Prueba de trabajo Argon2id explicada

Este artículo explica qué es Argon2id, cómo lo convierte Blocknet en una prueba de trabajo, por qué premia tener mucha memoria rápida y cómo seine saca el máximo de hashes de cada CPU en la que se ejecuta.

¿Qué es Argon2id?

El RFC 9106, publicado en 2021 por el Crypto Forum Research Group del IRTF, describe «la función intensiva en memoria Argon2 para el hash de contraseñas y aplicaciones de prueba de trabajo». Argon2 tiene tres variantes:

• Argon2d elige qué bloque anterior leer a partir de los datos que ya ha calculado. El RFC dice que es «adecuada para criptomonedas y aplicaciones de prueba de trabajo».
• Argon2i elige los bloques en un orden que no depende de los datos, lo que encaja con el hash de contraseñas.
• Argon2id «funciona como Argon2i durante la primera mitad de la primera pasada sobre la memoria y como Argon2d durante el resto». Es la variante principal: el RFC dice que toda implementación debe admitirla.

Por dentro, Argon2 trata la memoria como una larga serie de bloques de 1024 bytes. Cada bloque nuevo es la salida de una función de compresión G aplicada a dos entradas: el bloque inmediatamente anterior y un bloque de referencia situado antes en la memoria. G se basa en las rondas de mezcla de la función hash BLAKE2b, que trabajan sobre palabras de 64 bits con sumas, XOR y rotaciones.

¿Cómo usa Blocknet Argon2id como prueba de trabajo?

Blocknet fija todos los parámetros de Argon2id en su código de consenso, así que todos los mineros y todos los nodos calculan exactamente la misma función:

Minar es una búsqueda. Un minero toma la cabecera del bloque que quiere publicar, elige un nonce y calcula el hash de Argon2id. Si el resultado de 32 bytes, leído como número, queda igual o por debajo del objetivo de la red, el bloque es válido. Si no, el minero prueba el siguiente nonce.

El objetivo sale directamente de la dificultad: es (2^256 − 1) dividido entre la dificultad. Eso hace que la dificultad sea aproximadamente igual al número de hashes que se espera que calcule toda la red para encontrar un bloque. Blocknet busca un bloque cada cinco minutos, así que la tasa de hash de la red es aproximadamente la dificultad dividida entre 300 segundos. La propia dificultad sigue los tiempos de bloque recientes mediante una media móvil ponderada de 60 bloques.

Los pools funcionan igual con un objetivo más fácil. En bntpool.com, seine envía shares que cumplen una dificultad más baja por conexión, y cualquier share que además cumpla el objetivo de la red es un bloque encontrado.

¿Por qué la prueba de trabajo intensiva en memoria se adapta a las computadoras corrientes?

Los parámetros anteriores ponen la memoria en el centro de cada hash. Con una pasada y un carril, la segunda mitad de la pasada depende de los datos: la posición de la referencia de cada bloque se toma de la primera palabra de 64 bits del bloque calculado justo antes. Un minero no puede saber qué bloque anterior necesitará hasta el momento en que lo necesita, así que mantiene toda el área de 2 GiB en memoria.

Un minero podría intentar guardar menos bloques y recalcular los que falten cuando hagan falta. El RFC 9106 llama a esto compensaciones entre tiempo y memoria (time-memory trade-offs): ahorran memoria «a costa de más llamadas a la función de compresión interna». Cada bloque que se elimina del área hay que pagarlo de nuevo con cálculo adicional.

Eso es lo que hace que el diseño favorezca al hardware corriente. Las computadoras de escritorio, los portátiles y los servidores ya vienen con gigabytes de RAM y con controladores de memoria hechos para alimentarla. Un chip diseñado solo para calcular hashes seguiría necesitando gigabytes de memoria rápida junto a sus núcleos de hash. El primer ajuste recomendado por el RFC 9106 es Argon2id con una pasada sobre 2 GiB de memoria, el mismo número de pasadas y el mismo tamaño de memoria que usa Blocknet, y el RFC dice que ese ajuste «maximiza los costes del adversario en hardware dedicado de fuerza bruta». El código del daemon de Blocknet describe su elección como una prueba de trabajo intensiva en memoria «para resistir a los ASIC y garantizar una minería justa». Argon2id está diseñado para resistir a los ASIC, y el ajuste de 2 GiB pone ese diseño en práctica, de modo que la minería sigue abierta a las computadoras que la gente ya tiene. La guía sobre prueba de trabajo frente a prueba de participación explica cómo se compara esto con el staking.

