{"id":32343,"date":"2019-10-31T21:46:27","date_gmt":"2019-10-31T18:46:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne\/"},"modified":"2019-10-31T21:46:27","modified_gmt":"2019-10-31T18:46:27","slug":"cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne","title":{"rendered":"N\u00e1hodn\u00fd or\u00e1kul na z\u00e1klad\u011b digit\u00e1ln\u00edho podpisu v blockchainu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Od n\u00e1padu k realizaci: modifikujeme st\u00e1vaj\u00edc\u00ed sch\u00e9ma digit\u00e1ln\u00edho podpisu na eliptick\u00e9 k\u0159ivce, aby bylo deterministick\u00e9, a na jeho z\u00e1klad\u011b poskytujeme funkce pro z\u00edsk\u00e1v\u00e1n\u00ed ov\u011b\u0159iteln\u00fdch pseudon\u00e1hodn\u00fdch \u010d\u00edsel v r\u00e1mci blockchainu.<\/p>\n

<\/p>\n

\"N\u00e1hodn\u00fd<\/p>\n

<\/a><\/noindex><\/p>\n

N\u00e1pad<\/h1>\n

<\/p>\n

Na podzim 2018 byly v blockchainu Waves aktivov\u00e1ny prvn\u00ed smart kontrakty<\/a><\/noindex>, okam\u017eit\u011b se objevila ot\u00e1zka, zda je mo\u017en\u00e9 z\u00edskat pseudon\u00e1hodn\u00e1 \u010d\u00edsla<\/a><\/noindex>, kter\u00fdm lze d\u016fv\u011b\u0159ovat.<\/p>\n

<\/p>\n

Po p\u0159em\u00fd\u0161len\u00ed o t\u00e9to ot\u00e1zce jsem dosp\u011bl k z\u00e1v\u011bru: jak\u00fdkoliv blockchain je klec, d\u016fv\u011bryhodn\u00fd zdroj entropie v uzav\u0159en\u00e9m syst\u00e9mu nen\u00ed mo\u017en\u00e9 z\u00edskat.<\/p>\n

<\/p>\n

Ale jedna my\u0161lenka se mi p\u0159ece jen l\u00edbila: pokud n\u00e1hodn\u00fd oracle<\/a><\/noindex> bude generovat podpis u\u017eivatelsk\u00fdch dat pomoc\u00ed deterministick\u00e9ho algoritmu, pak si u\u017eivatel v\u017edy bude moci tento podpis ov\u011b\u0159it ve\u0159ejn\u00fdm kl\u00ed\u010dem a bude m\u00edt jistotu, \u017ee z\u00edskan\u00e1 hodnota je unik\u00e1tn\u00ed. Oracle nem\u016f\u017ee nic zm\u011bnit, algoritmus poskytuje jednozna\u010dn\u00fd v\u00fdsledek. V podstat\u011b si u\u017eivatel zafixuje v\u00fdsledek, ale nev\u00ed ho, dokud ho oracle nezve\u0159ejn\u00ed. Tak\u017ee vlastn\u011b nen\u00ed t\u0159eba oraklovi d\u016fv\u011b\u0159ovat, ale je mo\u017en\u00e9 ov\u011b\u0159it v\u00fdsledek jeho pr\u00e1ce. Pak, v p\u0159\u00edpad\u011b \u00fasp\u011b\u0161n\u00e9ho ov\u011b\u0159en\u00ed, lze takov\u00fd podpis pova\u017eovat za zdroj entropie pro pseudon\u00e1hodn\u00e9 \u010d\u00edslo.<\/p>\n

<\/p>\n

V blockchainov\u00e9 platform\u011b Waves se pou\u017e\u00edv\u00e1 podpisov\u00e9 sch\u00e9ma EdDSA<\/a><\/noindex> varianta Ed25519<\/a><\/noindex>. V tomto sch\u00e9matu se podpis skl\u00e1d\u00e1 z hodnot R a S, kde R z\u00e1vis\u00ed na n\u00e1hodn\u00e9 hodnot\u011b, a S se po\u010d\u00edt\u00e1 na z\u00e1klad\u011b podepisovan\u00e9 zpr\u00e1vy, soukrom\u00e9ho kl\u00ed\u010de a stejn\u00e9ho n\u00e1hodn\u00e9ho \u010d\u00edsla, kter\u00e9 je pou\u017eito pro R. To znamen\u00e1, \u017ee neexistuje jednozna\u010dn\u00e1 z\u00e1vislost, pro jednu a tut\u00e9\u017e u\u017eivatelskou zpr\u00e1vu existuje mnoho platn\u00fdch podpis\u016f.<\/p>\n

