Qu’est-ce que la preuve de travail ?

La preuve de travail (proof of work, PoW) est une catégorie de mécanisme de consensus qui protège une blockchain par le coût du calcul. Les participants doivent calculer de façon répétée jusqu’à trouver un résultat conforme à l’exigence du protocole pour avoir la possibilité de publier un nouveau bloc, tandis que les autres nœuds peuvent vérifier ce résultat très rapidement.

L’objectif n’est pas de faire résoudre les transactions par des ordinateurs, mais d’attacher à la proposition d’un bloc un coût public et mesurable. Trouver un résultat conforme demande généralement un très grand nombre d’essais ; le vérifier est simple. Grâce à cette asymétrie, les nœuds peuvent calculer un score de travail cumulé pour une portion d’historique à partir des preuves contenues dans ses blocs. Un attaquant qui voudrait remplacer cet historique devrait refaire le travail correspondant et rattraper le réseau.

Le problème auquel répond la preuve de travail

Un réseau ouvert ne peut pas décider qui tient le registre selon le principe « une voix par participant », car une même personne peut créer un nombre illimité d’identités. La preuve de travail ne compte pas les identités : elle demande à qui veut concourir de soumettre un résultat de calcul vérifiable. Créer davantage d’identités n’améliore pas en soi les chances de succès ; une puissance de calcul plus élevée — c’est-à-dire la capacité d’effectuer davantage d’essais de hachage par unité de temps — augmente en revanche la probabilité de trouver un résultat.

Ce calcul aide le réseau à traiter deux questions à la fois : qui obtient l’occasion de publier un bloc candidat, et quel historique les nœuds continuent d’utiliser lorsque plusieurs branches valides apparaissent en même temps. Dans les réseaux à preuve de travail comme Bitcoin, les nœuds comparent le travail cumulé par chaque branche, et non simplement le nombre de blocs qu’elle contient.

La preuve de travail ne remplace pas la validation des transactions. Celui qui trouve un résultat conforme peut seulement proposer un bloc candidat, sans pouvoir modifier les règles du protocole. Chaque nœud de validation complet vérifie toujours de façon indépendante les signatures des transactions, l’absence de double dépense, le format du bloc et la preuve de travail elle-même. Un bloc non conforme est rejeté, même si de la puissance de calcul y a été consacrée.

Du bloc candidat à la confirmation par le réseau

Les réseaux à preuve de travail diffèrent par leurs algorithmes et leurs paramètres, mais le processus de base se découpe en plusieurs étapes.

Assembler un bloc candidat

Les participants qui concourent à la production de blocs sont généralement appelés mineurs. Un mineur choisit du contenu parmi les transactions non encore confirmées, assemble un bloc candidat conformément au protocole et prépare l’en-tête de bloc et les autres données qui entreront dans le calcul du hachage. Un mineur peut décider quelles transactions valides inclure et dans quel ordre, mais ne peut pas rendre valide une transaction invalide.

Multiplier les essais de hachage

Une fonction de hachage cryptographique transforme une entrée en un résultat de longueur fixe. Le mineur modifie le nonce — une valeur servant aux essais répétés — ou un autre champ variable du bloc, et recalcule le hachage encore et encore jusqu’à ce que le résultat satisfasse la condition de cible fixée par le protocole.

Tant que la fonction de hachage employée par le protocole n’a pas de cassure connue et exploitable, il n’existe pas de raccourci fiable vers un résultat conforme. La réussite d’un essai donné est difficile à prévoir : une puissance de calcul plus élevée signifie donc davantage d’essais par unité de temps et une probabilité plus forte de trouver un résultat conforme en premier. Un participant disposant de moins de puissance peut malgré tout réussir avant les autres : l’attribution d’un bloc donné n’est pas déterminée à l’avance.

Diffuser et valider le bloc

Lorsqu’un mineur trouve un résultat conforme, il diffuse le bloc sur le réseau. Le nœud qui le reçoit n’a pas besoin de refaire tous les essais du mineur : il calcule et vérifie uniquement si le résultat satisfait la condition de cible, et contrôle que le bloc et ses transactions respectent les autres règles.

