National audienceCet article présente Mitten, un outil pour décrire finement et jouer des scénarios sur une implémentation de Tenderbake-le prochain protocole de consensus à la pBFT de la blockchain Tezos. Mitten est paramétrable pour filtrer et examiner les messages selon des scénarios particuliers écrits dans un DSL construit sur OCaml. Grâce à Mitten, nous avons pu écrire et simuler des scénarios subtils pour reproduire des comportements difficilement atteignables en temps normal. Nous avons également pu simuler des situations permettant d'exhiber des bugs dans l'implémentation en cours et de tester des correctifs proposés

Bozman, Çagdas

Conchon, Sylvain

Iguernlala, Mohamed

Laporte, Michael

Levillain, Maxime

Mebsout, Alain

INRIA a CCSD electronic archive server

HAL Id: hal-03626847https://hal.inria.fr/hal-03626847Submitted on 31 Mar 2022HAL is a multi-disciplinary open accessarchive for the deposit and dissemination of sci-entific research documents, whether they are pub-lished or not. The documents may come fromteaching and research institutions in France orabroad, or from public or private research centers.L’archive ouverte pluridisciplinaire HAL, estdestinée au dépôt et à la diffusion de documentsscientifiques de niveau recherche, publiés ou non,émanant des établissements d’enseignement et derecherche français ou étrangers, des laboratoirespublics ou privés.Jouez à Faire Consensus Avec MITTEN (démonstration)Çagdas Bozman, Mohamed Iguernlala, Michael Laporte, Maxime Levillain,Alain Mebsout, Sylvain ConchonTo cite this version:Çagdas Bozman, Mohamed Iguernlala, Michael Laporte, Maxime Levillain, Alain Mebsout, et al..Jouez à Faire Consensus Avec MITTEN (démonstration). 33èmes Journées Francophones des LangagesApplicatifs, Jun 2022, Saint-Médard-d’Excideuil, France. pp.248-250. ￿hal-03626847￿Jouez à Faire Consensus Avec MittenÇagdas Bozman1, Mohamed Iguernlala1, Michael Laporte1, Maxime Levillain1,Alain Mebsout1, and Sylvain Conchon2Functori(1) & Nomadic Labs(2), Paris, FranceRésuméCet article présente Mitten, un outil pour décrire finement et jouer des scénarios surune implémentation de Tenderbake — le prochain protocole de consensus à la pBFT de lablockchain Tezos. Mitten est paramétrable pour filtrer et examiner les messages selon desscénarios particuliers écrits dans un DSL construit sur OCaml. Grâce à Mitten, nous avonspu écrire et simuler des scénarios subtils pour reproduire des comportements difficilementatteignables en temps normal. Nous avons également pu simuler des situations permettantd’exhiber des bugs dans l’implémentation en cours et de tester des correctifs proposés.1 IntroductionLa conception d’algorithmes de consensus est une tâche très ardue et complexe. Il convientde prendre en considération de nombreux paramètres pour en assurer la correction et la vivacité,comme le ratio d’acteurs byzantins tolérés, la désynchronisation des participants, les délais et laperte de messages sur le réseau, etc. Qu’ils permettent une finalité probabiliste ou déterministe,les algorithmes de consensus sont au cœur de la technologie des châınes de blocs (blockchains).Par exemple, les algorithmes de consensus de type pBFT, qui permettent d’avoir une finalitédéterministe et immédiate, sont au centre des blockchains basées sur le protocole Tendermint [5].Pour tester Tenderbake [1], le prochain protocole de Tezos [4], nous avons développé Mit-ten ; un outil pour décrire finement et jouer des scénarios sur une implémentation dudit pro-tocole, car recréer les conditions et les progressions qui amènent à une configuration voulue estparticulièrement difficile, ce qui rend ces protocoles de consensus ardus à tester. Mitten est àson cœur un proxy intercepteur pour un réseau pair-à-pair, qui peut être paramétré pour filtreret examiner les messages selon un scénario particulier. Les scénarios sont écrits dans un DSLconstruit sur OCaml, ce qui apporte une grande souplesse à l’outil. Grâce à Mitten, nous avonspu écrire et simuler des scénarios subtils pour reproduire des comportements difficilement attei-gnables en temps normal. Nous avons également pu simuler des situations permettant d’exhiberdes bugs dans l’implémentation en cours et de tester des correctifs ou améliorations proposés.2 Description et architectureCe travail fait suite à l’implémentation en TLA+ [3] du protocole Tenderbake. Il est possiblede vérifier certaines propriétés et de mettre en évidence certains comportements du protocoleen utilisant le model checker TLC sur le modèle TLA+. Mitten permet dans un second tempsde s’assurer que ces comportements sont réalisables par l’implémentation. Mitten est conçucomme un proxy