Im Konsens-Meilenstein L wird Ethereum die BLS-Signaturen auslaufen lassen. Ohne einen quantenresistenten Verifiable Random Function (VRF) verliert der aktuelle RANDAO-Mechanismus seine Unvorhersehbarkeit – ein Szenario, das Angriffe auf die Proposer-Auswahl ermöglicht und geplante Features wie Single Secret Leader Election (SSLE) blockiert. Der vorgestellte PRF-Commitment-VRF, basierend auf dem KoalaBear-Feld und WHIR-Beweisen, soll diese Lücke schließen, während alternative Vorschläge wie EIP-8321 unterschiedliche Kompromisse bieten.

Warum die aktuellen post-quantensicheren Signaturen keine VRF bieten

leanSig ist ein post-quantensicherer Ersatz für BLS-Multisignaturen und basiert auf XMSS/WOTS⁺. Trotz starker Fälschungssicherheit fehlt beiden Konstruktionen die für eine VRF zwingend erforderliche mathematische Eindeutigkeit (Uniqueness). Die Kernpunkte lassen sich wie folgt zusammenfassen:

• WOTS⁺-Signaturen besitzen eine Kettenstruktur, die mehrere valide Traversierungen für dieselbe Nachricht zulässt.
• Durch diese Mehrdeutigkeit kann ein Angreifer für identische Eingaben unterschiedliche Signaturen erzeugen – ein klarer Verstoß gegen die VRF-Anforderung, dass zu einem Input exakt ein Output existieren muss.
• Die in leanSig eingebettete Signatur liefert lediglich einen Knowledge-Proof des Signaturschlüssels, nicht aber die Einzigartigkeit des erzeugten Zufallswertes.

Der Versuch, VRF-Einzigartigkeit aus der WOTS⁺-Kettenstruktur (z. B. X-VRF) abzuleiten, ist nach FC 2024 als fehlerhaft nachgewiesen worden. Daher ist ein separater Ansatz notwendig, der die VRF-Sicherheit nicht von der Signatur-Uniqueness, sondern von der Kollisionsresistenz einer Hash-Funktion ableitet.

Der PRF-Commitment-VRF-Ansatz auf Basis von KoalaBear und WHIR

Kernidee und Schlüsselableitung

Der Proposer leitet aus dem bereits registrierten leanSig-Seed einen VRF-Geheimschlüssel ab. Diese Ableitung erfolgt über einen domain-separierten Hash über das 31-Bit KoalaBear-Prime-Field (p = 2 130 706 433). Der resultierende 8-Elemente-Vektor dient als VRF-Secret-Key und wird nicht separat registriert – er ist deterministisch aus dem leanSig-Seed berechnet.

Zero-Knowledge-Beweis mit WHIR

Die VRF-Ausgabe wird zusammen mit einem WHIR-Beweis (Working with Hash-based Interactive Proofs of Proximity) veröffentlicht. WHIR arbeitet über dem KoalaBear-Feld, nutzt Poseidon-Hashes (8 Feld-Elemente Output) und erzeugt einen nicht-interaktiven Beweis mittels Fiat-Shamir-Transformation. Die wichtigsten Leistungskennzahlen (gemessen auf einem Apple M2) sind:

• VRF-Evaluierung: 3,71 µs
• Beweiserzeugung: 81,4 ms
• Beweisverifikation: 19,2 ms
• Beweisgröße im Beacon-Block: 116 KB

Die Verifikationszeit liegt damit im gleichen Größenordnungsbereich wie die aktuelle BLS-Verifikation, während die Beweisgröße deutlich größer ist (96 Byte bei BLS vs. 116 KB bei PQ-VRF).

Vergleich mit alternativen Ansätzen: EIP-8321 (Hash-Chain RANDAO)

EIP-8321 schlägt ein Hash-Chain-Verfahren vor, das nur 32 Byte pro Block erfordert und lediglich eine einzelne Hash-Operation benötigt. Der Ansatz ist extrem ressourcenschonend, bringt jedoch Einschränkungen mit sich, insbesondere für SSLE.

