עסקאות סודיות במונרו, או איך להעביר דברים לא ידועים ליעדים לא ידועים

אנו ממשיכים את הסדרה שלנו על בלוקצ'יין Monero, והמאמר של היום יתמקד בפרוטוקול RingCT (Ring Confidential Transactions), המציג עסקאות סודיות וחתימות טבעת חדשות. למרבה הצער, יש מעט מידע באינטרנט על איך זה עובד, וניסינו למלא את החסר הזה.

נדבר על האופן שבו הרשת מסתירה סכומי העברה באמצעות פרוטוקול זה, מדוע הם נטשו את חתימות הטבעת הקריפטונוטות הקלאסיות, וכיצד הטכנולוגיה הזו תתפתח עוד יותר.

מכיוון שפרוטוקול זה הוא אחת הטכנולוגיות המורכבות ביותר במונרו, הקורא יזדקק לידע בסיסי בעיצוב הבלוקצ'יין הזה ולידע חולף בקריפטוגרפיה של עקומה אליפטית (כדי לרענן את הידע הזה, אתה יכול לקרוא את הפרקים הראשונים שלנו מאמר קודם על ריבוי חתימות).

פרוטוקול RingCT

אחת ההתקפות האפשריות על מטבעות קריפטונוט היא ניתוח בלוקצ'יין המבוסס על ידיעת הכמות והזמן של העסקה שנשלחה. זה מאפשר לצמצם משמעותית את אזור החיפוש אחר יציאות המעניין את התוקף. כדי להגן מפני ניתוח כזה, Monero הטמיעה פרוטוקול עסקה אנונימי שמסתיר לחלוטין את סכומי ההעברות ברשת.

ראוי לציין שהרעיון של הסתרת סכומים אינו חדש. מפתח ה-Bitcoin Core, גרג מקסוול, היה מהראשונים שתיאר זאת בכתביו מאמר עסקאות סודיות. ההטמעה הנוכחית של RingCT היא השינוי שלה עם אפשרות להשתמש בחתימות טבעת (בין אם בלעדיהן), וכך היא קיבלה את שמה - Ring Confidential Transactions.

בין היתר, הפרוטוקול מסייע להיפטר מבעיות של ערבוב פלטי אבק - תפוקות בכמות קטנה (המתקבלת בדרך כלל בצורת שינוי מעסקות), שיצרו יותר בעיות ממה שהן שוות.

בינואר 2017, התבצעה התפצלות קשה של רשת Monero, המאפשרת שימוש אופציונלי בעסקאות סודיות. וכבר בספטמבר של אותה שנה, עם המזלג הקשיח של גרסה 6, עסקאות כאלה הפכו להיות היחידות המותרות ברשת.

RingCT משתמשת במספר מנגנונים בו-זמנית: חתימות קבוצתיות אנונימיות ספונטניות מקושרות רב-שכבתיות (חתימת קבוצה ספונטנית אנונימית רב-שכבתית, מכונה להלן MLSAG), תכנית מחויבות (התחייבויות פדרסן) והוכחות טווח (למונח זה אין תרגום מבוסס לרוסית) .

פרוטוקול RingCT מציג שני סוגים של עסקאות אנונימיות: פשוטות ומלאות. הארנק מייצר את הראשון כאשר עסקה משתמשת ביותר מקלט אחד, השני - במצב הפוך. הם נבדלים זה מזה באימות סכומי העסקאות ובנתונים החתומים בחתימת MLSAG (נדבר על כך בהמשך). יתר על כן, ניתן ליצור עסקאות מסוג מלא עם כל מספר של תשומות, אין הבדל מהותי. בספר "אפס למונרו" בהקשר זה נאמר כי ההחלטה להגביל את מלוא העסקאות לתשומה אחת התקבלה בחיפזון ועשויה להשתנות בעתיד.

