Monero konfidentsiaalsed tehingud, või kuidas edastada teadmata ja teadmata kohas

Jätkame meie tsüklit Monero plokiahela toimimise teemal ning tänane artikkel käsitleb protokolli RingCT (Ring Confidential Transactions), mis tutvustab konfidentsiaalseid tehinguid ja uusi rõngassignaale. Kahjuks on internetis vähe teavet selle toimimise kohta ning oleme püüdnud seda puudust täita.

Räägime sellest, kuidas see protokoll varjab võrgus ülekannete summasid, miks loobuti klassikalistest cryptonote rõngassignaalidest ning kuidas see tehnoloogia edasi areneb.

Kuna see protokoll on üks Monero keerulisemaid tehnoloogiaid, vajab lugeja baasteadmisi selle plokiahela toimimise kohta ning pindmist arusaamist elliptiliste kõverate krüptograafiast (kui soovite need teadmised värskendada, võite lugeda meie eelneva artikli esimesi peatükke kohta) multipodpisеd).

RingCT protokoll

Üks võimalikke rünnakuid cryptonote valuutadele on plokiahela analüüs, mis põhineb tehingu summa ja tõusmise aja teadmisel. See võimaldab oluliselt kitsendada kurjategijate huvi pakkuvate väljundite otsinguvõimalusi. Sellise analüüsi kaitsmiseks on Monerosse juurutatud anonüümsete tehingute protokoll, mis peidab täielikult tehingute summasid võrgus.

Tuleb märkida, et summa varjamine ei ole uus idee. Üks esimesi, kes seda kirjeldas, oli Bitcoin Corey arendaja Greg Maxwell oma artiklis Confidential Transactions. Praegune RingCT rakendus on selle modifitseeritud versioon koos võimalusega kasutada rõngasallkirju (ilma nendeta ei saa), ning seetõttu saigi see nimeks — Ring Confidential Transactions.

Lisaks aitab protokoll vabaneda probleemidest, mis on seotud tolmu väljundite segamisega — väikeste summade väljunditega (tavaliselt saadakse need tehingute tagasisaamisena), mis tekitasid rohkem probleeme, kui nad ise väärt olid.

2017. aasta jaanuaris toimus Monero võrgus hard fork, mis võimaldab valikuliselt kasutada konfidentsiaalseid tehinguid. Ja juba sama aasta septembris said versiooni 6 hard fork'ist sellised tehingud ainsateks lubatud tehinguteks võrgus.

RingCT kasutab mitmeid mehhanisme: mitmekihilised seotud spontaansed anonüümsed grupialgoritmid (Multilayered Linkable Spontaneous Anonymous Group Signature, edaspidi — MLSAG), kohustuslikkuse skeem (Pedersen Commitments) ja range tõendid (selle termini kehtivat tõlget eesti keeles ei ole).

RingCT protokoll toob sisse kaks tüüpi anonüümsed tehingud: simple ja full. Esiteks genereerib rahakott, kui tehing kasutab rohkem kui ühte sisendit, teiseks — vastupidises olukorras. Need erinevad tehingusummade valideerimise ja MLSAG-allkirjaga allkirjastatud andmete poolest (räägime sellest edasi). Täiendavalt saab full tehingute genereerimine toimuda igasuguste sisendite arvuga, põhimõtteliselt pole vahet. Raamatus «Zero to Monero» selgub, et otsus piirata full tehingud ühe sisendi kasuks tehti kiirusest ja tulevikus võib see muutuda.

MLSAG-allkiri

Tulet meenutada, millised on rakendatud tehingute sisendid. Iga tehing kulutab teatud raha ja genereerib uue. Raha genereerimine toimub tehingu väljundite loomise teel (otseanalogia — rahatähed), ning väljund, mida tehing kasutab (kuna reaalses elus kasutame me just raharoogasid), muutub sisendiks (siin on kergesti segadusse minek).

Sisend viitab mitmele väljundile, kuid kasutab ainult ühte, luues sellega „suitseva katte”, et keerulisemaks muuta ülekannete ajaloo analüüsimist. Kui tehingul on rohkem kui üks sisend, võib sellist struktuuri kujutada ruudustikuna, kus read on sisendid ja veerud on kaasatud väljundid. Et tõestada võrku, et tehing kasutab just oma väljundeid (teab nende saladuslikke võtmeid), allkirjastavad sisendid ringallkiri. Selline allkiri annab garantii, et allkirjastaja teadis kõigi tulba elementide saladuslikke võtmeid.

