7.3: 14.12. - Institut für Verteilte Systeme - Universität Ulm

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Vertiefung zu probabilistischen Algorithmen
■ Ben Or 1
● Crash-stop, siehe Vorlesung
■ Ben Or 2
● Byzantinische Fehler
■ ABBA (Asynchronous Binary Byzantine Agreement)
● Byzantinische Fehler
● mit Hilfe von Kryptographie
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 1
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Algorithmus Ben-Or 1 (gutmütige Ausfälle)
N Knoten; max. M Ausfälle, N > 2M; Runde r, Wert x p bei P p
Schritt 0: r := 1
Schritt 1: Sende (pre-vote, r, x p ) an alle Knoten
Schritt 2: Warte auf N - M Nachrichten (pre-vote, r, x);
Anzahl Nachrichten mit gleichem Wert x=v:
Mehr als N/2: sende (vote, r, v) an alle
ansonsten: sende (vote, r, ?) an alle
Schritt 3: Warte auf N - M Nachrichten (vote, r, v)
(a) Falls eine Nachricht mit v ≠ ?: x p := v
(b) Falls mehr als M solche Nachrichten: fertig
(c) sonst: x p := zufällig gewählt aus {0, 1}
Schritt 4: r := r + 1; weiter mit Schritt 1
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 3
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Ben-Or: Rahmenbedingungen
■ Asynchrones Systemmodell
■ Randomisierte Lösung des Einigungsproblem
● Partielle Korrektheit: Wenn der Algorithmus terminiert, ist das
Ergebnis korrekt
(alle Knoten einigen sich auf den selben Wert)
● Terminierung: Keine deterministische Aussage möglich!
Aber:
Die Wahrscheinlichkeit, dass der Algorithmus in endlicher
Zeit terminiert, konvergiert gegen 1
■ BO1: Gutmütige Ausfälle
■ BO2: Byzantinische Fehler
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 2
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Algorithmus Ben-Or 2 (byzantinische Fehler)
N Knoten; max. M fehlerhaft, N>5M; Runden r, P p hat Wert x p
Schritt 0: r := 1
Schritt 1: Sende (pre-vote, r, x P ) an alle Knoten
Schritt 2: Warte auf N - M Nachrichten (pre-vote, r, x);
Anzahl Nachrichten mit gleichem Wert x=v:
Mehr als (N+M)/2: sende (vote, r, v) an alle
ansonsten: sende (vote, r, ?) an alle
Schritt 3: Warte auf N - M Nachrichten (vote, r, v)
(a) Falls > M Nachrichten mit v ≠ ?: x P := v
(b) Falls > (N+M)/2 solche Nachrichten: fertig
(c) sonst: x P := zufällig gewählt aus {0, 1}
Schritt 4: r := r + 1; weiter mit Schritt 1
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 4
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Überlegungen zur Korrektheit BO-2
Ähnlich zu BO-1, nur
● statt „Mehrheit der Knoten“:
Mehrheit der korrekten Knoten, d.h. mehr als (N+M)/2 Knoten
● statt „mindestens 1 Knoten“:
„mindestens 1 korrekter Knoten“, d.h. mindestens M+1
Knoten
● Schritt 3 b:
(N+M)/2 vote-Nachrichten für v ⇒
mindestens (N+M)/2 - M korrekte Knoten dabei ⇒
jeder Knoten erhält mindestens ((N+M)/2 - M) - M solche
vote-Nachrichten
((N+t)/2 - M) - M > M ⇔ N > 5 M
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 5
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Kryptographische Grundlagen
■ Klassische kryptographische Verfahren
● Kryptographische Hash-Funktionen
● Public-Key-Signaturen
■ Verteilte Mechanismen
● Schwellwert-Signaturen
● Verteilt generierte Zufallszahlen
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 7
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Überlegungen zur Korrektheit BO-2 (2)
■ D.h. falls N > 5 M gilt, folgt folgendes:
Ein Knoten entscheided sich endgültig in Schritt 3a
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 6
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
⇓
Alle anderen (noch nicht entschiedenen) Knoten verwenden in
Schritt 3a den gleichen Wert
⇓
Alle anderen (noch nicht entschiedenen) entscheiden sich
endgültig in der nächsten Runde
Klassische Hash-Funktionen
■ Reproduzierbare Abbildung von Nachrichten beliebiger
Länge auf ein Wort fester Länge
● Nachricht m beliebig
● Hash-Wert h = H(m) daraus berechenbar, z.B. 128 bit
■ Kryptographisch „sichere“ Hashfunktionen
■ Beispiele
● Es ist mit vertretbaren Aufwand nicht möglich, zwei
Nachrichten m 1 , m 2 zu finden mit H(m 1 )=H(m 2 )
● MD5
● SHA-1
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 8
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Klassische Hash-Funktionen
