Recenzja rozprawy doktorskiej Pana mgra Marcina Andrychowicza

Transkrypt

1 dr hab. Marek Klonowski Wrocław, prof. ndzw. PWr Recenzja rozprawy doktorskiej Pana mgra Marcina Andrychowicza Wnoszę o przyjęcie rozprawy i dopuszczenie mgra Marcina Andrychowicza do dalszych etapów przewodu doktorskiego. Uwagi wstępne Niniejsza recenzja powstała na podstawie następujacych dokumentów: 1. rozprawy doktorskiej, na która składa się Podsumowanie w języku angielskim cykl sześciu prac P1 Secure Multiparty Computations on Bitcoin (IEEE Symposium on Security and Privacy, 2014); P2 Fair Two-Party Computations via the Bitcoin Deposits (1st Workshop on Bitcoin Research, 2014); P3 Modeling Bitcoin Contracts by Timed Automata (Formal Modeling and Analysis of Timed Systems - FORMATS, 2014); P4 On the Malleability of Bitcoin Transactions (2nd Workshop on Bitcoin Research, 2015); P5 Secure Multiparty Computations on Bitcoin (Communications of the ACM - CACM); P6 PoW-Based Distributed Cryptography with no Trusted Setup (35th International Cryptology Conference CRYPTO, 2015); 2. Oświadczenia z dnia 6 sierpnia 2015 zawieraj ace deklaracje na temat udziału Pana Andrychowicza w przygotowaniu każdej z powyższych prac. (Pismo to otrzymałem w formie elektronicznej).

2 Recenzja jest sporzadzona na gruncie Ustawy z dnia 14 marca 2003 o stopniach naukowych i tytule naukowym oraz o stopniach i tytule w zakresie sztuki z późniejszymi zmianami. Rozprawa stanowi zbiór artykułów współautorskich ze wskazaniem wyodrębnionej części Doktoranta. Forma taka jest dopuszczalna w sensie Art. 13 Ustawy. Klasyfikacja wyników do dziedziny informatyka w ramach nauk matematycznych jest prawidłowa. Struktura i tematyka pracy Rozprawa Pana Marcina Andrychowicza jest na temat zwiazków kryptowalut z metodami MPC (obliczenia wielopodmiotowych). Duża część rezultatów zaprezentowanych w rozprawie, w skrócie, można streścić jednym zdaniem: Jak skonstruować protokół bezpiecznych obliczeń wielopodmiotowych za pomoca systemu Bitcoin. Ostatnia praca (P6) przedstawia model obliczeń kryptograficznych w systemie rozproszonym, w którym bezpieczeństwo opiera się na założeniu, że adwersarz ma jedynie frakcję mocy obliczeniowej całego systemu. Zaprezentowane techniki moga odnosić się także do innych kryptowalut, niemniej ze względu na ogromna popularność Bitcoina, należy o nich myśleć właśnie w tym kontekście. Metody zaproponowane przez Pana Andrychowicza w pracach P1,P2, P3 oraz P5 maja ogromny potencjał praktyczny. Idee tam prezentowane sprowadzaja się do tego, że wiele metod klasycznej kryptografii jest wzbogacana użyciem skryptu niestandardowej transakcji Bitcoin. Dzięki temu strona, która nie zachowuje się zgodnie z protokołem automatycznie ponosi karę finansowa. Sama pomysł jak i jego realizacja sa proste jednak moga stanowić zauważalny krok teorii kryptografii w stronę powszechnych zastosowań. Wiele znaczacych wyników teorii kryptografii nie mogło znaleźć szerszego zastosowania. Tak w szczególności jest z protokołami MPC, które pochodza z lat 80. ubiegłego wieku. Dzięki przedstawionym rezultatom sytuacja ta może się zmienić. Rozprawa składa się z sześciu prac, które oznaczyłem wyżej jako P1-P6. Szczególna uwagę na tej liście dwie pozycje - prace przedstawione na Symposium on Security and Privacy (P1) oraz CRYPTO (P6). Konferencje te sa najważniejszymi forami z zakresu bezpieczeństwa komputerowego a zdaniem wielu należa do najważniejszych światowych konferencji z informatyki w ogóle. Przedstawione tam prace bardzo często maja ogromny wpływ zarówno na rozwój teorii, jak również praktykę bezpieczeństwa komputerowego. Sa to konferencje o bardzo dużej selektywności a zaprezentowanie tam prac, nawet współautorkach, bardzo dobrze świadczy o Doktorancie. Ponadto w skład publikacji wchodzi praca P4 przyjęta do bardzo wysoko punktowanego Communication of ACM (P5). Praca ta niewiele wnosi do tego co zostało pokazane w pracy P1, właściwie jest to skrót wcześniejszej pracy. Trzy prace opublikowane na mniej znanych konferencjach, z których dwie skupiały się na problemie kryptowalut. 2

