如何抵御女巫攻击

摘要

在本文中，我将试图阐述我的见闻，并传达我对涉及Gitcoin和web3生态系统中抵御女巫攻击的设计空间的有限但真诚的看法。

在本文中，我提出了以下几点主张:

1. 抵御女巫攻击是一个需要解决的重要问题。
2. 抵御女巫攻击是一种对抗性的游戏。
3. 抵御女巫攻击是一个迭代游戏。
4. 抵御女巫攻击是一种进化游戏。
5. 抵御女巫攻击是在不同的对手之间进行的无限进化的迭代博弈。
6. 解决女巫攻击的标准是什么?

什么是女巫攻击？

许多旨在民主决定结果的系统会假设每个参与者都是独一无二的人，比如Gitcoin Grants。

这使得它们很容易受到女巫攻击，恶意行为者会创建大量的假名身份来破坏服务的声誉系统，并获得不成比例的影响力。

解决这个问题的好处

GitcoinDAO的影响力取决于Gitcoin Grants的成功，而Gitcoin Grants的成功取决于依赖对女巫/欺诈抵御能力的二次融资。

如果没有抵御女巫攻击的能力，Gitcoin Grants就是一座空中楼阁。抵御女巫攻击是Gitcoin Grant合法性的基石，而对这个问题缺乏坚实的基础性认识则是对其发展的制约因素。

但它的风险远超过GitcoinDAO的范围。

女巫攻击是我们无法拥有美好事物的原因。现在，DAO生态系统围绕着一代币一票或一cpu一票的方案构建。如果女巫攻击得到解决，生态系统就可以更加基于一人一票。

如果我们想要web3系统为世界上的普通公民，而不只是有钱的精英提供效用，解决女巫攻击问题是非常可取的。

解决女巫攻击将解锁以下用例：

• 二次融资
• 二次投票
• 基尼系数的测量
• UBI
• 一人一票DAO
• 数据采集
• 抗女巫空投

等等

原则0:大型社会系统的复杂性

这些对手的复杂程度各不相同。脚本小子可能缺乏技能、组织和信念来实施复杂的攻击，而有组织的犯罪和民族国家可能拥有几乎无限的预算、技能、组织和信念来攻击一个系统。更复杂的对手将随着时间的推移而成长和进化，这需要(1)持续的警惕或(2)作为数字身份提供者的DAO进行系统性的抗脆弱性。

对手有不同的动机。有些对手可能是为了钱，有些人是为了好玩，有些是为了帮助你，有些是为了打败你。有些人只是觉得无聊，想找点刺激。

不同的对手可能会尝试不同的攻击。一些对手可能追求的方案不受生物识别身份+政府身份反措施的影响，但容易受到时间攻击反措施的攻击。其他对手可能会尝试对信任网络和基于存在的反制措施来说无懈可击的方案，但对生物识别反制措施却很脆弱。

由于对手的类型各不相同，抵御女巫攻击/欺诈的最全面方法将汇集不同类型的对策。

网络擅长感知和响应复杂的环境。由于问题的复杂性，网络是比公司更好的解决问题的机构。

原则1:以隐私为中心&主权

建立能够解决女巫攻击系统的一个挑战是管理身份信息。身份信息对于识别女巫攻击者至关重要。

但是，对身份的要求也有反作用力。

在一个对数据的控制是一种负担的世界里，上述系统的任何设计师都必须避免成为数据蜜罐。

基于web3的DID系统的另一个要求是使用户具有主权(例如用户可以拥有/管理/删除他们的数据)，并保护隐私。例如，当dapp确认一个用户是否是唯一用户时，他们不应该在没有明确同意的情况下查看关于该用户的更多信息。

原则2:避免富豪统治

抵御女巫攻击的范围从脚本小子到民族国家。

管理这一点的一个指标是信任奖励(TrustBonus)。基本上，你只需根据一定的百分比放大或抑制二次匹配。例如：

100%信任奖励+ $100的匹配将能够分配$100

50%信任奖励+ $100的匹配将能够分配$50

150%信任奖励+ $100的匹配将能够分配$150

以此类推……

但接下来呢?

