על אנונימיות בבלוקצ'יין מבוססי חשבון

אנחנו מתעניינים בנושא האנונימיות במטבעות קריפטוגרפיים מזה זמן רב ומנסים לעקוב אחר התפתחות הטכנולוגיות בתחום זה. במאמרים שלנו כבר דנו בפירוט בעקרונות הפעולה עסקאות סודיות במונרו, וגם ביצעו סקירה השוואתית טכנולוגיות הקיימות בתחום זה. עם זאת, כל מטבעות הקריפטו האנונימיים כיום בנויים על מודל הנתונים המוצע על ידי Bitcoin – Unspent Transaction Output (להלן UTXO). עבור blockchains מבוססי חשבונות כמו Ethereum, פתרונות קיימים להטמעת אנונימיות וסודיות (לדוגמה, מוביוס או האצטקים) ניסו לשכפל את מודל UTXO בחוזים חכמים.

בפברואר 2019, קבוצת חוקרים מאוניברסיטת סטנפורד וממחקר ויזה מְשׁוּחרָר הדפסה מוקדמת "זתר: לקראת פרטיות בעולם החוזים החכמים". המחברים היו הראשונים שהציעו גישה להבטחת אנונימיות בבלוקצ'יין מבוססי חשבון והציגו שתי גרסאות של חוזה חכם: לעסקאות סודיות (הסתרת יתרות וסכומי העברה) ואנונימיות (הסתרת הנמען והשולח). אנו מוצאים את הטכנולוגיה המוצעת מעניינת ונרצה לחלוק את העיצוב שלה, כמו גם לדבר על מדוע בעיית האנונימיות בבלוקצ'יין מבוססי חשבון נחשבת לקשה מאוד והאם המחברים הצליחו לפתור אותה במלואה.

על המבנה של מודלים אלה

במודל UTXO, עסקה מורכבת מ"תשומות" ו"פלטים". האנלוגי הישיר של "פלטים" הוא השטרות בארנק שלך: לכל "פלט" יש ערך מסוים. כשאתה משלם למישהו (יוצר עסקה) אתה מוציא "פלט" אחד או יותר, ובמקרה זה הם הופכים ל"תשומות" של העסקה, וה-blockchain מסמן אותם כמובזבזים. במקרה זה, מקבל התשלום שלך (או אתה עצמך, אם אתה צריך שינוי) מקבל את ה"פלטים" החדשים שנוצרו. זה יכול להיות מיוצג באופן סכמטי כך:

בלוקצ'יין מבוסס חשבון בנויים בדומה לחשבון הבנק שלך. הם עוסקים רק בסכום שבחשבונך ובסכום ההעברה. כאשר אתה מעביר סכום כלשהו מחשבונך, אתה לא שורף שום "פלט", הרשת לא צריכה לזכור אילו מטבעות הוצאו ואיזה לא. במקרה הפשוט ביותר, אימות העסקה מסתכם בבדיקת חתימת השולח והסכום שביתרתו:

ניתוח טכנולוגיה

לאחר מכן, נדבר על האופן שבו Zether מסתיר את סכום העסקה, הנמען והשולח. בבואנו לתאר את עקרונות פעולתו, נציין את ההבדלים בגרסאות החסויות והאנונימיות. מכיוון שקל הרבה יותר להבטיח סודיות בבלוקצ'יין מבוססי חשבון, חלק מההגבלות המוטלות על ידי אנונימיזציה לא יהיו רלוונטיות עבור הגרסה החסויה של הטכנולוגיה.

הסתרת יתרות וסכומי העברה

ערכת הצפנה משמשת להצפנת יתרות והעברת סכומים בזתר אל גמאל. זה עובד כדלקמן. כשאליס רוצה לשלוח את בוב b מטבעות לפי כתובת (המפתח הציבורי שלו) Y, היא בוחרת מספר אקראי r ומצפין את הסכום:

איפה C - כמות מוצפנת, D - ערך עזר הדרוש לפענוח סכום זה, G - נקודה קבועה על העקומה האליפטית, בהכפלת המפתח הסודי מתקבל המפתח הציבורי.

כאשר בוב מקבל את הערכים הללו, הוא פשוט מוסיף אותם ליתרה המוצפנת שלו באותו אופן, וזו הסיבה שהסכמה הזו נוחה.

באופן דומה, אליס מפחיתה את אותם ערכים מהאיזון שלה, רק כמו Y משתמש במפתח הציבורי שלך.

