Monero konfidentsiaalsed tehingud, või kuidas edastada teadmata asju teadmata sihtkohtadesse.

Jätkame meie tsüklit Monero blockchain'i ülesehituse teemal, ja tänane artikkel keskendub RingCT (Ring Confidential Transactions) protokollile, milles tutvustatakse konfidentsiaalseid tehinguid ja uusi rõngassigneeringuid. Kahjuks on internetis vähe teavet selle toimimise kohta, ning oleme proovinud seda puudust täita.

Räägime sellest, kuidas see protokoll varjab ülekannete summasid, miks on loobutud klassikalistest cryptonote rõngassigneeringutest ja kuidas tehnoloogia tulevikus areneb.

Kuna see protokoll on üks Monero keerukamaid tehnoloogiaid, vajab lugeja põhiteadmisi selle blockchain'i ülesehitusest ja pindmist teadlikkust elliptsete kõverate krüptograafiast (et oma teadmisi värskendada, võib lugeda meie eelmise artikli esimesi peatükke) mitme allkirja kohta).

RingCT protokoll

Üks võimalikke rünnakuid cryptonote valuutade vastu on blokiketi analüüs, mis põhineb saadetud tehingu summal ja ajas. See võimaldab oluliselt kitsendada huvides oleva väljundite otsimise ala. Sellel analüüsile vastupanu saavutamiseks on Moneros rakendatud anonüümsete tehingute protokoll, mis varjab täielikult ülekannete summasid võrgus.

Tuleb märkida, et summa varjamise idee ei ole uus. Üks esimesi, kes seda kirjeldas, oli Bitcoin Core'i arendaja Greg Maxwell oma artiklis Confidential Transactions.Praegune RingCT rakendus on selle modifikatsioon koos ringallkirjade kasutamise võimalusega (kuidas siis ilma neist), ja seetõttu on see saanud oma nime – Ring Confidential Transactions.

Pealegi aitab protokoll vabaneda mustade väljundite segamisprobleemidest – väikeste summade väljunditest (mis tavaliselt tekivad tehingute vahetasudena), mis põhjustasid rohkem probleeme kui neid väärt.

2017. aasta jaanuaris toimus Monero võrgus hard fork, mis võimaldas konfidentsiaalsete tehingute valikulist kasutamist. Juba sama aasta septembris sai versiooni 6 hard forkist selline tehingute tüüp vaid ainukeseks lubatud vormiks võrgus.

RingCT kasutab mitmeid mehhanisme: mitmekihilised seotud spontaansed anonüümsed grupiallarid (Multilayered Linkable Spontaneous Anonymous Group Signature, edaspidi – MLSAG), kohustuste skeem (Pedersen Commitments) ja vahemiku tõendid (sellel terminil ei ole kindlat tõlget).

RingCT protokoll toob kahte tüüpi anonüümseid tehinguid: simple ja full. Esimene genereerib rahakott, kui tehing kasutab rohkem kui ühte sisendit, teine — vastupidises olukorras. Need erinevad tehingusummade valideerimise ja allkirjastatavate MLSAG-allkirjade andmete poolest (räägime sellest lähemalt hiljem). Tüüpi full tehingute genereerimine on võimalik mistahes sisendite arvuga, põhimõtteliselt pole vahet. Raamat „Zero to Monero“ sel teemal ütleb, et otsus piirata full tehingud ühe sisendiga tehti kiiruga ja tulevikus võib see muutuda.

MLSAG-allkiri

Korratakse, mis kujutavad endast allkirjastatavad tehingu sisendid. Iga tehing kulutab teatud vahendeid ja genereerib. Vahendite genereerimine toimub tehingu väljundite loomise kaudu (otse analoogia — rahatähed), ja väljund, mida tehing kulutab (sest tegelikus elus kulutame me just rahakäsi), muutub sisendiks (ole ettevaatlik, siin on väga kerge segadusse minna).

Sisend viitab mitmele väljundile, kuid kulutab vaid ühe, luues seeläbi „suitsuvahu“, et raskendada ülekannete ajaloo analüüsi. Kui tehingul on rohkem kui üks sisend, saab sellist struktuuri kujutada maatriksina, kus read on sisendid ja veerud — segatud väljundid. Et tõestada võrgule, et tehing kulutab tõeliselt oma väljundeid (teab nende salajasi võtmeid), allkirjastavad sisendid ringallkirjaga. Selline allkiri garanteerib, et allkirjastajal oleks teada salajased võtmed kõigi mingi veeru elementide kohta.

Konfidentsiaalsed tehingud ei kasuta enam traditsioonilisi cryptonote ringallkirju, nende asemel on tulnud MLSAG — mitme sisendi jaoks kohandatud analoogne ühekihiliste ringallkirjade versioon, LSAG.