Konfidentsiaalsed tehingud ei kasuta enam klassikalisi cryptonote ring signatures, replaced by MLSAG — a multi-input adapted version of similar single-layer ring signatures, LSAG.

They are called multilayered because they sign multiple inputs at once, each mixed with several others, i.e., a matrix is signed rather than a single row. As we will see later, this helps save on the size of the signature.

Let's consider how a ring signature is formed, using the example of a transaction that spends 2 real outputs and uses m - 1 random inputs from the blockchain for mixing. We denote the public keys of the outputs we are spending as
, and the key images for them respectively: Thus, we end up with a matrix of size 2 x m. First, we need to compute the so-called challenges for each pair of outputs:

We start the calculations with the outputs we are spending, using their public keys:and random numbersIn the end, we obtain the values:
, which we use to calculate the challenge
järgmise paari väljundite jaoks (kergemini mõistetavaks, oleme need väärtused erinevate värvidega esile toonud). Kõik järgmised väärtused arvutatakse ringikujuliselt esitatud valemite alusel, mis on nähtavad esimesel illustratsioonil. Viimasena arvutatakse välja challenge kahe reaalse väljundi jaoks.

Nagu näeme, kasutatakse kõigis veergudes, välja arvatud reaalsete väljundite sisaldavas veerus, juhuslikult genereeritud arve.. Selle jaoks πveergudest on need meil samuti vajalikud. Muudames-ks:
Allkiri on kohtumine kõigi nende väärtustega:

Edasi salvestatakse need andmed tehingusse.

Nagu näeme, sisaldab MLSAG vaid ühte challenge c0, mis võimaldab allkirja suurusest kokku hoida (mis juba nõuab palju ruumi). Edasi taastab iga kontrollija, kasutades andmeid, väärtused c1,…, cm ja kontrollib, et. Nii on meie ring suletud ja allkiri on eduka kontrolli läbinud.

Full tüüpi RingCT tehingute jaoks lisatakse segatud väljunditega maatriksile veel üks rida, kuid sellest räägime allpool.

Pederseni kohustused

Kohustuste skeemid (tavaliselt kasutatakse ingliskeelset terminit — commitments), et üks osapool saaks tõestada, et ta teab mingit saladust (numbriline väärtus), paljastamata seda tegelikult. Näiteks viskate mõningaid numbreid kahel dice'il, arvutate commitment'i ja edastate selle kontrollimise poolele. Sel viisil, saladusliku numbri avaldamise hetkel, kontrollija arvutab iseseisvalt commitment'i, veendudes, et te pole teda petnud.

Monero's kasutatakse commitments ülekannete summade varjamiseks ja kasutatakse kõige levinumat varianti — Pedersen commitments. Üks huvitav fakt — algselt pakkusid arendajad, et summasid varjatakse tavalise segamise kaudu, st lisades väljundid juhuslikele summadele, et tekitada ebamugavust, kuid seejärel läksid nad üle commitments'ile (kuid pole kindel, et nad säästsid tehingu suuruses, nagu me allpool näeme).
Üldjuhul näeb commitment järgmised elemendid:
Kus C — commitment'i väärtus, a — varjatud summa, H — kindel punkt elliptilisel kõveral (lisageneraator), x — mingi juhuslik mask, peidab tegurit, mis genereeritakse juhuslikult. Siin on mask vajalik, et kolmas osapool ei saaks lihtsa ridade võrgu tulemust kombineerides väärtust commitment välja selgitada.

Uue väljundi genereerimisel arvutab rahakott selle jaoks commitment'i ja kasutamisel võtab kas genereerimise ajal arvutatud väärtuse või arvutab selle uuesti — sõltuvalt tehingu tüübist.

RingCT lihtne

Lihtse RingCT tehingute puhul, et tagada, et tehing on loonud väljundeid summas, mis on võrdne sisendite summaga (ei genereeri raha tühjast õhust), peab esimeste ja teise commitments'e summa olema sama, see tähendab:

Kommertsitasu arvutavad veidi teisiti — ilma maskita:
, kus a — tasu summa, see on avalikult kättesaadav.

Selline lähenemine võimaldab tõestada kontrollijale, et kasutame sama summasid, paljastamata neid.