הסתרת הנמען והשולח

ערבוב "פלטים" ב-UTXO מתוארך לימים הראשונים של מטבעות קריפטוגרפיים ועוזר להסתיר את השולח. לשם כך, השולח עצמו, בעת ביצוע העברה, אוסף "פלטים" אקראיים בבלוקצ'יין ומערבב אותם עם שלו. לאחר מכן, הוא חותם על ה"פלטים" בחתימת טבעת - מנגנון הצפנה המאפשר לו לשכנע את המאמת שמטבעות השולח נמצאים בין ה"פלטים" המעורבים. את המטבעות המעורבים עצמם, כמובן, לא מבזבזים.

עם זאת, לא נוכל ליצור פלטים מזויפים כדי להסתיר את הנמען. לכן, ב-UTXO, לכל "פלט" יש כתובת ייחודית משלו, והיא מקושרת קריפטוגרפית לכתובת של מקבל המטבעות הללו. כרגע, אין דרך לזהות את הקשר בין כתובת הפלט הייחודית לכתובת הנמען מבלי לדעת את המפתחות הסודיים שלה.

במודל מבוסס חשבון, לא נוכל להשתמש בכתובות חד פעמיות (אחרת זה כבר יהיה מודל "יציאות"). לכן, יש לערבב את הנמען והשולח בין חשבונות אחרים בבלוקצ'יין. במקרה זה, מטבעות 0 מוצפנים מחויבים מהחשבונות המעורבים (או 0 מתווספים אם הנמען מעורב), מבלי לשנות בפועל את היתרה האמיתית שלהם.

מכיוון שגם לשולח וגם לנמען יש תמיד כתובת קבועה, יש צורך להשתמש באותן קבוצות לצורך ערבוב בעת העברה לאותן כתובות. קל יותר להסתכל על זה עם דוגמה.

נניח שאליס מחליטה לתרום לצדקה של בוב, אבל מעדיפה שההעברה תישאר אנונימית לצופה מבחוץ. ואז, כדי להתחפש בשדה השולח, היא נכנסת גם לחשבונות של אדם ואדל. וכדי להסתיר את בוב, הוסף את החשבונות של בן וביל בשדה הנמען. כתרומה הבאה, אליס החליטה לכתוב את אלכס ואמנדה לידה, ואת ברוס ובנג'ן ליד בוב. במקרה זה, כאשר מנתחים את הבלוקצ'יין, בשתי העסקאות הללו יש רק זוג מצטלב אחד של משתתפים - אליס ובוב, אשר מבטל את האנונימיות של העסקאות הללו.

מירוצי עסקאות

כפי שכבר הזכרנו, כדי להסתיר את היתרה שלך במערכות מבוססות חשבון, המשתמש מצפין את היתרה שלו ואת סכום ההעברה. יחד עם זאת עליו להוכיח שהיתרה בחשבונו נותרה לא שלילית. הבעיה היא שבעת יצירת עסקה, המשתמש בונה הוכחה לגבי מצב החשבון הנוכחי שלו. מה קורה אם בוב שולח עסקה לאליס, והיא מתקבלת לפני זו שנשלחה על ידי אליס? אז העסקה של אליס תיחשב לא חוקית, שכן הוכחת האיזון נבנתה לפני שהעסקה של בוב התקבלה.

ההחלטה הראשונה שמגיעה במצב כזה היא הקפאת החשבון עד לביצוע העסקה. אבל גישה זו אינה מתאימה, כי בנוסף למורכבות של פתרון בעיה כזו במערכת מבוזרת, בסכמה אנונימית לא יהיה ברור של מי החשבון לחסום.

כדי לפתור בעיה זו, הטכנולוגיה מפרידה בין עסקאות נכנסות ויוצאות: להוצאות יש השפעה מיידית על המאזן, בעוד שלתקבולים יש השפעה מושהית. לשם כך, המושג "עידן" מוצג - קבוצה של בלוקים בגודל קבוע. ה"תקופה" הנוכחית נקבעת על ידי חלוקת גובה הבלוק בגודל הקבוצה. בעת עיבוד עסקה, הרשת מעדכנת מיד את יתרת השולח ומאחסנת את כספי הנמען במיכל אחסון. הכספים שנצברו עומדים לרשות המוטב רק כאשר מתחיל "עידן" חדש.

כתוצאה מכך, המשתמש יכול לשלוח עסקאות ללא קשר לתדירות קבלת הכספים (ככל שהיתרה שלו מאפשרת, כמובן). גודל העידן נקבע על סמך כמה מהר בלוקים מתפשטים דרך הרשת וכמה מהר עסקה נכנסת לבלוק.

פתרון זה עובד היטב עבור העברות חסויות, אך בעסקאות אנונימיות, כפי שנראה בהמשך, הוא יוצר בעיות חמורות.