3 Uczestniczyli w nich również bardzo znani naukowy a same wydarzenia miały charakter bardzo specjalistyczny. Wyniki zawarte w rozprawie Praca P1 System Bitcoin (a także inne systemy kryptowalut) moga być wykorzystane, poza prostymi przelewami środków finansowych, do wykonywania operacji warunkowych określanych jako kontrakty". W pracach P1 i P2 pokazano, że można zbudować ogólnie protokół rozwiazuj acy problem Secure Mulpiparty Computation (MPC) tak aby strony działajace niezgodnie z protokołem ponosiły karę polegajac a na utracie środków pieniężnych (dokładniej, bitcoinów). W ten sposób można zapewnić własność określana jako fairness, która polega na tym że wykonywane protokół nie może zostać przerwany przez nieuczciwa stronę (pod rygorem automatycznie wykonywanej kary finansowej). Praca P1 przedstawia protokół zobowiazania (commitment), w którym za nieprzedstawienie zadeklarowanej wartości (opening) strona płaci ustalona karę. Ten zaskakujaco prosty pomysł może być w elementarny sposób zaimplementowania w systemie Bitcoin - opisy kontraktów akceptuja bowiem zarówno warunki wykorzystujace standardowe funkcje haszujace, jak też parametr czasu. Majac już protokół zobowiazania kryptograficznego, Autorzy pokazuja jak w prosty sposób zrobić protokół kryptograficznej loterii (oczywiście bez TTP - zaufanej trzeciej strony). Pan Andrychowicz, według oświadczenia, jest autorem protokołu zobowiazania czasowego oraz implementacji. Sa to istotne części pracy P1. Szczególnie dobre wrażenie zrobiło na mnie zamieszczenie kodu implementacji, który rozwiewa jakiekolwiek wat- pliwości dotyczace praktycznego znaczenia prezentowanych wcześniej idei. Praca P2 Praca P2 przedstawia jak za pomoca Bitcoina można zrealizować wykonanie MPC dowolnej funkcji a przy tym wymusić uczciwe zachowanie na uczestnikach protokołu. Uczciwość (fairness) jest własnościa silniejsza niż zwykłe wymaganie ukrycia informacji w klasycznych protokołach MPC. Realizacja tego pomysłu opiera się na zastosowaniu pomysłu zobowiazania z P1 do protokołu z pracy Goldreicha i Vainisha W przeciwieństwie do wyników z P1, protokół wymaga drobnej modyfikacji protokołu Bitcoin. Praca P3 Trzecia z prezentowanych prac ma zgoła innych charakter - pokazuje jak można za pomoca systemu do automatycznej weryfikacji UPAALLA analizować bezpieczeństwo i poprawność działania pewnych transakcji systemu Bitcoin. W szczególności badane sa protokoły przedstawione w P1. Chociaż w przypadku tej pracy wkład 3