■ Anwendung: Digitale Signaturen
● Anstelle eine digitale Signatur über eine komplette Nachricht:
Signatur nur über den Hash-Wert
● Sicheren Hash-Funktionen:
Angreifer kann mit vertretbaren Aufwand keine zweite
Nachricht konstruieren, die den selben Hashwert hat
(und damit die gleiche gültige Signatur besitzen würde)
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 9
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Klassische Public-Key-Verfahren
■ Beispiel RSA: Schlüsselerzeugung
● Wähle zwei geeignete Primzahlen p, q
● n = p * q; φ(n) = (p-1)(q-1)
● Wähle e mit 1 < e < φ(n) und ggT(e, φ(n)) = 1
● Berechne d = e -1 mod φ(n) ( => e d = 1 mod φ(n) )
● Öffentlicher Schlüssel: (e, n); Privater Schlüssel (d, n)
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 11
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Klassische Public-Key-Verfahren
s
Begriffe
PK: öffentlicher Schlüssel (Public Key), zur Verifikation
SK: geheimer Schlüssel (Private Key/Secret Key), zur Signierung
σ: Signatur
Operationen
Schlüsselerzeugung:
Signierung:
Verifikation:
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 10
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Parameter -> (PK, SK)
Nachricht, SK -> σ
Nachricht, σ, PK -> {true, false}
Klassische Public-Key-Verfahren
■ RSA: Signatur-Erzeugung (für Nachricht m)
● H(m) ist kryptographische Hash-Funktion über Nachricht m
● s = H(m) e mod n
■ Signatur-Überprüfung
● h = s d mod n
● Teste ob h == H(m) ist
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 12
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Klassische Public-Key-Verfahren
■ RSA: Begründung der Korrektheit
● Zu zeigen ist, dass (x e ) d = x (mod n)
Voraussetzung: n=pq; ggT(e,φ(n))=1; ed = 1 mod φ(n)
● ggT(e,φ(n))=1 => es gibt ein u mit e d - u φ(n) = 1
(Erweiterter Euklidischer Algorithmus)
● (x e ) d = x u φ(n) + 1 = x u φ(n) x = x (mod n)
- Für ggT(x,n)=1: Folge aus Satz von Euler (1760)
- Ansonsten: p | x oder q | x;
Betrachtung der Kongruenz mod p und mod q, dann CRT
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 13
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Verteilte Schwellwert-Signaturen
Kombinationsalgorithmus
gültige Signatur s
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 15
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
K Teilsignaturen
N Knoten
(max. M fehlerhaft)
Randbedingung
N-M ≥ K > M
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Verteilte Kryptographie
■ Klassische kryptographische Verfahren
● Kryptographische Hash-Funktionen
● Public-Key-Signaturen
■ Verteilte Mechanismen
● Schwellwert-Signaturen
● Verteilt generierte Zufallszahlen
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 14
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Verteilte Schwellwert-Signaturen
■ Sicherheitsanforderungen
● Ein Angreifer kann nicht erreichen, dass K gültige
Teilsignaturen erzeugt werden, aus denen durch den
Kombinationsalgorithmus keine gültige Signatur entsteht
● Ein Angreifer kann keine gültige Signatur erzeugen, falls
weniger als K-M ehrliche Knoten eine Teilsignatur erzeugt
haben
■ Anforderung an den Kombinationsalgorithmus
● Ergebnis ist eine einfach zu überprüfende Gesamtsignatur
● Hier betrachtetes Verfahren: gewöhnliche RSA-Signatur
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 16
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Verteilte Schwellwert-Signaturen
■ Grundlage: Polynom-Interpolation
● Ein Polynom f von Grad K- 1 ist durch K Stützstellen eindeutig
definiert
● Interpolationsformel (Lagrange)
fx ( ) = fs ( ) ⋅ λ
s
( x)
s∈S Algorithmen für Verteilte Systeme (AVS), WS 2005/06 17
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Verteilte Schwellwert-Signaturen
■ Polynom-Interpolation: Anwendung auf RSA (2)
∑
● Gesamtsignatur ist aus den Signatur-Shares berechenbar,
die Schlüssel-Shares können geheim bleiben
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 19
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
∑
m d
m f0 ( )
fs ( ) ⋅
s ∈ S
m
λ
s
( 0)
m fs
= = =
λ
( ) s
( 0)
λ
s
( 0)
∏ ( ) = ∏m
i
s∈S i
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Verteilte Schwellwert-Signaturen