<\/p>\n

Je z\u0159ejm\u00e9, \u017ee takov\u00fd podpis v \u010dist\u00e9 podob\u011b nelze pou\u017e\u00edt jako zdroj pseudon\u00e1hodn\u00fdch \u010d\u00edsel, proto\u017ee je nedeterministick\u00fd a tud\u00ed\u017e m\u016f\u017ee b\u00fdt snadno manipulov\u00e1n oraclem.<\/p>\n

<\/p>\n

Ale jak se uk\u00e1zalo, je skute\u010dn\u011b mo\u017en\u00e9 u\u010dinit jej deterministick\u00fdm.<\/p>\n

<\/p>\n

M\u011bl jsem velk\u00e9 nad\u011bje na ov\u011b\u0159itelnou n\u00e1hodnou funkci (VRF)<\/a><\/noindex>, ale po prostudov\u00e1n\u00ed p\u0159edm\u011btu jsme se museli t\u00e9to variant\u011b vzd\u00e1t. A\u010dkoli VRF nab\u00edz\u00ed deterministickou variantu podpisu a jeho d\u016fkaz\u016f, v algoritmu se nach\u00e1z\u00ed podivn\u00e9 m\u00edsto, kter\u00e9 vytv\u00e1\u0159\u00ed \u010dernou d\u00edru pro manipulace or\u00e1kulem. Konkr\u00e9tn\u011b, p\u0159i v\u00fdpo\u010dtu hodnoty k (odd\u00edl 5.1<\/a><\/noindex>) se pou\u017e\u00edv\u00e1 tajn\u00fd kl\u00ed\u010d, kter\u00fd z\u016fst\u00e1v\u00e1 u\u017eivateli nezn\u00e1m\u00fd, co\u017e znamen\u00e1, \u017ee u\u017eivatel nem\u016f\u017ee zkontrolovat spr\u00e1vnost v\u00fdpo\u010dtu k. To znamen\u00e1, \u017ee or\u00e1kulum m\u016f\u017ee pou\u017e\u00edt jakoukoli pot\u0159ebnou hodnotu k a z\u00e1rove\u0148 v\u00e9st datab\u00e1zi shod k a podepisovan\u00fdch dat, aby v\u017edy mohlo znovu vypo\u010d\u00edtat spr\u00e1vn\u00fd v\u00fdsledek z pohledu VRF. Uvid\u00edte slosov\u00e1n\u00ed zalo\u017een\u00e9 na VRF bez odhalen\u00ed tajn\u00e9ho kl\u00ed\u010de, m\u016f\u017eete se pustit do intelektu\u00e1ln\u00ed debaty: uv\u00e9st nutnost bu\u010f odhalit kl\u00ed\u010d, nebo jej vylou\u010dit z v\u00fdpo\u010dtu k, jinak bude tajn\u00fd kl\u00ed\u010d automaticky odhalen p\u0159i prvn\u00edm podpisu. Jak u\u017e bylo \u0159e\u010deno, podivn\u00fd syst\u00e9m pro n\u00e1hodn\u00e9ho or\u00e1kula.<\/p>\n

<\/p>\n

Po trochu p\u0159em\u00fd\u0161len\u00ed a podpo\u0159e m\u00edstn\u00edch analytik\u016f se zrodil pl\u00e1n pr\u00e1ce VECRO.<\/p>\n

<\/p>\n

VECRO je zkratka pro Verifiable Elliptic Curve Random Oracle, co\u017e znamen\u00e1 ov\u011b\u0159iteln\u00fd n\u00e1hodn\u00fd or\u00e1kul na eliptick\u00fdch k\u0159ivk\u00e1ch.<\/p>\n