4 naukowy jest umiarkowany (znane metody zastosowane do standardowych problemów) to jednak jej realizacja wymagała sporo umiejętności technicznych. Cała praca dobrze wkomponowuje się w całość rozprawy i pokazuje, że Doktorant sprawnie posługuje się szeroka gama technik analizy protokołów. Praca P4 Dyskusje na temat kowalności 1 (malleability), która jest (zazwyczaj) niepoża- dana własnościa protokołów kryptograficznych. Autorzy wskazuja na możliwe ataki na protokół Bitcoin oparte o kowalność oraz przedstawiaja możliwe techniki obrony przed nimi. Znajdziemy tu wiele ciekawych obserwacji, jednak w pewnej części nie wpisuja się one w typowe wyniki w sensie nauk matematycznych (przeglad dostępnego oprogramowania klienckiego i analiza ich odporności na ataki). Podobnie jak w pracy P3, zaprezentowane wyniki sa ciekawym uzupełnieniem rezultaty teoretycznych. Według oświadczenia, Doktorant miał w tym projekcie wiodac a rolę. Praca P5 Praca P5 jest zasadniczo skrócona wersja pracy P1 - warto w tym miejscu jednak podkreślić, że czasopismo w jakim została ona opublikowana (Communication of ACM) jest bardzo wysoko punktowane i znaleźć tam można wiele prac o dużym znaczeniu dla rozwoju informatyki. Praca P6 Praca ta została zaprezentowana na prestiżowej konferencji CRYPTO i jest niewatpliwie najbardziej zaawansowana pod względem technicznym spośród artykułów wchodzacych w skład rozprawy. Jednocześnie ma charakter bardziej teoretyczny, w którym zagadnienie aplikowalności stoi na nieco dalszym planie. Pan Andrychwicz wraz z Promotorem prezentuja model dla całkowicie zdecentralizowanego środowiska (nawet sieci P2P), w których bezpieczeństwo realizowanych protokołów kryptograficznych oparte jest na założeniu, że adwersarz kontroluje co najwyżej frakcję całej mocy obliczeniowej całej sieci. Podejście takie uwalnia między innymi od konieczności ufania poczatkowym parametrom protokołów czy zaufanej stronie. Autorzy przedstawiaja także protokół rozgłaszania i dowodza jego bezpieczeństwo. Przyjęte w modelu założenia wydaja się adekwatne a sam model naturalny (szczególnie w kontekście kryptowalut). W szczególności nie wymaga się aby graf komunikacyjny uczestników protokołu był klika. Sama analiza wymagała znacznie większych umiejętności technicznych niż poprzednie prace. Chociaż w dużej mierze zaprezentowane wyniki oparte sa na klasycznym podejściu Canettiego i in. z 2002 (Univwsral composibality) czy pracy Cannetiego z 2001 oraz bazuja na pomyśle Dwork i Naora (Proofs of work), wymagały pomysłowości - szczególnie analiza protokołu rozgłaszania. Wskazać tu też należy na zadeklarowany oświadczeniu, bardzo wysoki udział Mgra Andrychowicza w uzyskanych wynikach. 1 Czasem termin tłumaczony jako deformowalność. 4