intercepteur entre différents nœuds d’un réseau pair-à-pair blockchain. Il seconnecte au travers de multiples sockets TCP à plusieurs nœuds Tezos, configurés pour necommuniquer qu’avec le proxy. Mitten est ainsi capable de voir passer tous les messageséchangés sur le réseau, et d’agir en conséquence (faire suivre le message, jeter le message,retarder le message, et même le modifier). Cette logique d’action est implémentée par la machineinterne de Mitten (voir Figure 1), qui peut, elle-même, être paramétrée par un scénario.Mitten Bozman et al.Mitten717273818283Figure 1 – Architecture du proxyMitten〈const〉 ::= N ".?" | [0− 9]+ | vh[a− zA− Z]52〈vi〉 ::= | ".?" | 〈const〉〈istep〉 ::= propose 〈vb〉 〈vl〉 〈vr〉 〈vp〉 〈vd〉| preendorse 〈vb〉 〈vl〉 〈vr〉 〈vp〉 〈vd〉| endorse 〈vb〉 〈vl〉 〈vr〉 〈vp〉 〈vd〉| 〈step〉 [ && | || | ->? ] 〈step〉| ~!〈step〉| seq[〈step〉?; ]〈step〉 ::= {pre}〈istep〉{post}Figure 2 – Langage de scénariosLes scénarios pour Mitten sont écrits dans un langage qui décrit quels messages doiventêtre transmis (voir Figure 2). Une étape élémentaire du scénario représenté par propose b1(level 3) (round 0) b2 laisse passer un message de (i.e. signé par le validateur du nœud)b1, qui est un “propose” au niveau 3 et round 0, avec n’importe quel payload hash au nœudb2. Le langage permet également de composer ces étapes élémentaires, comme des séquences,conjonctions, disjonctions, mais aussi des boucles d’attente–transmissions. Ce langage est plongédans OCaml, et permet également de décorer les étapes avec des assertions (sous la forme depre ou post actions/vérifications). Bénéficier d’un langage de programmation comme OCamlpour l’écriture d’assertions apporte une grande souplesse.3 ExempleCet extrait de scénario avec deux nœuds a et bvérifie qu’un validateur qui a observé un quorumde préendorsements (PQ) (mais pas de quorumd’endorsements) propose à nouveau au round sui-vant avec le même payload hash. On voit quea doit proposer au niveau 3, round 0 avec unpayload hash p1, que les validateurs s’échangentles préendorsements normalement, que b endorse(donc il a vu un PQ sur p1) et qu’il doit propo-ser au round 1 avec le même p1. Mitten fait dufiltrage par motif (ie. étapes du scénario) sur lesmessages. La variable p1 est donc liée à une valeurconcrète après le propose au round 0....let scenario = seq [[ preendorse __ (level 3) __ __ [__];endorse __ (level 3) __ __ [__];] <>?propose a (level 3) (round 0) p1 [a;b]~post:[Exec (Helpers.inject_dummy n_b)];preendorse a (level 3) (round 0) __ [a;b] ;preendorse b (level 3) (round 0) __ [a;b] ;endorse b (level 3) (round 0) __ [a;b];propose b (level 3) (round 1) p1 [a;b];]let () = run_scenario { code; timeout = None;nodes; parameters; constraints = [] }4 Conclusion et travaux futursBien que Mitten ait été initialement conçu pour Tezos, son architecture modulaire lerend adaptable à d’autres usages. En effet, la partie proxy paramétrable peut être utilisée surn’importe quel réseau (modulo quelques modifications), ceci afin d’observer, tester et contrôlerles échanges. Par exemple, des acteurs byzantins pourraient être simulés par Mitten, commedans l’approche de Twins [2]. Il serait aussi pertinent d’observer les échanges de messages entemps réel et de vérifier qu’ils représentent bien des traces possibles de l’automate spécifiant leprotocole. Un second objectif serait le développement d’un DSL de plus haut niveau pour décrireles scénarios. Enfin il serait intéressant de rejouer les traces fournies par un model checker.2Mitten Bozman et al.Références[1] Lăcrămioara Astefănoaei, Pierre Chambart, Antonella Del Pozzo, Thibault Rieutord, Sara TucciPiergiovanni, and Eugen Zalinescu. Tenderbake - A Solution to Dynamic Repeated Consensus forBlockchains. In Fourth International Symposium on Foundations and Applications of Blockchain,2021.[2] Shehar Bano, Alberto Sonnino, Andrey Chursin, Dmitri Perelman, and Dahlia Malkhi. Twins :White-Glove Approach for BFT Testing. arXiv preprint arXiv :2004.10617, 2020.[3] Sylvain Conchon, Alexandrina Korneva, Çagdas Bozman, Mohamed Iguernlala, and Alain Mebsout.Formally Documenting Tenderbake. In 3rd Workshop on Formal Methods for Blockchains (FMBC2021), 2021.[4] LM Goodman. Tezos—a self-amending crypto-ledger White paper. URL :https ://www.tezos.com/static/papers/white paper.pdf, 2014.[5] Jae Kwon and Ethan Buchman. Cosmos whitepaper, 2019.3

Jouez à Faire Consensus Avec MITTEN (démonstration)

HAL-CentraleSupelec

https://hal.inria.fr/hal-03626847v1/file/jfla22_paper_19.pdf

Jouez à Faire Consensus Avec MITTEN (démonstration)

Abstract

Similar works

Full text

Available Versions

INRIA a CCSD electronic archive server

HAL-CentraleSupelec