<\/p>\n

V\u0161echno se uk\u00e1zalo jako celkem jednoduch\u00e9, pro dosa\u017een\u00ed determinovanosti je pot\u0159eba fixovat hodnotu R p\u0159ed vznikem podepisovan\u00e9 zpr\u00e1vy. Pokud je R fixov\u00e1no a je sou\u010d\u00e1st\u00ed podepisovan\u00e9 zpr\u00e1vy, co\u017e nav\u00edc zaru\u010duje fixaci R v samotn\u00e9 podepisovan\u00e9 zpr\u00e1v\u011b, hodnota S je jednozna\u010dn\u011b ur\u010dena u\u017eivatelskou zpr\u00e1vou a tud\u00ed\u017e m\u016f\u017ee b\u00fdt pou\u017eita jako zdroj pro pseudon\u00e1hodn\u00e1 \u010d\u00edsla.<\/p>\n

<\/p>\n

V takov\u00e9m sch\u00e9matu nez\u00e1le\u017e\u00ed na tom, jak\u00fdm zp\u016fsobem je R fixov\u00e1no, to z\u016fst\u00e1v\u00e1 v odpov\u011bdnosti or\u00e1kula. D\u016fle\u017eit\u00e9 je, \u017ee S je jednozna\u010dn\u011b ur\u010deno u\u017eivatelsk\u00fdm vstupem, ale jeho hodnota nen\u00ed zn\u00e1ma, dokud ji or\u00e1kulum nepublikuje. P\u0159esn\u011b jak jsme cht\u011bli!<\/p>\n

<\/p>\n

Pokud jde o fixovan\u00e9 R, m\u011bjte na pam\u011bti, \u017ee opakovan\u011b pou\u017eit\u00e9 R<\/a><\/noindex> P\u0159i podepisov\u00e1n\u00ed r\u016fzn\u00fdch zpr\u00e1v jednozna\u010dn\u011b odhaluje priv\u00e1tn\u00ed kl\u00ed\u010d v sch\u00e9matu EdDSA. Pro vlastn\u00edka or\u00e1kula je nesm\u00edrn\u011b d\u016fle\u017eit\u00e9 vylou\u010dit mo\u017enost op\u011btovn\u00e9ho pou\u017eit\u00ed R pro podpis r\u016fzn\u00fdch zpr\u00e1v u\u017eivatele. To znamen\u00e1, \u017ee p\u0159i jak\u00fdchkoli manipulac\u00edch nebo dohod\u00e1ch or\u00e1kulum v\u017edy riskuje ztr\u00e1tu sv\u00e9ho priv\u00e1tn\u00edho kl\u00ed\u010de.<\/p>\n

<\/p>\n

Celkov\u011b by or\u00e1kulum m\u011blo u\u017eivatel\u016fm poskytovat dv\u011b funkce: inicializaci, kter\u00e1 zafixuje hodnotu R, a podpis, kter\u00fd vrac\u00ed hodnotu S. P\u0159itom p\u00e1r R, S je b\u011b\u017en\u00fdm ov\u011b\u0159iteln\u00fdm podpisem u\u017eivatelsk\u00e9 zpr\u00e1vy obsahuj\u00edc\u00ed fixn\u00ed hodnotu R a libovoln\u00e9 \u00fadaje u\u017eivatele.<\/p>\n

<\/p>\n

Lze nam\u00edtnout, \u017ee toto sch\u00e9ma pro blockchain nen\u00ed nic jin\u00e9ho ne\u017e b\u011b\u017en\u00e9 sch\u00e9ma commit-reveal<\/a><\/noindex>. V podstat\u011b, ano, je to ono. Ale existuje n\u011bkolik nuanc\u00ed. Za prv\u00e9, or\u00e1kulum v\u017edy pracuje se stejn\u00fdm kl\u00ed\u010dem ve v\u0161ech operac\u00edch, nap\u0159\u00edklad je to pohodln\u00e9 pou\u017e\u00edvat v kontraktech. Za druh\u00e9, existuje riziko ztr\u00e1ty priv\u00e1tn\u00edho kl\u00ed\u010de or\u00e1kulem p\u0159i nespr\u00e1vn\u00e9m chov\u00e1n\u00ed, nap\u0159\u00edklad or\u00e1kulum umo\u017e\u0148uje prov\u00e1d\u011bt vzorky v\u00fdsledku, pak sta\u010d\u00ed prov\u00e9st pouh\u00e9 dva vzorky, aby se zjistil priv\u00e1tn\u00ed kl\u00ed\u010d a z\u00edskal pln\u00fd p\u0159\u00edstup k pen\u011b\u017eence. Za t\u0159et\u00ed, nativn\u011b ov\u011b\u0159iteln\u00fd podpis v blockchainu, kter\u00fd je zdrojem n\u00e1hody \u2014 to je hezk\u00e9.<\/p>\n