转向更易于管理的指标的一种方法是采用人格评分=伪造成本=伪造用户身份所需的美元成本的想法。对于系统范围的KPI，这将使TCF =系统中的总伪造成本，这是DAO为建立一个抗女巫攻击经济而努力的最终KPI。

随着人格评分的增加，它对某些类型的对手的抵抗力也会增强。以下是根据对手的复杂程度对人格得分的粗略估计:

伪造的成本是通过连接多个站点来计算的。一个非常简单的例子：

• 如果用户连接twitter (+gitcoin治理决定twitter有0.10美元的伪造成本)
• 用户连接POH (+gitcoin治理决定POH有100美元的伪造成本)
• 用户连接brightID (+gitcoin治理决定brightID有10美元的伪造成本)
• 那么伪造用户身份的总成本是110.10美元

伪造成本是指价值如何在Passport用户的生态系统中传递。如果我在设计一个dapp，我知道这个用户的伪造成本是110.10美元，我可以合理地奖励这个用户价值高达110.10美元的抗女巫攻击奖励。

因此，在gitcoin的情况下，它可以提供价值110.10美元的匹配。Rabbithole（如果与Passport集成）可以提供价值110.10美元的奖励。POAP（如果与Passport集成）可以支付110.10美元的POAP汽油费，依此类推。

人格评分背后的关键见解是，在一个对抗性的世界里，Gitcoin想要保护的对手有不同的复杂程度（脚本小子=>有组织犯罪=>民族国家）。我们不能把抵御女巫攻击作为一个二元问题(是/否)，而是把它作为一个范围，使问题更易于处理。

从概念上讲，你可以将当前的信任奖励架构带回人格评分中，例如你的信任奖励*你的匹配金额=当前处于风险中的金额。

IMO cGrants是反向构建的。从人格评分开始，引导用户通过计算信任奖励来增加或减少他们的贡献更有意义。

富豪统治问题

这让我想到了人格评分的一个主要问题。它从经济角度考虑了女巫攻击的抵御。如果抵御女巫攻击游戏的设计师一不小心，这可能会赋予系统极为反乌托邦的属性。

如果系统的TCF(伪造的总成本)与系统中的资本数量相等，那么只有富人才能拥有身份，这是反乌托邦的。

如果没有一种方法让普通公民在没有钱的情况下可靠地创造足够高的人格评分，那就是反乌托邦。

出于这个原因，优先考虑那些不会过滤掉没有财富的公民的验证机制可能很重要。跟踪系统中活跃的有钱人与穷人的数量可能很重要。这样的系统有:BrightID, 人性证明、生物识别系统。

原则3:串通

假设你已经设计了一个完美的抵御女巫攻击的身份识别系统。

或者是一个足够好的系统。一个足够好的IMO是TCF(伪造的总成本)大于系统中公民可利用奖励金额的系统。

所以一个足够好的抗女巫攻击身份识别系统是：

1. 有$3,000,000 的TCF和$2,999,999的匹配池。
2. 或者，在Passport由多个dapp实施的情况下，有300万的TCF，所有这些dapp的总经济机会为29999999美元。
3. 或者，可能DAOI决定它愿意接受10%的欺诈风险，所以当它有300万TCF时，它支持Passport生态系统中所有dapp的总经济机会为3299999美元。

在这种情况下，你仍然需要处理串通攻击。

真正足够好的系统应该是TCB(贿赂的总成本)+ TCF(伪造的总成本)大于系统中公民利用它所能获得的奖励。

原则4:需要建立系统的可防御性

关于权益证明和工作证明的设计，我发现最鼓舞人心的一点是，它们通过承认对手的存在+从根本上将系统的设计向可防御性和反脆弱性倾斜，从而发挥了很好的作用。无论是PoW还是PoS，它们都归结为一个简单的原则，即让系统的防御成本远远低于攻击成本。

1. 在PoW中，使用挖矿硬件挖下一个区块比尝试51%攻击网络更有利可图(风险也更小)。
2. 在PoS中，使用挖矿硬件挖下一个区块比尝试51%攻击网络更有利可图(风险也更小)。

这让我想到了以下标准:在Gitcoin Passport中，合法参与网络应该比攻击网络更有利可图(风险也更小)。

原则5:需要建立网络效应

如果你建立了最完美的抵御女巫攻击的生态系统，但没有人使用它呢?

