Analisi: il piano geografico di Solana si basa su posizioni non verificabili

Roger Wattenhofer e Quentin Kniep propongono di accelerare la produzione dei blocchi di Solana programmando in sequenza i validatori geograficamente vicini, sulla base di posizioni autodichiarate che la rete non può verificare fisicamente. Wattenhofer è responsabile della ricerca di Anza e professore all'ETH di Zurigo; Kniep si definisce ricercatore presso Anza e l'ETH di Zurigo. La loro bozza sulla programmazione, SIMD-0675, e la proposta complementare sulla registrazione delle posizioni, SIMD-0674, sono state presentate come pull request il 29 settembre e sono ancora aperte al 7 ottobre. I risultati sono esiti modellizzati, non misurazioni ottenute con una programmazione geografica implementata.

Solana calcolerebbe dapprima il consueto calendario casuale dei leader ponderato per stake, quindi riordinerebbe i turni programmati di produzione dei blocchi, chiamati finestre del leader, in piccoli gruppi detti bin, usando la prossimità geografica dichiarata. Ogni validatore manterrebbe esattamente il numero di finestre del leader assegnato in origine: cambierebbero soltanto la tempistica e il leader precedente. Con il passaggio rapido di consegne di Alpenglow, il leader precedente invia un blocco direttamente al successivo. Gli autori sostengono che la programmazione casuale favorisca i validatori vicini ai grandi centri di concentrazione dello stake, perché quelli più lontani devono più spesso affrontare passaggi di consegne lunghi. Il beneficio atteso per la decentralizzazione è incentivare l'attività lontano dagli hub esistenti, non ridistribuire lo stake né assegnare ulteriori turni da leader; le simulazioni non misurano trasferimenti effettivi di attività né la concentrazione dello stake.

La bozza abbina bin di tre finestre a una soglia minima di stake del 10% riferita allo stake attivo con posizioni dichiarate valide; la soglia determina l'estensione dell'area di ciascun validatore. Nelle località dense servono raggi di prossimità più piccoli e in quelle sparse più ampi, ma un bin completo può contenere meno del 10% dello stake e finestre ripetute dello stesso operatore. La simulazione delle sequenze di finestre usa la distribuzione dello stake della mainnet nell'epoca 1038, con 661 validatori le cui posizioni sono state corrette usando misurazioni di Globalping, e calcola la media di cinque semi casuali su epoche simulate composte ciascuna da 108.000 finestre del leader. La distanza geografica determina l'appartenenza ai bin, mentre il modello del passaggio di consegne associa i validatori all'area metropolitana più vicina secondo RIPE Atlas e stima la latenza di sola andata come metà del tempo mediano di andata e ritorno tra le aree, assegnando un ritardo pari a zero all'interno della stessa area metropolitana. Nella simulazione degli autori, con bin di tre finestre il ritardo medio nei passaggi di consegne tra validatori onesti scende da 36,2 millisecondi a 17,0 millisecondi. La mediana di tutti i passaggi di consegne, riferita a una popolazione diversa, scende da 23,4 millisecondi a 4,5 millisecondi. Questi ritardi di trasferimento modellizzati sono diversi dalla durata degli slot e dalla finalità delle transazioni; l'ipotesi di ritardo zero nell'area metropolitana semplifica le condizioni effettive della rete. Uno studio pubblicato ad agosto dalla Solana Foundation ha rilevato un'associazione tra distanze maggiori e penalità nei passaggi di consegne, senza però dimostrare un nesso causale, e non ha osservato instradamento, peering e infrastruttura dei validatori.