Nimetatakse multi-kihilisteks, kuna nad allkirjastavad kohe mitu sisendit, millest igaüks on segatud mitme teisega, st allkirjastatakse maatriks, mitte ainult üks rida. Nagu me hiljem näeme, aitab see kokku hoida allkirja suuruses.

Vaadakem, kuidas ringallkiri moodustatakse, võttes näiteks tehingu, mis kasutab 2 reaalset väljundit ja segab kasutamiseks m — 1 juhuslikku blokiahelast. Märgime välja, mida me kulutame, kui
, ja nende vastavad key images: Nii et, meil on tulemuseks maatriks suurusega 2 x m. Esiteks peame arvutama nii nimetatud challenge'id iga väljundi paari jaoks:

Arvutused alustame väljunditega, mille avalikke võtmeid me kasutame:ja juhuslikud numbridTulemusena saame väärtused:
, mida kasutame challenge'i arvutamiseks
järgmise väljundi paari jaoks (et oleks lihtsam aru saada, kuhu mis pannakse, oleme need väärtused esile tõstnud erinevate värvidega). Kõik järgmised väärtused arvutatakse ringis vastavalt esimeses illustreerimises toodud valemitele. Viimasena arvutatakse challenge reaalse väljundi paari jaoks.

Kuidas me näeme, kasutatakse kõigis veergudes, välja arvatud reaalseid väljundeid sisaldavas veerus, juhuslikult genereeritud numbreid. Üheks võimaluseks on see, et seda montaaž on eraldi osasse, mis on kirjutamiseks kergesti kätessäadav, samas kui enda π-ndas veerus need meil ka vajalikud. Muudames:ks:
Allkiri on kõigi nende väärtuste tuple:

Seejärel kirjutatakse need andmed tehingusse.

Kuidas me näeme, sisaldab MLSAG ainult ühte challenge'it c0, mis võimaldab kokkuhoidu allkirja suuruses (mis juba nõuab palju ruumi). Edasi iga kontrollija, kasutades andmeid, taastab väärtused c1,…, cm ja kontrollib, et. Nii et meie ring on suletud ja allkiri läbis kontrolli.

Full RingCT tehingute puhul lisatakse maatriksile veel üks rida segatud väljunditega, kuid sellest räägime hiljem.

Pederseni kohustused

Kohustuste skeemid (tihti kasutatakse ingliskeelset terminit — commitments) on mõeldud selleks, et üks pool saaks tõestada, et ta teab mingit saladust (numbrist), paljastamata seda tegelikult. Näiteks viskate täringul mingit arvu, arvutate kohustuse ja edastate selle kontrollivale poolele. Nii, saladusliku numbri paljastamise hetkel arvestab kontrollija iseseisvalt kohustuse, veendudes seeläbi, et te ei petnud teda.

Moneros kasutatakse kohustusi ülekannete summade varjamiseks ja rakendatakse kõige laialdasemalt levinud varianti — Pederseni kohustusi. Muide, huvitav fakt — algselt pakkusid arendajad välja summa varjamise tavapärase segamise teel, lisades väljundeid juhuslike summadega, et tekitada ebakindlust, kuid seejärel läksid nad üle kohustustele (mille tulemusena ei pruugi nad siiski tehingu suuruses kokku hoida, nagu näeme hiljem).
Üldiselt näeb kohustus välja järgmiselt:
Kus C — kohustuse väärtus, a — varjatav summa, H — fikseeritud punkt elliptilisel kõveral (täiendav generaator), x — mingisugune suvaline mask, peitev tegur, mis genereeritakse juhuslikult. Mask on siin vajalik, et kolmas osapool ei saaks lihtsa katsega väärtust commitment välja selgitada.

Uue väljundi genereerimisel arvutab rahakott selle jaoks commitment'i, ning kulutamise korral võtab kas genereerimise ajal arvutatud väärtuse või arvutab selle uuesti — sõltuvalt tehingu tüübist.

RingCT simple

Simple RingCT tehingute puhul, et tagada, et tehing on loonud väljundid, mille summa on võrdne sissetulekute summaga (ei ole mingit raha õhust tekkinud), peab esimeste ja teise commitments'e summa olema sama, see tähendab:

Komisjonitasusid arvutatakse veidi teisiti — ilma maskita:
, kus a — komisjonitasu summa, see on avalikult kergesti kättesaadav.

Selline lähenemine võimaldab tõestada kontrollijale, et me kasutame samu summasid, neid avaldamata.