这就是所谓的n边网络中的冷启动问题。

passport的飞轮可以这样发展:使用Gitcoin passport的用户越多，passport的TCF就越多，与之集成的dApps/stamp就越多，它提供的效用就越大，从而导致更多的用户使用它(循环往复)。

如何冷启动这个网络？使用Gitcoin Grants scale 。

如果配置正确——随着这个飞轮的旋转，由于网络基本上呈指数增长，TCF应该开始呈指数增长。下面是一个关于这种模式如何发展的例子：

原则6:通过模块化和可分叉性实现创新并防止捕获

我认为Gitcoin Passport最重要的一点是它的可分叉性。

随着时间的推移，人们可以围绕Gitcoin Passport建立一个冲压工具和评分算法的市场。这样一个丰富的生态系统是去中心化社会网络效应的基础。

可分叉性需要优秀的文档和优秀的devrel活动。

一个优秀的devrel活动能够在Passport协议之上实现去中心化的创新。它邀请来自世界各地的贡献者，并将Passport转变为解决女巫攻击和跨越社会距离的多元合作的谢林点，这种合作会随着时间的推移而变得更加强大。

一个伟大的devrel活动将使想要解决这个问题的人能够贡献他们的资源(编码技能，资本，反欺诈数据分析等)。

如果处理得当，这个模因谢林点甚至可以随着时间的推移，随着更多资源的加入而增加“引力”。

原则7:通过去中心化实现创新并防止捕获

随着Gitcoin逐渐去中心化，我认为它将从中心化转向基于协议的去中心化和模块化的代码库。

它将从社交软件转向信任软件。

• 社交软件——通过人际关系创造保证的机制，产生高额的社会协调成本
• 信任软件——通过技术创造保证的机制，产生较低的社会协调成本
• “通过使用区块链作为我们的底层保障机制，我们可以通过代码，而不是纯粹依赖人类协调的文档化原则来编纂组织治理。我们通过这样做最大限度地减少对人的信任，最大限度地提高对技术的信任，从而促进各方之间更大的信任。”

我认为Gitcoin的最终形态可能是超结构。超结构是可以免费永久运行的加密协议，不需要维护、中断或中介……中间的信任软件就是超结构(蓝色)。其余推动网络效应的东西只是人类在他们的激励机制中(紫色)在做理性的事情。在一个设计良好的系统中，这个超结构会根据网络效应而增长(右边)。

在权衡方面，我认为系统管理攻击能力的时间偏好是很有趣的。

协议的基础如何加固(因为它是信任软件)，同时又如何演变为持续存在的威胁(社交软件治理良好)?年度、季度、每周、每日或即时反馈在哪里整合？哪些地方需要对社交软件进行更多的管理监督，系统在哪些方面可以转向信任软件?在什么时间优先考虑？随着攻击者的发展，欺诈防御如何有效地发展，而不向攻击者提供信息?

这让我想到……

原则8:这个游戏的进化性质

Gall定律指出，所有有效的复杂系统都是从更简单的系统演变而来的。

对于Gitcoin Grants来说，简单的规则基本上就是二次融资的规则。

1. 资金不断被筹集到一个匹配的池中。
2. 在每个季度的2周内，将会有一场匹配活动，在匹配轮n1-x中，满足资格标准ec[n]的贡献将根据具有抗女巫身份机制i1-x的pairwse二次融资公式与匹配池m[n]中的资金进行匹配。
3. 每个季度, Gitcoin的治理结构会就如何发展这些规则和机制达成共识，并且不断发展。项目中的生态系统不断演变；想要获得匹配资金的对手也在进化。

这些简单的规则由以下Gitcoin Grants演变而来:

2019年第一季度第一轮-200(约)笔捐款-筹集了3.8万美元

(经济贡献图-第一轮-每个贡献是一条边+每笔赠款/用户是一个节点)

2022年6月第14轮-10万+捐款+500万美元的融资

红队和蓝队之间的新兴、迭代、进化、零和游戏

Gitcoin Grants的主要目标是资助公共产品。但如果你从某个角度来看，因为Gitcoin Grants需要抵御女巫攻击，所以每一轮Gitcoin Grants实际上都是一个用于测试数字原生女巫攻击抵御技术的巨大红/蓝队战斗演习。

我相信接受赠款轮方面的迭代、进化和零和性质是设计解决问题的可管理方式的关键。

Gitcoin的女巫攻击抵御能力会随着攻击者的发展而发展。我们必须将其视为一种进化游戏，并认识到生态系统是流动的，对手会来来去去(并可能变得更先进)。

第69轮会是什么样子？

IMO的使命是将建立这样一个系统:

1. 对多种类型的攻击具有抗脆弱性。
2. 保护隐私并尊重用户主权
3. 避免富豪统治/反乌托邦结果
4. 避免串通
5. 系统抗脆弱性，因为防御比攻击成本低。
6. 具有网络效应
7. 促成创新
8. 防止捕获
9. 接受这个问题的进化性质

责任编辑：Kate