Kuna kõik oleks selgem, vaatame näidet. Oletame, et tehing kasutab kahte väljundit (st need saavad sissetulekuteks) summas 10 ja 5 XMR ning genereerib kolm väljundit summas 12 XMR: 3, 4 ja 5 XMR. Samuti makstakse tasu 3 XMR. Seega on kulutatud raha summa pluss genereeritud summa ja tasu kokku 15 XMR. Proovime arvutada commitments ja vaatame nende summade erinevust (korratakse matemaatikat):

Siin näeme, et võrrandi kehtimiseks peavad sissetulekute ja väljundite maskide summad olema võrdsed. Selleks genereerib rahakott juhuslikult x1, y1, y2 ja y3, samas kui jääk x2 arvutatakse nii:

Kasutanud neid maske, saame tõestada igasugustele kontrollijatele, et me ei genereeri rohkem vahendeid, kui kulutame, paljastamata summasid. Algne, eks?

RingCT täis

Täis RingCT tehingutes toimub ülekande summade kontrollimine veidi keerukamalt. Nendes tehingutes ei arvuta rahakott sissetulekute jaoks commitments, vaid kasutab nende genereerimisel arvutatud väärtusi. Selle juures tuleb eeldada, et summade erinevust me enam nullina ei saa, vaid selle asemel:

Siit z — sissetulekute ja väljundite maskide erinevus. Kui vaadata zG kuna avalik võti (milleks see de facto on), siis z — see on privaatne võti. Nii teame me avalikku ja vastavat privaatset võtit. Need andmed võimaldavad neid kasutada MLSAG ringallkirjas koos segatud väljundite avalikest võtmetest:

Seega tagab kehtiv ringallkiri, et me teame kõiki ühte veergu kuuluvate privaatsete võtmeid, samas kui viimasel real olevat privaatset võtit saame teada ainult juhul, kui tehing ei tekita ressursse rohkem, kui kulutab. Muide, siin on vastus küsimusele "miks summa jaotised ei too nulli" — kui zG = 0, siis me avame rea reaalseid väljundeid.

Aga kuidas saajale teada saada, kui palju raha talle saadeti? Siin on kõik lihtne — tehingu saatja ja saaja vahetavad võtmeid Diffie-Hellmani protokolli kaudu, kasutades tehingu võtit ja saaja view-võtit ning arvutavad ühise salajase. Saatja kirjutab tehingu erilistes väljad andmed väljundite summadest, mis on krüptitud selle ühise võtmega.

Range proofs

Ja mis juhtub, kui kasutame commitmentides negatiivset numbrit? See võib viia täiendavate müntide genereerimiseni! Selline tulemus on lubamatu, seetõttu on vajalik garantii, et meie kasutatavad summad ei oleks negatiivsed (ilma nende summade avalikustamiseta, muidugi, vastasel juhul oleks kõik see vaev asjatu). Teisisõnu, me peame tõestama, et summa jääb vahemikku [0, 2n — 1].

Selleks jagatakse iga väljundi summa kaheksandaks ja arvutatakse commitment igas kaheksandas eraldi. Kuidas see toimub, on parem vaadata näite kaudu.

Oletame, et summad on meil väikesed ja mahuvad 4 bitti (praktikas 64 bitti), ja me loome väljundi summaga 5 XMR. Arvutame commitmentid iga kaheksanda jaoks ja kogu commitment kogu summa jaoks:
Seejärel segatakse iga commitment surrogaadiga (Ci-2iH) ja paarikaupa allkirjastatakse Borromeo ringallkirjaga (veel üks ringallkiri), mille tõi välja Greg Maxwell 2015. aastal (rohkema teabe saamiseks saate lugeda siit):
Kokku nimetatakse seda range proof'iks ja see võimaldab tagada, et commitmentides kasutatakse summasid vahemikus [0, 2n — 1].

Mis edasi?

Praeguses rakenduses võtavad range proof'id väga palju ruumi — 6176 baiti ühe väljundi kohta. See viib suurte tehinguteni ja vastavalt suurematele tasudele. Tehingu suuruse vähendamiseks kasutavad Monero arendajad allkirjade asemel Borromeo bulletproofsid — range proof'i mehhanismi, mis ei kasuta bitipõhiseid commitments. Mõningate hinnangute kohaselt, suudavad nad vähendada range proof'i suurust 94%. Ütlematagi selge, et juuli keskpaiku läbis tehnoloogia audit Kudelski Security'lt, mis ei leidnud tehnoloogias ega selle rakendamises olulisi puudusi. Tehnoloogiat rakendatakse juba testvõrgus ja uue hard fork'i korral võib see tõenäoliselt üle minna ka põhivõrku.

Esitage oma küsimused, pakkuge teemasid uusimate krüptovaluutatehnoloogiate artiklite jaoks ning liituge meie grupiga Facebook, et olla kursis meie ürituste ja publikatsioonidega.

Allikas: habr.com