5 Tę pracę uważam za najistotniejsza cześć rozprawy rozumianej jako prezentacji osiagnięcia naukowego Pana Andrychowicza. Uwagi (krytyczne) Rozprawa nie jest wolna od wad. Poniżej przedstawiam kilka uwag a także wskazuję zauważone usterki w kolejnych częściach rozprawy. Większość nie ma istotnego znaczenia na ogólna ocenę przedłożonej rozprawy. Podsumowanie Krótkie podsumowanie stanowi jedyna część rozprawy poza załaczonymi pracami. Mimo, że forma rozprawy w pełni spełnia wymagana Ustawy, było dobrze wprowadzić pewne rozszerzenia - opisać powiazane wyniki z zakresu MPC, ujednolicić notację czy uzupełnić pewne braki, które sa akceptowalne w wydawnictwach konferencyjnych. Brakuje też szerszego opisu wprowadzajacego w tematykę badań. Dziwi także powoływanie się w tej części na brak miejsca (sic!) jako okoliczności powodujacej brak pewnych opisów (s. 3). Praca P1 Praca P2 Przedstawione koncepcje nie zostały w pełni formalnie zbadane. Pewne części analizy zostały potraktowane dość pobieżnie. Na przykład na s. 6 mamy Lemat 3, który ma być udowodniony w rozszerzonej wersji pracy. Nie znalazłem go jednak w dostępnej w sieci wersji 2. Zamiast wersji rozszerzonej otrzymaliśmy jedynie wersję skrócona (czyli pracę P6), też bez dowodu. Chcę jednak podkreślić, że przy tak rozbudowanych protokołach pełna analiza wydaje się niemożliwa i nie watpię, że deklarowane własności prezentowanych protokołów sa zasadniczo spełnione. Pewne zagadnienia prosza się o nieco bardziej szerokie przedyskutowanie - na przykład, na ile asynchroniczność systemu wpływa na bezpieczeństwo? Mimo, że ogólnie praca jest zrozumiała, część argumentacji nie jest w pełni przekonywajaca. Przykładem jest przypis 5. na s

6 Praca P3 Chociaż wynik pracy jest ciekawy, z technicznego punktu widzenia jest to proste zastosowanie techniki z P1 do klasycznej metody. Poziom formalizmu jest nieco poniżej oczekiwań. Na przykład pojęcie fairness w kontekście MPC jest intuicyjnie zrozumiałe jednak Doktorant mógł się pokusić o zaprezentowanie formalnej definicji tej własności, choćby we Podsumowaniu. W końcu w pacach P1 oraz P2 właśnie o fairness chodzi. Chcę tu jednak zaznaczyć, że Doktorant podał dobry przykład dla zrozumienia istoty zagadnienia. Praca P4 Ogólnie, model systemu wydaje się być adekwatny do rzeczywistości. Pewne wat- pliwości budzi jednak sam model adwersarza. Wydaje się, że w opisanym podejś- ciu może jedynie rozgłaszać wiadomości, które wcześniej zostały rozesłane. Zatem uzyskane gwarancje bezpieczeństwa sa silnie ograniczone. Praca P6 Pierwsza część pracy ma charakter przede wszystkim eksperymentalny. Druga część przedstawiajaca dość prosty schemat uodparniajacy transakcje na ataki wynikajace z kowalności. W analizie zamieszczonej w podrozdziale 5.2 (s. 13) Autorzy kolejny raz powołuja się na brak miejsca i twierdza, że dowód bezpieczeństwa jest prosty. Choć po przemyśleniu schematu też odnoszę wrażenie, że konstrukcja jest prawidłowa, brak formalnej analizy uważam za pewne uchybienie. Założenia dotyczace modelu moga wydawać się dyskusyjne np. parametry θ oraz te decydujace o synchronizacji (opóźnieniach). Dłuższa refleksja prowadzi jednak do wniosku, że należy uznać je za naturalne. Biorac pod uwagę poziom komplikacji zarówno opisu modelu, jak i protokołu rozgłaszania, zarówno redakcja i czytelność dowodów stoja na dobrym poziomie. Niemniej miałem spore trudności ze zrozumieniem dowodów Lematu 6 oraz Lematu 10. Autorzy często podaja koszt obliczeń PoW jako stała wartość. Jest to jednak zmienna losowa. Ze względu na jej silna koncentrację, zdaje się nie mieć to wpływu na poprawność twierdzeń. Nie jest jasne czy zakłada się, czy zakłada się zbiór uczestników protokołu jest stały. W tym modelu zdaje się nie mieć to istotnego znaczenia, byle moce adwersarza były stale ograniczone. Można by podnieść jeszcze kilka drobnych kwestii o miernym znaczeniu dla całościowej oceny. Notacja nie jest spójna - ten sam obiekt raz jako oznaczany jest jako max BB 6