הגנה מפני התקפות שידור חוזר

ב-blockchains מבוססי חשבון, כל עסקה נחתמת על ידי המפתח הפרטי של השולח, מה שמשכנע את המאמת שהעסקה לא שונתה והיא נוצרה על ידי הבעלים של מפתח זה. אבל מה אם תוקף שהאזין לערוץ השידור מיירט את ההודעה הזו ושולח בדיוק את אותה הודעה שנייה? המאמת יאמת את חתימת העסקה וישתכנע במחברתה, והרשת תמחק שוב את אותו הסכום מיתרת השולח.

מתקפה זו נקראת התקפה חוזרת. במודל UTXO, התקפות כאלה אינן רלוונטיות, שכן התוקף ינסה להשתמש בפלטים מושקעים, דבר אשר כשלעצמו אינו תקף ונדחה על ידי הרשת.

כדי למנוע את זה, שדה עם נתונים אקראיים מובנה בטרנזקציה, אשר נקרא nonce או פשוט "מלח". כאשר שולחים מחדש עסקה עם מלח, המאמת בודק אם נעשה שימוש בעבר ב-nonce, ואם לא, רואה את העסקה תקינה. כדי לא לאחסן את כל ההיסטוריה של חוסרי המשתמשים בבלוקצ'יין, בדרך כלל בטרנזקציה הראשונה הוא מוגדר שווה לאפס, ואז גדל באחד. הרשת יכולה רק לבדוק שהאי-נונס של העסקה החדשה שונה מהקודמת אחת אחת.

בסכימת ההעברה האנונימית, מתעוררת הבעיה של אימות אי-הפרעות בעסקאות. איננו יכולים לחייב במפורש את ה-nonce לכתובת השולח, שכן, כמובן, הדבר מבטל את האנונימיות של ההעברה. אנחנו גם לא יכולים להוסיף אחד ל-nonces של כל החשבונות המשתתפים, מכיוון שהדבר עלול להתנגש עם העברות אחרות המעובדות.

מחברי זתר מציעים ליצור את הלא-נונס באופן קריפטוגרפי, בהתאם ל"תקופה". לדוגמה:

כאן x הוא המפתח הסודי של השולח, ו גפוק - מחולל נוסף לעידן, המתקבל על ידי גיבוב של מחרוזת בצורה 'זתר +'. כעת נראה שהבעיה נפתרה - איננו חושפים את אי הנאות של השולח ואינו מתערבים בטעות של משתתפים לא מעורבים. אבל גישה זו מטילה מגבלה רצינית: חשבון אחד יכול לשלוח לא יותר מעסקה אחת לכל "תקופה". בעיה זו, למרבה הצער, נותרה בלתי פתורה, וכרגע הופכת את הגרסה האנונימית של Zether, לדעתנו, כמעט לא מתאימה לשימוש.

המורכבות של אפס הוכחות ידע

ב-UTXO על השולח להוכיח לרשת שהוא לא מוציא סכום שלילי, אחרת אפשר לייצר מטבעות חדשים יש מאין (למה זה אפשרי, כתבנו באחד מהקודמים). מאמרים). וגם לחתום על ה"תשומות" בחתימת טבעת כדי להוכיח שבין המטבעות המעורבים יש כספים השייכים לו.

בגרסה האנונימית של הבלוקצ'יין מבוסס החשבון, הביטויים להוכחה מורכבים הרבה יותר. השולח מוכיח כי:

1. הסכום שנשלח חיובי;
2. היתרה נשארת לא שלילית;
3. השולח הצפין נכון את סכומי ההעברה (כולל אפס);
4. היתרה על היתרה משתנה רק עבור השולח והנמען;
5. השולח הוא הבעלים של המפתח הפרטי לחשבונו והוא למעשה נמצא ברשימת השולחים (בין המעורבים);
6. ה-Nonce המשמש בעסקה מורכב כהלכה.

להוכחה כה מורכבת, המחברים משתמשים בתערובת חֲסִין קְלִיעִים (אחד המחברים, אגב, לקח חלק ביצירתו) ו פרוטוקול סיגמא, אשר נקראים כדורי סיגמא. הוכחה רשמית להצהרה כזו היא משימה קשה למדי, והיא מגבילה מאוד את מספר האנשים המוכנים ליישם את הטכנולוגיה.

התוצאה?

לדעתנו, ניתן להשתמש בחלק של Zether שמביא פרטיות לבלוקצ'יין מבוססי חשבונות כבר עכשיו. אבל כרגע, הגרסה האנונימית של הטכנולוגיה מטילה הגבלות חמורות על השימוש בה, ועל מורכבותה על היישום שלה. עם זאת, אין להתעלם מכך שהמחברים הוציאו אותו רק לפני מספר חודשים, ואולי מישהו אחר ימצא פתרון לבעיות הקיימות היום. אחרי הכל, ככה עושים מדע.

מקור: www.habr.com