Seuls les nœuds qui achèvent cette validation continuent de relayer et de traiter le bloc comme un candidat valide. La distinction est importante : le minage concourt pour proposer un bloc, la validation par les nœuds décide si un bloc peut être accepté.

Poursuivre sur la branche au travail cumulé le plus élevé

Deux mineurs peuvent publier à peu près en même temps des blocs différents mais tous deux valides, ce qui laisse temporairement le réseau avec des branches. Les nœuds appliquent la règle de sélection de chaîne du protocole pour décider sur quelle branche continuer. Par exemple, les nœuds Bitcoin sélectionnent la chaîne valide au travail cumulé le plus élevé ; à mesure que du travail s’ajoute, une branche prend généralement l’avantage et l’autre est abandonnée.

Les transactions qui se trouvaient dans la branche abandonnée ne disparaissent pas automatiquement. Si une transaction reste valide, elle peut revenir à l’état en attente et être incluse plus tard dans un autre bloc. Si elle entre en conflit avec une transaction de la branche retenue, elle ne prendra plus effet.

Cible, difficulté, puissance de calcul et travail cumulé

Quatre notions concentrent l’essentiel des confusions autour de la preuve de travail.

La cible est le seuil numérique qu’un hachage conforme doit satisfaire. Dans la forme courante « la valeur du hachage doit être inférieure ou égale à la cible », plus la cible est basse, moins de résultats sont conformes et plus il faut d’essais en moyenne.

La difficulté est une autre manière d’exprimer à quel point il est difficile de trouver un résultat conforme. Une difficulté plus élevée correspond normalement à une cible plus stricte. De nombreux réseaux à preuve de travail ajustent périodiquement la difficulté afin que la cadence moyenne de production des blocs reste à peu près conforme à l’intention du protocole malgré les variations de la puissance totale. La méthode et la période d’ajustement sont propres à chaque réseau.

La puissance de calcul, ou taux de hachage, indique combien d’essais de hachage peuvent être effectués par unité de temps. Elle reflète l’investissement en calcul. Elle n’indique pas combien de nœuds un mineur contrôle, et ne se confond pas avec le travail déjà cumulé. Pour choisir entre des branches, les nœuds s’appuient sur le travail prouvé par les blocs, non sur des estimations de puissance instantanée.

Le travail cumulé est la somme des scores de travail que le protocole déduit de la cible ou de la difficulté de chaque bloc valide. Ce score représente le nombre d’essais de hachage que la production de cet historique est censée demander en moyenne. Il ne mesure pas directement le nombre d’échecs réels des mineurs, leur consommation d’électricité ou leur taux de hachage instantané. Les nœuds peuvent le calculer de façon indépendante à partir des données des blocs : ils n’ont donc pas à croire les coûts déclarés par les mineurs.

La confirmation est probabiliste

La preuve de travail offre généralement une confirmation probabiliste, et ne rend pas un nouveau bloc définitivement immuable dès son apparition. À mesure que des blocs s’ajoutent après celui qui contient une transaction, le travail nécessaire pour remplacer l’historique abritant cette transaction augmente ; la probabilité d’être affecté par une réorganisation de chaîne — lorsqu’une branche récemment retenue est remplacée par une autre — diminue donc normalement.

« Attendre quelques confirmations suffit » n’a pas de réponse fixe valable partout. Cela dépend de la répartition de la puissance de calcul, de la cadence de production des blocs, de la valeur de la transaction, du risque que le bénéficiaire peut absorber, et de l’existence d’une coupure réseau ou d’un embranchement anormal. Le nombre de confirmations affiché par un portefeuille ou une plateforme indique seulement combien de blocs ont suivi la transaction ; ce n’est pas une garantie inconditionnelle.

Une réorganisation de chaîne ne signifie pas nécessairement qu’une attaque a eu lieu. La latence du réseau peut amener des mineurs honnêtes à travailler un moment sur des blocs différents, le conflit étant ensuite résolu par la branche au travail cumulé le plus élevé. Plus une réorganisation porte sur des blocs récents nombreux, plus elle est rare — et plus ses effets méritent attention.