La simulazione di sicurezza colloca a Sydney un avversario che detiene il 5% dello stake totale, senza altri validatori in Oceania; gli autori descrivono questo isolamento come vicino a uno scenario estremo, perché l'attaccante può riempire da solo i bin. L'attaccante isolato mostra che il controllo effettivo dei bin può differire dalla soglia del 10% usata per costruire le aree di prossimità. La più lunga sequenza avversaria osservata con la configurazione proposta è stata di sei finestre distribuite su due bin adiacenti, a dimostrazione che il controllo consecutivo può superare la dimensione configurata del bin. La bozza riconosce che interruzioni regionali dell'alimentazione elettrica, della rete o della giurisdizione potrebbero colpire leader consecutivi e provocare sequenze di slot saltati più lunghe rispetto a una programmazione interamente casuale. La bozza segnala inoltre che il controllo consecutivo potrebbe rendere più efficace la censura a livello regionale. In base alle ipotesi della bozza, con quattro slot per finestra del leader e slot di 200 millisecondi, un bin di tre finestre coprirebbe idealmente 2,4 secondi, anche se l'esposizione regionale può estendersi oltre i confini dei bin. Un'alternativa aggiunta il 2 ottobre ordinerebbe i leader lungo il percorso geografico più breve all'interno di ciascun bin; la bozza la respinge perché indebolirebbe la simmetria della programmazione casuale e renderebbe più prevedibili gli slot adiacenti per validatori avversari situati vicini.

SIMD-0674 registrerebbe le coordinate autodichiarate negli account di voto dei validatori, con firme che verificano l'autorizzazione e un controllo geometrico che verifica la prossimità alla superficie terrestre; nessuno dei due controlli accerta però la posizione fisica della macchina. SIMD-0675 sostiene che dichiarare falsamente una posizione lontana spesso rallenterebbe i passaggi di consegne del validatore stesso, collocandolo dopo leader più lontani dalla macchina reale. Gli autori hanno verificato questa tesi modificando la città registrata del validatore più grande in ciascuna di dieci città, lasciando ogni macchina nella sua posizione fisica. Nel modello, il validatore di Ashburn ha ridotto il ritardo medio nei passaggi di consegne da 23,7 millisecondi a 21,0 millisecondi dichiarandosi a San Paolo, con un miglioramento riportato di 2,7 ± 0,2 millisecondi. Gli autori riferiscono che nessun'altra falsa dichiarazione di posizione non equivalente ha ottenuto un miglioramento superiore a 0,3 millisecondi. L'esperimento costruisce le aree di prossimità e i bin sulla base della latenza di RIPE Atlas, anziché della distanza geografica prevista dalla programmazione proposta; inoltre, i risultati sui singoli validatori non chiariscono gli effetti di dichiarazioni false coordinate né quelli sul controllo consecutivo. Le false dichiarazioni spesso peggiorano la velocità dei validatori esaminati, ma l'eccezione di Ashburn limita la validità dell'argomento secondo cui gli incentivi economici da soli sarebbero sufficienti a garantire la veridicità delle posizioni fisiche.

SIMD-0675 aumenterebbe HANDOVER_COMPENSATION da 25 millisecondi a 50 millisecondi, nonostante i minori ritardi di trasferimento modellizzati. La proposta separata sulla compensazione tiene conto della produzione ottimistica dei blocchi prima di ParentReady, l'evento del protocollo che avvia il timer di produzione conteggiato. La compensazione sottrae tempo al budget di produzione del primo slot dopo ParentReady e anticipa i timeout delle finestre del leader; si tratta di una correzione temporale, non di un pagamento ai validatori. La simulazione geografica aumenta da 23,2 millisecondi a 46,2 millisecondi l'intervallo tra la ricezione del blocco del leader precedente e ParentReady, spiegando il valore di compensazione più alto nonostante i trasferimenti più rapidi.

La pull request sulla programmazione non riporta al momento revisioni, mentre buffalojoec ha approvato il 5 ottobre la pull request sulla registrazione delle posizioni, con una riserva sulla possibile separazione delle modifiche alla struttura degli account di voto. Il changelog della Solana Foundation del 1° ottobre descrive entrambe le modifiche come proposte e indica Alpenglow tra le funzionalità abilitate su Devnet. La programmazione è fondamentale per il consenso e richiederebbe un feature gate, ma la bozza non specifica la chiave della funzionalità né le issue di tracciamento. La transizione proposta applicherebbe il nuovo algoritmo a partire dalla seconda epoca successiva all'attivazione. La revisione dovrà valutare se la riduzione modellizzata dei ritardi e del vantaggio della co-localizzazione giustifichi una modifica alla continuità della produzione dei blocchi.