[Paper] Proteus：只追加账本用于（大多数情况下）可信执行环境

Source: arXiv - 2602.05346v1

请提供您希望翻译的具体文本内容（除代码块和 URL 之外），我将为您翻译成简体中文并保持原有的格式。

Overview

Proteus 引入了一种混合共识设计，使分布式追加式账本 即使它们所依赖的可信执行环境（TEE）被破坏 仍能安全运行。通过在经典的崩溃容错（CFT）协议中嵌入拜占庭容错（BFT）核心，Proteus 保持了现有 TEE 加速系统的低延迟性能，同时为罕见但灾难性的硬件攻击提供了安全保障。

关键贡献

• 混合协议架构 – 在 CFT 协议内部嵌入 BFT 共识层，且不增加额外的网络轮次。
• 无消息集成 – 重构两个底层协议，使它们共享相同的消息流，保持标准基于 TEE 的共识的通信成本。
• 形式化安全论证 – 证明只要少于三分之一的节点是拜占庭的 或 TEE 平台在少于三分之一的节点上被攻破，完整性仍然得以保持。
• 原型实现 – 基于流行的开源 BFT 库（如 HotStuff）和 Intel SGX 构建，展示出与原生支持 TEE 的共识相当的吞吐量和延迟。
• 实证评估 – 表明在正常运行时开销低于 5 %，并在模拟 TEE 被攻破时实现平滑降级。

方法论

1. 协议重构

   • 作者从一个标准的 CFT 协议（例如 Raft）和一个 BFT 协议（例如 PBFT/HotStuff）开始。
   • 他们对齐状态机复制的步骤（领导者选举、提案、投票、提交），使得一次消息往返即可同时满足两种协议的要求。

2. TEE 保护

   • 关键的密码学操作（签名、证明）在 SGX 区域内完成。
   • 每个节点运行两个逻辑副本：一个 CFT 副本 信任 enclave，另一个 BFT 副本 假设 enclave 可能是恶意的。

3. 安全开关

   • 节点通过远程证明持续监控 enclave 的健康状态。
   • 若怀疑 enclave 有问题，节点会自动回退到 BFT 副本的决策，该副本能够容忍至多 f 个拜占庭故障。

4. 实现与基准测试

   • 原型在一个 5 节点集群上运行（包括局域网和云环境）。
   • 工作负载模拟典型的账本操作：事务排序、状态更新以及只读查询。

5. 安全性分析

   • 论文建模了两种对手能力：(i) 网络层面的拜占庭行为，(ii) 对部分节点的 TEE compromise。
   • 通过混合故障模型，他们证明除非 同时 被 compromise 的 TEEs 数量和拜占庭节点数量均超过相同阈值（≈ n/3），否则完整性仍然保持。

结果与发现

• 性能持平：Proteus 只比最佳的仅 TEE 方法多约 5 % 的成本。
• 鲁棒性：当五个 enclave 中有两个被迫异常行为时，BFT 回退仍能保持正确排序并防止双重支付。
• 可扩展性：对多达 9 个节点的实验显示吞吐量线性增长，证实无消息的集成不会成为瓶颈。

Practical Implications

• Higher confidence for blockchain‑as‑a‑service providers that need to meet regulatory audit trails while still leveraging SGX for performance.
• Simplified ops: Developers can keep the same API surface as existing TEE‑enabled ledgers; the hybrid safety logic is transparent to the application layer.
• Reduced risk exposure: Organizations can adopt TEEs without fearing a single zero‑day exploit that would break ledger integrity.
• Potential for cross‑cloud deployments: Since Proteus only requires standard network messages, it works across heterogeneous cloud providers that may offer different TEE implementations (SGX, AMD SEV, ARM TrustZone).

局限性与未来工作

• 假设 TEE 诚实多数 – 如果超过 n/3 个 enclave 被攻破，安全保证会下降，这在高度针对性的攻击场景下可能不切实际。
• 原型仅限于 Intel SGX；扩展到其他 TEE 系列可能会暴露出细微的集成挑战。
• 静态故障阈值 – 当前设计在观察到的故障率变化时无法动态适应；未来工作可以探索自适应 quorum 重新配置。
• 形式化验证 – 虽然提供了证明思路，但使用 TLA+ 或 Coq 等工具进行机器检查的验证将提升对高价值部署的信心。

Proteus 为希望在不牺牲纯 BFT 协议安全保障的前提下，获得硬件支持共识高速性的开发者提供了一条务实的路径。通过融合两者的优势，它为生产环境中更具弹性、高性能的分布式账本铺平了道路。

作者

• Shubham Mishra
• João Gonçalves
• Chawinphat Tankuranand
• Neil Giridharan
• Natacha Crooks
• Heidi Howard
• Chris Jensen

论文信息

• arXiv ID: 2602.05346v1
• 分类: cs.DC
• 发表时间: 2026年2月5日
• PDF: 下载 PDF