Ce que permet une majorité de puissance de calcul

Si un participant, ou un groupe agissant de concert, contrôle durablement une puissance de calcul effective suffisante, il peut étendre sa propre branche plus vite que le reste du réseau. Ce type d’attaque par puissance majoritaire est souvent appelé attaque à 51 %, mais « 51 % » n’est qu’une étiquette commode : la réussite effective dépend aussi de la durée, des conditions du réseau et de l’objectif poursuivi.

Un mineur disposant de cet avantage pourrait tenter d’exclure ou de retarder certaines transactions, de réorganiser des blocs récents, ou de payer quelqu’un puis d’annuler son propre paiement via une autre branche, ce qui constitue une double dépense. Il peut aussi empêcher les blocs d’autres mineurs d’entrer dans la branche finalement retenue.

Mais un avantage de puissance n’est pas un droit de réécrire le registre à volonté. Un attaquant ne peut pas produire la signature valide d’autrui à partir de rien, ne peut pas dépenser des actifs dont il ne contrôle pas les clés, et ne peut pas faire accepter par des nœuds de validation honnêtes des blocs qui violent les règles d’émission ou de validation des transactions. La preuve de travail tranche la concurrence entre historiques valides ; elle ne désactive pas les règles de validité.

Les récompenses de minage ne sont pas la preuve de travail

De nombreux réseaux publics récompensent le producteur d’un bloc par des actifs nouvellement émis et des frais de transaction, ce qui compense les coûts de matériel, d’électricité et d’exploitation. Ces récompenses donnent aux mineurs une raison de participer, mais leur forme ne définit pas la preuve de travail.

La preuve de travail décrit la façon de soumettre un calcul vérifiable, de concourir pour proposer des blocs et de comparer des historiques. Les subventions de bloc, les frais de transaction, les plafonds d’émission et la réduction des récompenses relèvent des règles économiques propres à chaque réseau. Le revenu total que les mineurs tirent de la subvention et des frais est souvent appelé budget de sécurité du réseau, car il soutient leur investissement continu en puissance de calcul. Ces règles de revenu influent sur les conditions de sécurité de la preuve de travail, mais ne se confondent pas avec le mécanisme de consensus.

Un pool de minage n’est pas non plus un nouveau mécanisme de consensus. Un pool regroupe la puissance de plusieurs participants pour miner de façon coopérative et répartit les gains selon un accord. Il peut réduire la variabilité du revenu d’un participant individuel. Mais lorsqu’une large part de la puissance dépend d’un petit nombre d’opérateurs de pools, leurs pannes, leur filtrage des transactions ou un comportement concerté touchent davantage de participants.

Coûts et compromis

La preuve de travail introduit des coûts de ressources réels dans un réseau numérique. Un attaquant qui veut continuer à rattraper le réseau honnête doit généralement engager du matériel, de l’électricité et des moyens d’exploitation, et les mineurs honnêtes supportent les mêmes catégories de coûts. Ces coûts fixent un seuil économique à la réécriture de l’historique et au maintien d’un avantage sur les mineurs honnêtes : ils font partie du modèle de sécurité de la preuve de travail. La sécurité d’ensemble dépend encore de la validation correcte par les nœuds, de la répartition de la puissance, de la connectivité du réseau, de la fonction de hachage et des implémentations logicielles.

Cela crée aussi des compromis nets :

• Coûts d’énergie et de matériel : un grand nombre d’essais de hachage consomme de l’électricité et requiert du matériel spécialisé ou à hautes performances. Le mix énergétique réel et l’impact en émissions dépendent de la région, du matériel, de l’origine de la charge et de la méthode de mesure.
• Concentration de la puissance : l’échelle, l’électricité peu coûteuse, l’approvisionnement en puces et l’exploitation de pools peuvent concentrer la puissance entre quelques participants.
• Attente des confirmations : une confirmation probabiliste demande du temps pour s’accumuler, et un seul bloc ne peut pas être traité comme un règlement absolu.
• Évolution du budget de sécurité : lorsque les subventions de bloc diminuent, ou que le prix des actifs et les revenus de frais varient, le revenu des mineurs et la puissance totale du réseau peuvent évoluer en conséquence.
• Coordination des mises à niveau : la puissance de calcul peut influer sur la production de blocs et la concurrence entre branches, mais les mises à niveau du protocole dépendent encore de la façon dont les logiciels, les nœuds, les mineurs, les utilisateurs et les autres participants adoptent les règles.