<\/p>\n

P\u016fl roku se my\u0161lenka realizace vyv\u00edjela v hlav\u011b, dokud kone\u010dn\u011b nep\u0159i\u0161la motivace v podob\u011b grantu od Waves Labs<\/a><\/noindex>. S velk\u00fdm grantem p\u0159ich\u00e1z\u00ed velk\u00e1 odpov\u011bdnost, znamen\u00e1 to, \u017ee projekt m\u00e1 b\u00fdt!<\/p>\n

<\/p>\n

Implementace<\/h1>\n

<\/p>\n

Tak\u017ee v tomto projektu byl VECRO realizov\u00e1n<\/a><\/noindex> na blockchainu Waves v re\u017eimu dotaz-odpov\u011b\u010f pomoc\u00ed transakc\u00ed transferu mezi u\u017eivatelem a or\u00e1kulem. P\u0159itom na \u00fa\u010dtu or\u00e1kula je nastaven skript, kter\u00fd kontroluje pr\u00e1ci striktn\u011b v souladu s v\u00fd\u0161e popsanou logikou. Transakce or\u00e1kula proch\u00e1zej\u00ed kontrolou s obnovov\u00e1n\u00edm cel\u00e9 \u0159et\u011bzu interakce s u\u017eivatelem. V kontrole fin\u00e1ln\u00ed hodnoty se \u00fa\u010dastn\u00ed v\u0161echny \u010dty\u0159i transakce, chytr\u00fd kontrakt je pr\u016fb\u011b\u017en\u011b zaji\u0161\u0165uje na p\u0159\u00edsn\u00e9 kontroln\u00ed nitce, krok za krokem ov\u011b\u0159uje v\u0161echny hodnoty a nenech\u00e1v\u00e1 m\u00edsto pro jak\u00e9koli manipulace.<\/p>\n

<\/p>\n

Je\u0161t\u011b jednou, aby to l\u00e9pe zapadlo a bylo jasn\u011bj\u0161\u00ed. Or\u00e1kulum nepracuje pouze podle navrhovan\u00e9ho sch\u00e9matu. Jeho \u010dinnost je pln\u011b kontrolov\u00e1na na \u00farovni blockchainu. napevno smart kontraktem<\/a><\/noindex>. Krok vlevo a transakce prost\u011b neprojde. Tak\u017ee pokud transakce skon\u010dila v blockchainu, u\u017eivatel ani nemus\u00ed nic kontrolovat, za n\u011bj to u\u017e ov\u011b\u0159ilo stovky uzl\u016f s\u00edt\u011b.<\/p>\n

<\/p>\n

V sou\u010dasnosti je v hlavn\u00ed s\u00edti Waves spu\u0161t\u011bn jeden VECRO (m\u016f\u017eete spustit sv\u016fj, nen\u00ed to slo\u017eit\u00e9, sta\u010d\u00ed se pod\u00edvat na uk\u00e1zku konfigurace<\/a><\/noindex>). Aktu\u00e1ln\u00ed k\u00f3d b\u011b\u017e\u00ed na PHP (na WavesKit<\/a><\/noindex>, o kter\u00e9m jsem hovo\u0159il d\u0159\u00edve.<\/a><\/noindex>).<\/p>\n

<\/p>\n

Abyste mohli vyu\u017e\u00edt slu\u017ebu oracle, je nutn\u00e9:<\/p>\n

<\/p>\n