7 (praca P2) raz jako max Ledger (praca P1). Podobnie π co innego oznacza w P1, a co innego w P6. Pewne konwencje notacji nie sa zdefiniowane (np. przypisania losowej wartości, P2, str. 10). Dla każdej osoby pracujacej w dziedzinie teorii bezpieczeństwa komputerowego wady te nie stanowia żadnego utrudnienia w zrozumieniu prac. Wstęp (nazwany Podsumowaniem ) zawiera dość liczne błędy językowe, literówki, niespójności w bibliografiach etc. Mniej licznie znajdziemy w pracach. Co w rozprawie należy docenić? Rozprawa doktorska zasługuje na uznanie z kilku względów. Dwie prace zostały przyjęte na najlepsze światowe konferencje o ogromnym znaczeniu dla badań nad bezpieczeństwem komputerowym. Niektóre zaprezentowane wyniki moga mieć ogromne znaczenie praktyczne i moga natychmiast być stosowane do wielu realnych scenariuszy w szeroko rozumianych e-usługach. Bardzo dobre wrażenie robi także liczba cytowań prac Doktoranta, której próżno szukać w dostarczonej dokumentacji. Google Scholar wskazuje ponad 70 (!) cytowań prac Doktoranta - głównie P1. Jest to liczba imponujaca biorac pod uwagę, że prace te została opublikowana zaledwie rok temu. Jak na ten etap kariery taka liczba cytowań jest wynikiem doskonałym. Autorzy prezentuja protokoły Bitcoina w sposób jasny za pomoca dobrze skonstruowanych, przemyślanych i intuicyjnych diagramów. Wiele pomysłów popartych jest implementacjami szczególnie cennymi w pracach teoretycznych tworzonymi jednak w perspektywie aplikacyjnej. Wskazać należy tu zarówno pracę P1, jak i P2. Doktorant wykazał się umiejętnościa stosowania szerokiego wachlarza technik - od automatycznej weryfikacji aż po typowe narzędzia kryptograficzne. Konkluzja Przedłożona rozprawa niewatpliwie spełnia ustawowe jak i zwyczajowe wymagania zarówno co do formy, jak i treści. Cytujac Ustawę znajdziemy tu oryginalne rozwiązanie problemu naukowego a rozprawa wykazuje ogólną wiedzę teoretyczną kandydata. Osiagnięcia naukowe Pana Andrychowicza robia wrażenie znajdziemy tu prace prezentowane na konferencjach o najwyższej świadomej renomie, które już ciesza się 7

8 zainteresowaniem i moga mieć duże znaczenie dla praktyki. Wyniki sa dość liczne (biorac oczywiście pod uwagę część Pana Andrychowicza zadeklarowana w oświadczeniu) i różnorodne. To jeden z tych bardzo nielicznych doktoratów gdzie teoria bezpośrednio spotyka się z praktyka a wyniki moga szybko wejść do powszechnego użytku. Warto może też podnieść, że Mgr Andrychowicz jest także współautorem kilku innych prac przyjętych na dobre międzynarodowe konferencje (CT-RSA, ACNS) napisane wspólnie ze świetnymi naukowcami o międzynarodowej renomie, które nie weszły w skład rozprawy. Z drugiej strony trzeba zauważyć, że istotna część wyników jest dość prostym rozwinięciem znanych technik. Sama zaś forma przedstawionej rozprawy, w której zaprezentowane wyniki pomijaja spora liczbę szczegółów i formalizmu, pozostawia u czytelnika niedosyt. Nie zmienia to jednak mojej jednoznacznie pozytywnej oceny rozprawy, która w pełni uzasadnia wniosek ze wstępu. 8