חתימת MLSAG

בואו נזכור מהן תשומות עסקה חתומות. כל עסקה מוציאה ומייצרת כמה כספים. יצירת הכספים מתרחשת על ידי יצירת פלטי עסקה (אנלוגיה ישירה היא שטרות), והתפוקה שהעסקה מוציאה (אחרי הכל, בחיים האמיתיים אנחנו מוציאים שטרות כסף) הופכת לקלט (זהירות, קל מאוד להתבלבל כאן).

קלט מתייחס למספר פלטים, אך מוציא רק אחד, ובכך יוצר "מסך עשן" כדי להקשות על ניתוח היסטוריית התרגום. אם לעסקה יש יותר מקלט אחד, אז מבנה כזה יכול להיות מיוצג כמטריצה, כאשר השורות הן התשומות והעמודות הן הפלטים המעורבים. כדי להוכיח לרשת שהעסקה מוציאה בדיוק את התפוקות שלה (מכיר את המפתחות הסודיים שלהם), הכניסות נחתמות בחתימת טבעת. חתימה כזו מבטיחה שהחותם ידע את המפתחות הסודיים של כל האלמנטים של כל אחת מהעמודות.

עסקאות סודיות אינן משתמשות עוד בעסקאות קלאסיות cryptonote חתימות טבעות, הן הוחלפו ב-MLSAG - גרסה של חתימות טבעות דומות חד-שכבתיות המותאמות לכניסות מרובות, LSAG.

הם נקראים רב שכבתיים מכיוון שהם חותמים על מספר כניסות בבת אחת, שכל אחת מהן מעורבבת עם כמה אחרות, כלומר מטריצה ​​חתומה, ולא שורה אחת. כפי שנראה בהמשך, זה עוזר לחסוך בגודל החתימה.

בואו נסתכל כיצד נוצרת חתימת טבעת, באמצעות דוגמה של עסקה שמוציאה 2 פלטים אמיתיים ומשתמשת ב-m - 1 אקראיות מהבלוקצ'יין לצורך ערבוב. הבה נסמן את המפתחות הציבוריים של התפוקות שאנו מוציאים בתור
, ותמונות מפתח עבורם בהתאם: לפיכך, אנו מקבלים מטריצה ​​של גודל 2 x מ'. ראשית, עלינו לחשב את מה שנקרא אתגרים עבור כל זוג תפוקות:

אנו מתחילים את החישובים עם התפוקות, שאנו מוציאים באמצעות המפתחות הציבוריים שלהם:ומספרים אקראייםכתוצאה מכך, אנו מקבלים את הערכים הבאים:
, שבו אנו משתמשים כדי לחשב אתגר
צמד הפלטים הבא (כדי להקל על ההבנה של מה אנחנו מחליפים איפה, הדגשנו את הערכים האלה בצבעים שונים). כל הערכים הבאים מחושבים במעגל באמצעות הנוסחאות המופיעות באיור הראשון. הדבר האחרון שצריך לחשב הוא האתגר עבור זוג תפוקות אמיתיות.

כפי שאנו יכולים לראות, כל העמודות מלבד זו המכילה פלטים אמיתיים משתמשות במספרים שנוצרו באקראי. עבור π- טור נצטרך גם אותם. בואו נעשה שינויב-s:
החתימה עצמה היא תוספת של כל הערכים האלה:

נתונים אלה נכתבים לאחר מכן לעסקה.

כפי שאנו יכולים לראות, MLSAG מכיל רק אתגר אחד c0, מה שמאפשר לחסוך בגודל החתימה (שכבר דורש הרבה מקום). יתר על כן, כל מפקח, באמצעות הנתונים, משחזר את הערכים c1,..., cm ובודק את זה. לפיכך, הטבעת שלנו סגורה והחתימה אומתה.

עבור עסקאות RingCT מהסוג המלא, מתווספת עוד שורה אחת למטריצה ​​עם יציאות מעורבות, אך על כך נדבר בהמשך.