La consommation d’énergie ne se résume pas non plus à « chaque transaction consomme nécessairement tant d’électricité » en divisant par un nombre de transactions. Les mineurs concourent pour des blocs, et le nombre de transactions qu’un bloc peut contenir, le fait qu’il agrège ou non des données de règlement par lots soumises par d’autres systèmes, et l’apparition de blocs vides dépendent du système concerné et de son usage. Pour évaluer l’impact énergétique, il faut préciser si l’on parle de la consommation totale du réseau, d’une unité de temps, d’un bloc, ou de l’effet marginal d’une catégorie de transactions.

Comparaison avec d’autres mécanismes de consensus

La preuve de travail limite la concurrence pour produire des blocs au moyen de ressources de calcul externes. La preuve d’enjeu fait généralement participer aux propositions et aux votes des validateurs qui immobilisent l’actif du protocole, en encadrant les comportements par des récompenses ou des pénalités. Un réseau permissionné peut simplement désigner les institutions ou les nœuds autorisés à participer au consensus.

Tous ces mécanismes doivent définir qui peut proposer des données, comment les autres nœuds les valident, quel résultat est retenu en cas de conflit, et à partir de quand une transaction peut être considérée comme suffisamment établie. Ils diffèrent par la ressource qui limite l’influence, par les participants supposés susceptibles de tricher et par la partie qui supporte le coût de la sécurité.

Un mécanisme ne peut donc pas être jugé sûr ou adapté sur la seule question de sa consommation électrique. La comparaison doit aussi porter sur qui peut participer, quel matériel ou quel actif immobilisé est nécessaire, si l’influence se concentre, comment les transactions sont confirmées, si une reprise après attaque est possible, comment les nœuds contrôlent les données et qui met à jour les règles.

FAQ

La preuve de travail, c’est la même chose que le minage ?

Pas exactement. Le minage est le processus par lequel des participants calculent et concourent pour proposer des blocs ; la preuve de travail couvre aussi la façon dont les autres nœuds valident le résultat du calcul et dont le réseau compare plusieurs historiques valides. Les deux termes sont souvent associés dans le langage courant, mais leur portée diffère.

Les mineurs calculent-ils les transactions ?

Non. Les mineurs hachent surtout de façon répétée des données liées au bloc, à la recherche d’un résultat conforme à la cible. L’exécution des transactions et les contrôles de validité relèvent d’un autre ensemble de règles du protocole.

Le mineur le plus puissant produit-il toujours le bloc suivant ?

Pas nécessairement. Une puissance plus élevée permet davantage d’essais sur une même période, donc une probabilité plus forte, mais chaque tour de compétition garde une part d’aléa. Les résultats à long terme se rapprochent davantage de la part de puissance de chacun.

La preuve de travail empêche-t-elle toutes les doubles dépenses ?

Non. Elle augmente le coût d’une réorganisation de l’historique grâce au travail cumulé, et le risque diminue normalement avec les confirmations, mais une double dépense reste possible lorsque la puissance est concentrée, que les confirmations sont insuffisantes ou que le réseau se comporte anormalement.

Toutes les blockchains utilisent-elles la preuve de travail ?

Non. Certains réseaux utilisent la preuve d’enjeu, un vote permissionné ou d’autres mécanismes. Un même réseau peut aussi changer de mécanisme de consensus par une mise à niveau du protocole.

Concepts associés

Poursuis avec mécanisme de consensus, bloc, nœud de blockchain et hachage cryptographique, ou reviens au glossaire des cryptomonnaies.

Sources

• Livre blanc de Bitcoin — exposé d’origine sur la preuve de travail, la concurrence entre branches, le travail cumulé et la probabilité de confirmation.
• Guide du développeur Bitcoin : chaîne de blocs — hachage de l’en-tête de bloc, cible, ajustement de difficulté, travail cumulé et réorganisation de chaîne.
• Bitcoin.org : FAQ — limites des pouvoirs des mineurs, confirmations, attaques par puissance de calcul et incitations au minage.
• NISTIR 8202 : présentation de la technologie blockchain — déroulement général de la preuve de travail, rôle dans le consensus et compromis de ressources.