¿Por qué la RAM y el ancho de banda de memoria deciden la tasa de hash?

La RAM fija el número de hilos. Paralelismo 1 significa que un hash se ejecuta en un hilo, y cada hilo necesita un área completa de 2 GiB para él solo. Un equipo con 16 GB puede ejecutar unos seis o siete hilos después de dejar espacio para el sistema. seine mide tu memoria, deja un 5% en reserva y elige el número de hilos por ti.

El ancho de banda y la latencia fijan la velocidad de cada hilo. Un hash crea 2.097.152 bloques nuevos, y cada uno lee un bloque de referencia de 1 KiB de algún punto del área. Eso supone unos 2 GiB escritos y unos 2 GiB leídos por cada hash. A 10 H/s, un equipo mueve unos 40 GiB de datos por la memoria cada segundo. En la mitad dependiente de los datos, cada dirección de lectura solo se conoce cuando el bloque anterior está terminado, así que el tiempo que tarda la memoria en responder cuenta tanto como el rendimiento bruto.

Por eso la página de rendimiento de seine dice que la tasa de hash «depende tanto del ancho de banda y la latencia de la memoria como del número de núcleos». La guía de hardware para minar Blocknet muestra el mejor resultado de cada generación de hardware.

Las huge pages ayudan por la misma razón. Un área de 2 GiB ocupa 524.288 páginas normales de 4 KiB, o 1024 páginas de 2 MiB. Menos páginas y más grandes significan menos fallos de traducción de direcciones en esas lecturas dispersas, lo que añadió alrededor de un 4–6% en el equipo de validación de seine. La guía de huge pages explica la configuración.

¿Cómo sacan los kernels de CPU de seine el máximo de Argon2id?

Un kernel es el bucle interno que calcula los bloques. Las compilaciones x86 de seine incluyen kernels escalar, AVX2 y AVX-512, además de una variante streaming, y sus compilaciones Arm incluyen NEON con una vía rápida SHA3. Cada uno aborda de forma distinta el trabajo limitado por la memoria:

• AVX2 y AVX-512 ejecutan las rondas de estilo BLAKE2b de G sobre muchas palabras de 64 bits a la vez en registros vectoriales anchos. AVX-512 tiene además instrucciones de rotación nativas, que esas rondas usan constantemente.
• El prefetching pide a la memoria los bloques de referencia antes de que hagan falta. En la primera mitad de la pasada, las direcciones se conocen de antemano, así que seine solicita los bloques con unos pasos de adelanto. En la segunda mitad, seine solicita el siguiente bloque de referencia en cuanto la primera palabra del bloque actual es definitiva, y el resto de la compresión se ejecuta mientras llegan los datos.
• Streaming mantiene los 64 bloques más recientes en un pequeño anillo en caché y escribe cada bloque terminado en el área de 2 GiB con escrituras streaming, que van directas a la memoria y dejan la caché libre para los bloques que el hash todavía necesita. seine lo compara automáticamente en los procesadores AMD EPYC Zen 5.
• NEON con SHA3 usa la instrucción XAR de la extensión SHA3 de Arm, que hace un XOR y una rotación en un solo paso, junto con una cobertura de prefetch más amplia.

En el hardware que probamos, el kernel adecuado marcó una gran diferencia. Son ejecuciones emparejadas en el mismo equipo con el mismo número de hilos, tomadas de la página de rendimiento de seine:

No tienes que elegir nada de esto. seine compara los kernels que admite tu CPU con trabajo de minería real, cambia solo tras dos mejoras confirmadas y guarda el ganador para el siguiente arranque. El mejor kernel depende del número de hilos, del tamaño de página y de la asignación de la CPU, y por eso seine mide en tu equipo en lugar de fijar una elección en el código.

Para poner a trabajar tu propia memoria, descarga seine, ejecútalo y pega tu dirección. La guía de minería explica el resto.