התחייבויות פדרסן

תוכניות חובה (המונח האנגלי התחייבויות משמש לעתים קרובות יותר) כדי שצד אחד יוכל להוכיח שהוא יודע סוד (מספר) מסוים מבלי לחשוף אותו בפועל. לדוגמה, אתה מטיל מספר מסוים על הקוביות, שוקל מחויבות ומעביר אותו לגורם המאמת. כך, ברגע חשיפת המספר הסודי, המאמת מחשב באופן עצמאי את ההתחייבות, ובכך מוודא שלא הוליכת אותו שולל.

התחייבויות Monero משמשות להסתרת סכומי ההעברות ולהשתמש באפשרות הנפוצה ביותר - התחייבויות פדרסן. אגב, עובדה מעניינת - בהתחלה היזמים הציעו להסתיר את הסכומים על ידי ערבוב רגיל, כלומר להוסיף תפוקות לסכומים שרירותיים כדי להכניס אי ודאות, אבל אז עברו להתחייבויות (זו לא עובדה שחסכו על גודל העסקה, כפי שנראה להלן).
באופן כללי, המחויבות נראית כך:
שם C - המשמעות של המחויבות עצמה, a - סכום נסתר, H הוא נקודה קבועה על העקומה האליפטית (מחולל נוסף), ו x - סוג של מסכה שרירותית, גורם מסתור שנוצר באקראי. המסכה נחוצה כאן כדי שצד שלישי לא יכול פשוט לנחש את ערך המחויבות.

כאשר נוצר פלט חדש, הארנק מחשב את התחייבות עבורו, וכאשר הוא יוצא, הוא לוקח את הערך שחושב במהלך היצירה או מחשב אותו מחדש, בהתאם לסוג העסקה.

RingCT פשוט

במקרה של עסקאות RingCT פשוטות, על מנת להבטיח שהעסקה יצרה תפוקות בכמות השווה לכמות התשומות (לא הניבה כסף יש מאין), יש צורך שסכום ההתחייבויות של הראשון והשני אלה יהיו זהים, כלומר:

ועדות התחייבות רואים את זה קצת אחרת - בלי מסכה:
איפה a - סכום העמלה, הוא זמין לציבור.

גישה זו מאפשרת לנו להוכיח לגורם המסומך שאנו משתמשים באותם סכומים מבלי לחשוף אותם.

כדי להבהיר את הדברים, בואו נסתכל על דוגמה. נניח שעסקה מוציאה שתי תפוקות (כלומר שהן הופכות לתשומות) של 10 ו-5 XMR ומייצרת שלוש תפוקות בשווי 12 XMR: 3, 4 ו-5 XMR. במקביל, הוא משלם עמלה של 3 XMR. לפיכך, סכום הכסף שהוצא בתוספת הסכום שנוצר והעמלה שווה ל-15 XMR. בואו ננסה לחשב התחייבויות ונראה את ההבדל בסכומים שלהן (זכור את המתמטיקה):

כאן אנו רואים שכדי שהמשוואה תתכנס, אנחנו צריכים שסכומי מסיכות הקלט והפלט יהיו זהים. לשם כך, הארנק יוצר באופן אקראי x1, y1, y2 ו-y3, והשאר x2 מחשב כך:

באמצעות מסכות אלו, נוכל להוכיח לכל מאמת שאיננו מייצרים יותר כספים ממה שאנו מוציאים, מבלי לחשוף את הסכום. מקורי, נכון?

RingCT מלא

בעסקאות RingCT מלאות, בדיקת סכומי ההעברה היא קצת יותר מורכבת. בעסקאות אלו, הארנק אינו מחשב מחדש התחייבויות לתשומות, אלא משתמש באלו שחושבו בעת יצירתן. במקרה זה, עלינו להניח שלא נקבל עוד את ההפרש בסכומים השווים לאפס, אלא במקום זאת:

