A LayerZero Labs apresentou o Aerie, um sistema de pesquisa que, segundo seus desenvolvedores, pode agregar 32.768 assinaturas Falcon resistentes a quantum em 0,65 segundos em um laptop Apple sem aceleração de GPU.
Resumo
- 32.768 assinaturas Falcon-512 foram agregadas em 0,65 segundos usando 16 threads de trabalho.
- O agregado padrão do Aerie inclui dados de assinatura retidos, com uma versão menor de salt compartilhado exigindo condições extras.
- Os pesquisadores relatam geração de prova mais rápida que o leanVM, enquanto as provas do leanVM foram verificadas mais rapidamente.
- O NIST lista o Falcon como em processo de padronização, separadamente de seu padrão de assinatura ML-DSA finalizado.
O anúncio da LayerZero de 16 de outubro identifica pesquisadores de sua própria equipe, da pesquisa em criptografia da a16z, da Universidade Carnegie Mellon e do Imperial College London como contribuidores do projeto, que se baseia no sistema de prova criptográfica Akita.
O artigo que o acompanha apresenta uma maneira de combinar milhares de assinaturas digitais em uma única prova de sua validade. Seus autores enquadram o trabalho em torno de um problema enfrentado por blockchains de proof-of-stake, nas quais os validadores assinam mensagens confirmando o estado da rede e outros participantes precisam verificar essas assinaturas.
De acordo com o artigo, o Ethereum atualmente usa assinaturas BLS para combinar aproximadamente 32.000 votos de validadores em uma pequena assinatura. O BLS não resiste a ataques quânticos, enquanto as alternativas pós-quânticas selecionadas pelos responsáveis pelos padrões dos EUA carecem da mesma capacidade de agregação integrada.
Aerie reduz a geração de prova para menos de um segundo
Nos benchmarks do Apple M4 Max da equipe, o Aerie processou o lote Falcon-512 usando 16 threads de trabalho e atingiu uso máximo de memória de 2,1 GiB. Uma segunda carga de trabalho, composta por 16.384 assinaturas Falcon-1024, levou 0,63 segundos com requisitos de memória semelhantes.
Os pesquisadores descrevem o Falcon-1024 como a opção de segurança mais alta, com assinaturas maiores e mais computação que o Falcon-512. Seu artigo relata que produzir uma prova para qualquer uma das cargas de trabalho levou aproximadamente 4,3 segundos quando restrito a uma única thread.
Verificar o agregado Falcon-512 completo levou 54 milissegundos em um núcleo, de acordo com a tabela de benchmark, em comparação com 519 milissegundos para verificar as assinaturas individualmente. Com 16 threads, os números correspondentes foram 11,6 milissegundos e 42,9 milissegundos.
O artigo descreve a construção do lote em termos diretos.
“Uma prova cobre todo o lote, sem recursão.”
Segundo os autores, evitar a recursão elimina a necessidade de criar provas intermediárias e combiná-las por meio de rodadas sucessivas. Seu design permite que outro nó que detém as assinaturas produza uma prova substituta se o agregador original falhar.
Provas menores ainda carregam dados de assinatura
O Aerie retém um valor aleatório curto, conhecido como salt, de cada assinatura para que o verificador possa calcular os hashes associados diretamente, explicam os pesquisadores. A prova lida com as verificações matemáticas restantes, usando o Akita para dar suporte à construção.
Para a carga de trabalho Falcon-512 de 32.768 assinaturas, o artigo relata um agregado de 1.346 KiB, incluindo salts e cabeçalhos. Seu componente de prova representa aproximadamente 66 KiB, enquanto os salts retidos compõem a maior parte dos dados restantes.
Os autores colocam o agregado padrão em 42,1 bytes por assinatura, aproximadamente 16 vezes menor que as assinaturas Falcon preenchidas que ele substitui. Suas medições de tamanho excluem chaves públicas e mensagens fornecidas separadamente ao verificador.
Um salt compartilhado poderia reduzir o agregado completo para aproximadamente 66 KiB, de acordo com o artigo, mas essa estimativa depende de uma política de assinatura separada e de suposições de segurança. Os pesquisadores afirmam explicitamente que a estimativa de tamanho não estabelece conformidade com essa política.
Em comparação com o Orthus, um sistema anterior de agregação Falcon, a equipe relata geração de prova 1,5 vez mais rápida, verificação 38 vezes mais rápida e provas 1,7 vez menores no mesmo servidor. O artigo qualifica essa comparação explicando que a carga de trabalho do Orthus omite verificações de formato de assinatura que o Aerie realiza.
Comparação com Ethereum envolve diferentes designs de assinatura
O artigo compara o Aerie com o leanVM, parte do trabalho de agregação baseada em hash do Ethereum. Como o crypto.news relatou anteriormente, pesquisadores do Ethereum vêm desenvolvendo infraestrutura de provas para comprimir grandes assinaturas pós-quânticas para uso na rede.
Na Seção 6.3, os autores do Aerie relatam ter executado o leanVM no mesmo M4 Max e agregado 900 assinaturas XMSS em 0,51 segundos usando todos os núcleos. Sua comparação coloca a taxa de transferência de prova do Falcon-512 do Aerie em 29 vezes a taxa de transferência XMSS do leanVM sob essas condições.
Os pesquisadores relatam um trade-off na verificação. As provas do LeanVM foram verificadas em 5,9 a 6,5 milissegundos em uma thread nas configurações citadas, mais rápido que o resultado de thread única de 54 milissegundos do Aerie para seu lote de 32.768 assinaturas.
Trabalhos separados do Ethereum abordam como os validadores poderiam adotar novas assinaturas. Um rascunho de agosto propôs um contrato de depósito pronto para pós-quântico com dados criptográficos de comprimento variável e um mecanismo para aposentar novos depósitos BLS.
O registro no GitHub da proposta permanece como uma submissão de rascunho. Sua descrição identifica um modo de aposentadoria BLS irreversível, enquanto os registros de discussão mostram feedback técnico pendente e requisitos de revisão.
Em seu documento de prioridades de 7 de setembro, o Protocol Cluster da Ethereum Foundation estabeleceu uma meta de resistência quântica para dezembro de 2029 abrangendo execução, consenso e dados. A Fundação chamou uma ameaça quântica que chegue em 2030 de uma suposição de planejamento deliberadamente agressiva, com especialistas externos esperados para ajudar a reavaliar o progresso a partir de janeiro de 2027.
Padrões dos EUA distinguem Falcon de alternativas finalizadas
O National Institute of Standards and Technology lista ML-DSA e SLH-DSA entre os padrões de assinatura digital finalizados em agosto de 2024. Sua visão geral atual do programa identifica o Falcon como selecionado para padronização em andamento, um status separado desses padrões concluídos.
O NIST recomenda que as organizações comecem a migrar sistemas vulneráveis e identifica 2035 como o ponto final para remover algoritmos vulneráveis a quantum de seus padrões, com sistemas de alto risco fazendo a transição mais cedo.
A LayerZero afirma que a agregação ML-DSA está funcionando dentro do Aerie, mas números exatos de desempenho e detalhes de implementação permanecem pendentes em seu anúncio.
