LayerZero apresenta o Aerie e diz agregar 32.768 assinaturas Falcon em 0,65 segundo

A LayerZero Labs apresentou o Aerie, um sistema de pesquisa que segundo os desenvolvedores agrega 32.768 assinaturas Falcon resistentes a computação quântica em 0,65 segundo em um notebook da Apple, sem aceleração de GPU. O anúncio de 16 de outubro credits pesquisadores da própria empresa, da a16z crypto research, da Universidade Carnegie Mellon e do Imperial College London. O trabalho parte do sistema de prova criptográfica Akita.

O artigo científico que acompanha o anúncio propõe combinar milhares de assinaturas digitais em uma única prova de validade. Os autores enquadram o problema nas redes proof-of-stake, em que os validadores assinam mensagens que confirmam o estado da rede e os demais participantes precisam verificar essas assinaturas. A Ethereum usa hoje assinaturas BLS para combinar cerca de 32 mil votos de validadores em uma assinatura pequena. O BLS não resiste a ataques quânticos, e as alternativas pós-quânticas escolhidas pelos padrões dos Estados Unidos não têm a mesma capacidade de agregação embutida.

Nos testes da equipe, feitos em um Mac M4 Max, o Aerie processou o lote de 32.768 assinaturas Falcon-512 usando 16 threads, com pico de memória de 2,1 GiB. Uma segunda carga, com 16.384 assinaturas Falcon-1024, levou 0,63 segundo, com exigência de memória parecida. O Falcon-1024 é apontado como a opção de maior segurança, com assinaturas maiores e mais computação que o Falcon-512. O artigo relata cerca de 4,3 segundos para produzir a prova de qualquer das duas cargas quando o processo é limitado a um thread.

Na verificação, checar o agregado Falcon-512 concluído levou 54 milissegundos em um núcleo, contra 519 milissegundos para verificar as assinaturas uma a uma. Com 16 threads, os números correspondentes foram 11,6 e 42,9 milissegundos. O tamanho do agregado para as 32.768 assinaturas é de 1.346 KiB, incluindo salts e cabeçalhos, dos quais cerca de 66 KiB são a componente de prova. Os autores colocam o agregado padrão em 42,1 bytes por assinatura, aproximadamente 16 vezes menor que as assinaturas Falcon com preenchimento que ele substitui.

A estrutura preserva um valor aleatório curto de cada assinatura, o salt, para que o verificador calcule os hashes correspondentes. Um salt compartilhado poderia reduzir o agregado completo para cerca de 66 KiB, mas essa estimativa depende de uma política de assinatura separada, e os próprios pesquisadores dizem que ela não estabelece conformidade com essa política.

Comparado ao Orthus, sistema anterior de agregação Falcon, a equipe reporta prova 1,5 vez mais rápida, verificação 38 vezes mais rápida e provas 1,7 vez menores no mesmo servidor, ressalvando que a carga do Orthus não inclui as checagens de formato de assinatura que o Aerie faz. Contra o leanVM, ligado ao trabalho de agregação por hash da Ethereum, o artigo relata 900 assinaturas XMSS agregadas em 0,51 segundo com todos os núcleos do M4 Max, o que coloca a vazão de prova do Aerie em Falcon-512 29 vezes acima nas mesmas condições. A troca fica na verificação: provas do leanVM foram checadas em 5,9 a 6,5 milissegundos em um thread, mais rápido que os 54 milissegundos do Aerie para o lote de 32.768 assinaturas.

Sobre o padrão, o NIST lista ML-DSA e SLH-DSA entre as assinaturas digitais finalizadas em agosto de 2024 e mantém o Falcon em padronização em andamento, um status distinto dos concluídos. A agência indica 2035 como horizonte para remover algoritmos vulneráveis a quânticos de seus padrões. A LayerZero afirma que a agregação de ML-DSA já funciona dentro do Aerie, mas os números de desempenho e os detalhes de implementação ainda não foram divulgados.