כאן z - הבדל בין מסכות קלט ופלט. אם נשקול zG כמפתח ציבורי (שזה דה פקטו), אם כן z הוא המפתח הפרטי. לפיכך, אנו מכירים את המפתחות הפרטיים הציבוריים והתואמים. עם הנתונים האלה ביד, אנחנו יכולים להשתמש בהם בחתימת הטבעת של MLSAG יחד עם המפתחות הציבוריים של הפלטים המעורבים:

לפיכך, חתימת טבעת תקפה תבטיח שנדע את כל המפתחות הפרטיים של אחת העמודות, ונוכל לדעת את המפתח הפרטי בשורה האחרונה רק אם העסקה לא מניבה יותר כספים ממה שהיא מוציאה. אגב, הנה התשובה לשאלה "מדוע ההבדל בסכומי ההתחייבויות לא מוביל לאפס" - אם zG = 0, אז נרחיב את העמודה עם פלטים אמיתיים.

כיצד יודע מקבל הכספים כמה כסף נשלח אליו? הכל פשוט כאן - שולח העסקה והנמען מחליפים מפתחות באמצעות פרוטוקול דיפי-הלמן, באמצעות מפתח העסקה ומפתח התצוגה של הנמען ומחשבים את הסוד המשותף. השולח כותב נתונים על סכומי הפלט, מוצפנים עם מפתח משותף זה, בשדות מיוחדים של העסקה.

הוכחות טווח

מה קורה אם אתה משתמש במספר שלילי כסכום בהתחייבויות? זה עשוי להוביל ליצירת מטבעות נוספים! תוצאה זו אינה מתקבלת על הדעת, ולכן עלינו להבטיח שהסכומים בהם אנו משתמשים אינם שליליים (כמובן מבלי לחשוף את הסכומים הללו, אחרת יש כל כך הרבה עבודה והכל לשווא). במילים אחרות, עלינו להוכיח שהסכום נמצא במרווח [0, 2n - 1].

לשם כך, סכום כל פלט מחולק לספרות בינאריות והמחויבות מחושבת לכל ספרה בנפרד. עדיף לראות איך זה קורה עם דוגמה.

נניח שהכמויות שלנו קטנות ומתאימות ל-4 ביטים (בפועל זה 64 ביטים), וניצור פלט בשווי 5 XMR. אנו מחשבים התחייבויות עבור כל קטגוריה ואת סך ההתחייבות עבור הסכום כולו:
לאחר מכן, כל התחייבות מעורבבת עם פונדקאית (Ci-2iH) והוא חתום בזוגות עם חתימת הטבעת Borromeo (חתימת טבעת נוספת), שהוצעה על ידי גרג מקסוול ב-2015 (תוכלו לקרוא עליה עוד כאן):
ביחד, זה נקרא הוכחת טווח ומאפשר לך להבטיח שהתחייבויות משתמשות בסכומים בטווח [0, 2n - 1].

מה הלאה?

ביישום הנוכחי, הוכחות טווח תופסות הרבה מקום - 6176 בתים לכל פלט. זה מוביל לעסקאות גדולות יותר ולכן עמלות גבוהות יותר. כדי להקטין את גודל עסקת Monero, מפתחים מציגים חסיני כדורים במקום חתימות Borromeo - מנגנון הוכחת טווח ללא התחייבויות סיביות. לפי כמה הערכות, הם מסוגלים להקטין את גודל הוכחת הטווח בעד 94%. אגב, באמצע יולי הטכנולוגיה עברה בְּדִיקָה מחברת Kudelski Security, שלא גילתה ליקויים משמעותיים לא בטכנולוגיה עצמה ולא ביישום שלה. הטכנולוגיה כבר נמצאת בשימוש ברשת הבדיקה, ועם המזלג הקשיח החדש, היא כנראה יכולה לעבור לרשת הראשית.

שאלו שאלות, הציעו נושאים למאמרים חדשים על טכנולוגיות בתחום המטבעות הקריפטו וגם הירשמו לקבוצה שלנו ב פייסבוקלהתעדכן באירועים ובפרסומים שלנו.

מקור: www.habr.com