■ Polynom-Interpolation: Anwendung auf RSA
● Verteilung des Sekret Key auf die N Teilnehmer in Form von
Stützstellen eines Polynoms von Grad K
– d = f(0) RSA-Secret-Key
– si := f(i) Schlüssel-Share für Teilnehmer i
– m i := m si Signatur-Share des Teilnehmers i
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 18
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Verteilte Schwellwert-Signaturen
■ Zusätzliche Randbedingungen
● Signatur-Shares müssen sich auf Gültigkeit überprüfen
lassen
– Angreifer darf nicht in der Lage sein, durch Erzeugung eines
ungültigen Shares die Erzeugung einer gültigen digitalen
Signatur zu behindern
● Verteilung des Schlüssels muss gelöst werden
– Initiale Erzeugung des geheimen Schlüssel und der Key-Shares
erfordert im beschriebenen Verfahren einen Knoten, der in
jedem Fall vertrauenswürdig sein muss
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 20
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Verteilte Erzeugung von Zufallszahlen
■ Basierend auf (N,K,M)-Schwellwert-Signatur
K „Shares“
Kombinationsalgorithmus
Wert F(x) aus {0, 1}
● F(x) sei eine nicht vorhersehbare Funktion, die einen
beliebigen Eingabewert auf {0, 1} abbildet:
– Jeder Knoten kann einen „Share“ von F(x) erzeugen
– K Shares sind notwendig und hinreichend, um den Wert von F(x)
zu ermitteln
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 21
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
ABBA: Systemmodell
N Knoten
(max. M fehlerhaft)
Randbedingung
N-M ≥ K > M
■ N Knoten (max. M fehlerhaft) mit berechenbarem Verhalten
durch probabilistisch polynomiale Berechnungen beschreibbar
■ Verwendung von:
● (N, M+1, M) bzw (N, N-M, M) Schwellwert-Signatur S 0 / S
● (N, N-M, M) Schema für verteilte Zufallszahlen
● Initialisierung erfordert „Trusted Dealer“
■ Jede Entscheidung hat eindeutige Folgenummer (TID)
Jeder Knoten P i hat für eine TID einen Initialwert V i aus {0,1}
■ Alle Nachrichten sind signiert und „begründet“
Einschränkung der Möglichkeiten eines Angreifers
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 23
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
ABBA
■ Forschungsarbeit bei IBM Research in Zürich
– ABBA: Asynchronous Binary Byzantine Agreement
– Sintra: Secure INtrusion Tolerant Replication Architecture
■ Literatur
– C. Cachin, K. Kursawe, V. Shoup: Random Oracles in
Constantinople: Practical Asynchronous Byzantine Agreement
using Cryptography. ACM Symposium on Principles of Distributed
Computing, July 2000
– C. Cachin, K. Kursawe, F. Petzold, V. Shoup: Secure and Efficient
Asynchronous Broadcast Protocols. Proc. Crypto 2001
– C. Cachin, J. Poritz: Secure Intrusion-tolerant Replication on the
Internet. Proc. Intl. Conference on Dependable Systems and
Networks, 2002
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 22
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
ABBA: Begriffsdefinitionen
■ (N, K, M)-Schwellwert-Signatur:
● Verfahren für N Teilnehmer
● Jeweils K Teilnehmer können gemeinsam Signatur erzeugen
● Bis zu M Teilnehmer dürfen sich dabei fehlerhaft verhalten
Randbedingungen:
– K > M (fehlerfreie Knoten müssen beteiligt sein)
– K

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
ABBA: Begriffsdefinitionen
■ (N, K, M)-Schema für verteilte Zufallszahlen
● Verfahren für N Teilnehmer
● Je K Teilnehmer können gemeinsam Zufallszahl erzeugen
● Bis zu M Teilnehmer dürfen sich dabei fehlerhaft verhalten
Anwendung bei ABBA:
(N, N-M, M)-Schema (Zufallszahl kann nur dann ermittelt
werden, wenn die Mehrheit der korrekten Knoten „mithilft“)
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 25
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
ABBA: Überblick über den Algorithmus
Schritt 0: r := 1; Jeder sendet PreProcess an alle und
aus Antworten einen signierten Anfangswert
Schritt 1: Sende (PreVote, r, xP , just) an alle Knoten
Schritt 2: Warte auf N-M PreVote-Nachrichten für Runde r
Anzahl Nachrichten mit gleichem Wert x=v:
alle gleich: sende (Vote, r, v, just.) an alle
ansonsten: sende (Vote, r, ?, just.) an alle
Schritt 3: Warte auf N - M Nachrichten (Vote, r, v, just.)
