決する。 安全な消去は侵害リスクを減らしますが、堅牢なコンセンサスとブートストラップ規則は、一部の過去の鍵が利用可能になる事態に耐える必要があります。

関連トピック

出典

ナビゲーション

Wiki を検索...