Et kõik oleks selgem, vaatame näidet. Oletame, et tehing kasutab kahte väljundit (st need muutuvad sissetulekuteks) summas 10 ja 5 XMR ning genereerib kolm väljundit kogusummas 12 XMR: 3, 4 ja 5 XMR. Selle eest tasub ta komisjonitasu 3 XMR. Seega kulutatud raha summa pluss genereeritud summa ja komisjonitasu kokku on 15 XMR. Proovime arvutada commitments'e ja vaatame nende summade erinevust (korrake matemaatikat):

Siin me näeme, et tasakaalu saavutamiseks peavad sisse- ja väljundite maskide summad olema ühesugused. Selleks genereerib rahakott juhuslikult x1, y1, y2 ja y3, ning ülejäänud x2 arvutab nii:

Kasutades neid maske, saame tõestada igale kontrollijale, et me ei generi rohkem vahendeid, kui me kulutame, summasid avaldamata. Algne, eks?

RingCT full

Full RingCT tehingute puhul toimub summade kontrollimise protsess veidi keerukamalt. Nendes tehingutes ei arvuta rahakott sissetulekute jaoks commitments'e uuesti, vaid kasutab neid, mis on genereerimise ajal arvutatud. Arvestama peab, et summa erinevus ei ole enam null, vaid selle asemel:

Siin z — sissetulekute ja väljundite maskide erinevus. Kui vaadata zG nagu avaliku võtme (millega ta de jure on), siis z — see on privaatvõti. Nii teame me avalikku ja sellele vastavat privaatvõtit. Olles need andmed, saame neid kasutada MLSAG ringallkirjas koos segatud väljundite avalike võtmetega:

Seega garanteerib kehtiv ringallkiri, et me teame kõiki privaatvõtmeid ühe veeru kohta, samas kui viimane rida privaatvõtme saame teada ainult juhul, kui tehing ei genereeri vahendeid rohkem, kui kulutab. Ühest küljest, siin on ka vastus küsimusele „miks summeerimise erinevused ei vii nullini“ — kui zG = 0, siis paljastame veeru tegelike väljunditega.

Aga kuidas saaja teab, kui palju raha talle saadeti? Siin on kõik lihtne — tehingu saatja ja saaja vahetavad võtmeid Diffie-Hellmani protokolli kaudu, kasutades tehinguvõtit ja saaja vaatamisvõtit ning arvutavad ühise salajase. Saatja kirjutab tehingu spetsiaalsetesse väljakutesse summad välja, mis on krüpteeritud selle ühise võtmega.

Range proofs

Aga mis juhtub, kui kasutame summa tõendustes negatiivset numbrit? See võib viia täiendavate müntide genereerimiseni! Selline tulemus on vastuvõetamatu, seega on vajalik tagada, et meie kasutatavad summad pole negatiivsed (ilma nende summade avalikustamiseta, loomulikult, vastasel juhul oleks kogu vaev asjata). Teisisõnu, peame tõendama, et summa jääb vahemikku [0, 2n — 1].

Selleks jagatakse iga väljundi summa kaheksandiks ja arvutatakse iga bitisumma kohta eraldi tõendus. Kuidas see toimub, on parem vaadata näite abil.

Oletame, et summad on meil väikesed ja mahtuvad 4 bitti (praktikas on see 64 bitti), ja loome väljundi summas 5 XMR. Arvutame tõendused igas bitis ja kokku kogu summa jaoks:
Seejärel segatakse iga tõendus asendusega (Ci-2iH) ja allkirjastatakse paarikaupa Borromeo ringallkirjaga (veel üks ringallkiri), mille pakkus välja Greg Maxwell 2015. aastal (rohkem selle kohta saab lugeda siin):
Kokku nimetatakse seda ulatuslikuks tõenduseks ja see garanteerib, et tõendustes kasutatakse summasid vahemikus [0, 2n — 1].

Mis edasi?

Praeguses rakenduses võtavad vahemikuproofid väga palju ruumi — 6176 baiti ühe väljundi kohta. See viib suurte tehinguteni ja seega kõrgemate tasudeni. Tehingu suuruse vähendamiseks tutvustavad Monero arendajad allkirjade asemel Borromeo bulletproofse — vahemikuproovi mehhanismi ilma bititasemel kohustusteta. Mõnede hinnangute kohaselt, suudavad nad vähendada vahemikuproovi suurust kuni 94%. Kasutatuna on see tehnoloogia keset juulit läbinud auditimise Kudelski Securityilt, kes ei leidnud tehnoloogia ega selle rakenduse osas olulisi puudusi. Tehnoloogiat kasutatakse juba testvõrgus ning uue hard forki korral võib see tõenäoliselt minna ka peavõrku.

Esitage oma küsimused, pakkuda teemasid uute artiklite jaoks krüptovaluutatehnoloogiast ning liituge meie grupiga Facebook, et olla kursis meie sündmuste ja väljaannetega.

Allikas: habr.com