• Beweisgröße: 32 Byte (EIP-8321) vs. 116 KB (PQ-VRF)
• Verifizierungsaufwand: ein Hash vs. ~19 ms WHIR-Verifikation
• Unterstützung von SSLE: EIP-8321 benötigt zusätzliche Set-Membership-Beweise, um anonyme Proposer-Wahlen zu ermöglichen; der PRF-Commitment-VRF liefert per Definition eine eindeutige, per Input evaluierbare Ausgabe und unterstützt SSLE ohne weitere Beweise.
• Bandbreitenbelastung: 32 Byte sind praktisch vernachlässigbar, während 116 KB pro Slot-Intervall (12 s) das Netzwerkbudget merklich erhöhen.

Die Wahl zwischen beiden Ansätzen hängt stark davon ab, ob die Ethereum-Community SSLE als kritisches Feature priorisiert oder Bandbreiten-Effizienz in den Vordergrund stellt.

Sicherheitsanalyse und offene Fragen

Der Vorschlag definiert vier zentrale Sicherheitskomponenten:

• Korrektheit: Unconditional, aus WHIR-Vollständigkeit.
• Computational Uniqueness (ROM): Reduziert auf Kollisionsresistenz von Poseidon1; kein Angriff möglich, solange Poseidon1 kollisionsresistent bleibt.
• Pseudorandomness (QROM): Basierend auf Zhandry’s QPRF-Theorem (FOCS 2012). Der 8-Elemente-Schlüssel liefert ca. 124 Bit quantensichere Sicherheit.
• Proof Soundness (ROM): Fiat-Shamir-Transformation über WHIR garantiert Soundness im ROM.

Offene Punkte, die in der Community-Diskussion noch geklärt werden müssen:

• Formale Fiat-Shamir-Soundness von WHIR im Quantum Random Oracle Model (QROM) ist bislang unbelegt.
• Die Bandbreitenbelastung von 116 KB pro Block muss gegen das Beacon-Block-Size-Budget abgewogen werden.
• Konkrete QPRF-Grenzwerte für die 31-Bit-Feldelemente und realistische Ethereum-Abfrage-Budgets.

FAQ – häufig gestellte Fragen

• Warum kann man die neuen leanSig-Signaturen nicht direkt als VRF für RANDAO nutzen?
  leanSig basiert auf XMSS/WOTS⁺. Die Kettenstruktur erlaubt mehrere gültige Traversierungen für dieselbe Nachricht, wodurch die notwendige mathematische Eindeutigkeit einer VRF fehlt.
• Wie schützt die dreiphasige Umstellung in der I-Phase vor Quantencomputern?
  In Phase I werden das BLS-VRF-Ergebnis und das neue PQ-VRF per XOR kombiniert. Ein Quantencomputer kann zwar BLS-Schlüssel brechen, aber das PQ-VRF-Segment bleibt unvorhersehbar, weil es auf einer quantensicheren Poseidon-Hash-Funktion beruht.
• Wie unterscheidet sich dieser Vorschlag von EIP-8321 (Hash-Chain RANDAO)?
  EIP-8321 nutzt vorausschauende Hash-Ketten mit nur 32 Byte pro Block. Der PRF-Commitment-VRF erfordert 116 KB und ~19 ms Verifizierungszeit, liefert dafür aber eine per Input evaluierbare, eindeutige Ausgabe – ein entscheidender Vorteil für SSLE.

Fazit

Der Übergang von BLS-Signaturen zu leanSig im Meilenstein L stellt Ethereum vor die Herausforderung, die Unvorhersehbarkeit von RANDAO zu bewahren. WOTS⁺ und leanSig bieten keine native VRF-Eindeutigkeit, weshalb ein separater PRF-Commitment-Ansatz unabdingbar ist. Der vorgestellte Ansatz nutzt das KoalaBear-Feld und WHIR-Beweise, um eine quantenresistente VRF zu realisieren, die trotz eines relativ großen Beweises (116 KB) und moderater Verifikationszeit (~19 ms) die nötige Sicherheit und SSLE-Kompatibilität liefert. Im Vergleich dazu bietet EIP-8321 eine äußerst bandbreitenschonende Alternative, kann jedoch SSLE nur mit zusätzlichen Set-Membership-Beweisen unterstützen. Die endgültige Entscheidung wird von der Priorisierung zwischen Bandbreiten-Effizienz und vollständiger SSLE-Integration abhängen. Ungeklärte Fragen zur QROM-Soundness von WHIR und zur langfristigen Netzwerkbelastung sollten in weiteren Diskussionen und formalen Analysen adressiert werden.