(a) Falls >=eine Nachricht mit v ≠ ?: x P = v
(b) Falls alle für v: solche Nachrichten: fertig
(c) sonst: x P über CoinShare gewählt aus {0, 1}
Schritt 4: r := r + 1; weiter mit Schritt 1
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 27
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
ABBA: Garantierte Eigenschaften
■ Übereinstimmung und Gültigkeit
■ Deadlock-Freiheit: Es wird kein Zustand erreicht, bei dem
– der Algorithmus in allen korrekten Knoten aktiviert wurde
– der Algorithmus noch nicht terminiert ist
– alle Nachrichten, die von aktivierten korrekten Knoten ausgesendet
wurden, zugestellt und verarbeitet worden sind
(Sonst würde das System auf den Empfang von Nachrichten warten,
aber kein korrekten Knoten würde Nachrichten aussenden)
■ Schnelle Konvergenz:
– Die Anzahl x der Nachrichten bis zur Einigung ist beschränkt durch
die Wahrscheinlichkeitsaussage P( x > 2 r + 1 ) < 2 -r + ε mit ε
vernachlässigbar klein und r=Anzahl der asynchronen „Runden“
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 26
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
ABBA: Der Algorithmus im Detail (1)
■ Nur vor erster Runde: Vorverarbeitungs-Schritt:
– Jeder sendet Initialwert als (PreProcess, b) mit S0 teilsigniert an alle
– Sobald 2 M + 1 Nachrichten eingetroffen sind, wird S0-Signatur für
Mehrheitswert (M +1 gleiche Nachrichten) erzeugt und als
Initialwert b für die folgenden Schritte verwendet
(alle korrekten Knoten mit gleichem Initialwert: Nur dieser Wert S0-signiert!) ■ Alle Runden r
– Jeder sendet (PreVote, r, b, justification) an alle mit gültiger
S-Teilsignatur;
justification: Begründung für die Gültigkeit des Werts b:
Runde r=1: (PreProcess, b) mit S0-Signatur Runde r>1: (PreVote, r-1, b) mit S-Signatur
oder (Vote, r-1, abstain) mit S-Signatur, und
Wert b ermittelt durch b := coin(TID, r-1)
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 28
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
ABBA: Der Algorithmus im Detail (2)
■ Nach Empfang von N-M gültigen PreVote-Nachrichten:
– jeder Knoten erzeugt (Vote, r, b, justification) mit b
aus {0, 1, abstain} und justification als Begründung dafür
– PreVote sowohl für b=0 als auch b=1: b := abstain;
justification: je ein PreVote mit b=0,1
– Ansonsten: N-M PreVote für einen Wert b;
justification: daraus gewonnene gültige S-Signatur
■ Nach Empfang von N-M gültigen Vote-Nachrichten:
– Falls alle Werte gleich: Entscheidung für diesen Wert
– Ansonsten: weiter mit nächster Runde;
– Aufdeckung von Coin(TID,r) (coin-share an alle senden)
– Falls alle N-M „abstain“-Werte: gültige S-Signatur für abstain
– Ansonsten: mind. ein Wert, als justification: PreVote mit S-Sig.
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 29
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
ABBA: Korrektheitsüberlegungen
■ Deadlock-Freiheit und schnelle Konvergenz
● Deadlock-Freiheit:
– Es wird vorausgesetzt, dass maximal M Knoten sich fehlerhaft
verhalten dürfen, und die Kommunikation zwischen fehlerfreien
Knoten zuverlässig ist
– Bei jeder Warteoperation wird auf N-M Nachrichten gewartet.
Diese kommen sicher immer an, weil es in jeden Fall so viele
korrekte Knoten gibt, und jeder korrekte Knoten die erwartete
Nachricht aussendet
● Schnelle Konvergenz:
– Es lässt sich zeigen, dass die Wahrscheinlichkeit, dass sich ein
korrekter Knoten nicht innerhalb 2 r + 1 Runden entscheidet,
nach oben durch 2 -r + ε beschränkt ist, mit ε vernachlässigbar
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 31
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
ABBA: Korrektheitsüberlegungen
■ Möglichkeiten des Angreifers
– Nachweis der Korrektheit aller Schritte durch Signaturen
– Dadurch Möglichkeiten eines Angreifers stark eingeschränkt
■ Entscheidungsfindung
– Nur für einen Wert b aus {0,1} kann es eine erfolgreich S-signierte
pre-vote-Nachricht geben
– Wenn sich der erste ehrliche Knoten in Runde r entscheidet, dann
entscheiden sich alle ehrlichen Knoten in Runde r oder r+1
N-M main-vote für einen Wert b in Runde r
⇒ mindestens N-2M main-vote für b von ehrlichen Knoten in
Runde r
⇒ maximal N - (N-2M) = 2M main-vote für abstain, 2M < N-M
⇒ kein soft pre-vote in nächster Runde möglich
⇒ alle pre-vote in Runde r für den selben Wert b
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 30
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
ABBA: Einbettung in Gesamtarchitektur
■ SINTRA: Secure Intrusion Tolerant Replication Architecture
Sicherer kausaler atomarer Broadcast
Broadcast-Primitive
Atomarer Broadcast
Mehrwertige Einigung
Threshold-Kryptographie
Zuverlässige Punkt-zu-Punkt-Verbindungen
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 32
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
ABBA

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
SINTRA: Broadcast-Primitive
■ Zuverlässiger Broadcast: Alle ehrliche Knoten erhalten die
selbe Nachricht, oder gar nichts
● Der Sender sendet die Nachricht an alle
● Jeder Knoten sendet ein „Echo“ der Nachricht an alle
● Sobald N + M + 1
------------------------ „Echo“-Nachrichten oder M + 1 „Fertig“-
2
Nachrichten empfangen wurden, sendet ein Knoten „Fertig“-
Nachrichten an alle
● Sobald 2 M + 1 „Fertig“-Nachrichten empfangen wurden,
akzeptiert ein Knoten die Nachricht und liefert diese an die
nächste Schicht aus
Falls der Sender nicht ehrlich ist, terminiert dieser Algorithmus u.U.
nicht!
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 33
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
ABBA
■ Atomarer Broadcast
● Garantie einer totalen Ordnung auf einer Folge von
Nachrichten
● Umsetzung mit Hilfe der mehrwertigen Einigung
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 35
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
Uebung-BenOr-ABBA.fm: 13.12.05 13:39
ABBA
■ Mehrwertige Einigung: Einigung soll nur auf Werte erfolgen,
die tatsächlich von mindestens einem Knoten vorgeschlagen
wurden
● Jeder Knoten sendet seinen Initialwert als Vorschlag an alle
über den beschriebenen zuverlässigen Broadcast
● Sobald ein Knoten von N - M Knoten Initialwerte empfangen
hat, führt er folgende Schritte wiederholt aus:
– In jeder Wiederholung wird nach einem festgelegten Verfahren
ein Kandidat Pa aus der Menge aller Knoten ausgewählt
– Der Knoten startet ABBA schlägt den Wert 1 genau dann vor,
wenn von Pa ein gültiger Vorschlagswert empfangen wurde
– Falls die Einigungs auf 0 lautet, erfolgt der nächste
Schleifendurchlauf, ansonsten ist Pa der Einigungswert
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 34
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm
ABBA
■ Sicherer kausaler atomarer Broadcast
● Kausalität erfordert, dass ein Knoten den Inhalt einer
Nachricht erst dann erfährt, wenn feststeht, wann diese
Nachricht an die Empfänger ausgeliefert wird
– Ein bösartiger Knoten soll also nicht in der Lage sein, abhängig
von einer noch nicht ausgelieferten Nachricht eine andere
Nachricht zu erzeugen, die vorher ausgeliefert wird
● Umsetzung mit Hilfe von Schwellwert-Kryptographie
– Sender verschlüsselt die Nachricht mit Hilfe eines globalen
öffentlichen Schlüssels
– Sobald die Nachricht ausgeliefert werden soll, kann sie von N-M
Knoten gemeinsam entschlüsselt werden
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 36
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm

Uebung-BenOr-ABBA.fm: 13.12.05 13:39
ABBA
■ Zusammenfassung
● Praktikable Lösung des Einigungsproblem in einem
asynchronen, probabilistischen Modell
● Tolerierung von bis zu M Fehlern bei insgesamt N > 3 M
Knoten
● Schnelle Konvergenz auf den Einigungswert
● Hierarchische Struktur aus einzelnen modularen Blöcken
– von einfacher, binärer Einigung
– über atomaren Broadcast
– bis hin zu sicheren kausalen atomaren Broadcast
Algorithmen für Verteilte Systeme (AVS), WS 2005/06 37
(C) 2005 Hans P. Reiser, Franz J. Hauck, Abteilung Verteilte Systeme, Universität Ulm