アイデアから実装まで: 既存の楕円曲線デジタル署名スキームを変更して決定論的にし、それに基づいてブロックチェーン内で検証可能な疑似乱数を取得する機能を提供します。

アイデア

2018 年の秋、Waves ブロックチェーンには次のものが含まれていました。 最初のスマートコントラクトが有効化されました、入手の可能性についてすぐに疑問が生じました。 擬似乱数信頼できるということ。

この疑問に頭を悩ませた結果、私は最終的に「どんなブロックチェーンも細胞であり、閉じたシステム内で信頼できるエントロピー源を取得することは不可能である」という結論に達しました。

しかし、それでも私が気に入ったアイデアが XNUMX つあります。 ランダムオラクル 決定論的アルゴリズムを使用してユーザー データに署名すると、ユーザーは常に公開キーを使用してそのような署名を検証でき、結果の値が一意であることを確認できます。 オラクルは、どんなに望んでも何も変えることができず、アルゴリズムは明白な結果を生み出します。 基本的に、ユーザーは結果を記録しますが、オラクルが結果を公開するまでは知りません。 オラクルをまったく信頼できないことがわかりましたが、その仕事の結果を確認してください。 そして、検証が成功した場合、そのような署名は擬似乱数のエントロピーのソースと見なすことができます。

Waves ブロックチェーン プラットフォームは署名スキームを使用しています EdDSA вариант Ed25519。 このスキームでは、署名は値 R と S で構成されます。ここで、R はランダムな値に依存し、S は署名されるメッセージ、秘密鍵、および R と同じ乱数に基づいて計算されます。同じものに固有の依存関係はありません。ユーザー メッセージには有効な署名が多数あります。

明らかに、そのような署名は純粋な形では擬似乱数のソースとして使用できません。これは、署名が非決定的であり、したがってオラクルによって簡単に操作される可能性があるためです。

しかし、結局のところ、それを決定論的にすることは実際には可能です。

大きな期待を抱いていました 検証可能なランダム関数 (VRF)、しかし、ハードウェアを研究した後、このオプションを放棄する必要がありました。 VRF は署名とその証明の決定論的バージョンを提供しますが、アルゴリズムにはオラクル操作のためのブラック ホールを開く奇妙な場所があります。 つまり、kの値を計算するとき(5.1セクション) 秘密鍵が使用されますが、これはユーザーには不明のままです。これは、ユーザーが k の計算の正しさを検証できないことを意味します。つまり、オラクルは必要な k の値を使用できると同時に、対応関係のデータベースを維持できます。 VRF の観点から常に正しい結果を再計算できるようにするために、 k と署名されたデータの値を計算します。 秘密キーを公開せずに VRF に基づく図面を表示する場合は、賢明に行うことができます。キーを公開する必要があるか、または k の計算から除外する必要があることを示します。そうすれば、最初の署名が表示されたときに秘密キーが自動的に公開されます。 。 一般に、すでに述べたように、ランダムなオラクルの奇妙なスキームです。

少し考えて地元のアナリストの協力を得た結果、VECRO の作業スキームが誕生しました。

VECROとはVerifiable Elliptic Curve Random Oracleの略で、ロシア語で楕円曲線上の検証可能なランダムオラクルを意味します。

すべては非常に単純であることが判明しました。決定論を達成するには、署名されるメッセージが表示される前に R の値を修正する必要があります。 R がコミットされ、署名されるメッセージの一部である場合、これにより署名されるメッセージ内で R がコミットされることがさらに保証され、S の値はユーザーのメッセージによって一意に決定されるため、擬似乱数のソースとして使用できます。

このようなスキームでは、R がどのように固定されるかは問題ではなく、これは依然としてオラクルの責任です。 S はユーザーによって一意に決定されることが重要ですが、その値はオラクルが公開するまで不明です。 私たちが望んでいたものはすべて！

固定 R について言えば、次の点に注意してください。 リユースR さまざまなメッセージに署名するときに、EdDSA スキーム内の秘密キーを一意に明らかにします。 オラクルの所有者にとって、R を再利用してさまざまなユーザー メッセージに署名する可能性を排除することが非常に重要になります。 つまり、何らかの操作や共謀が行われた場合、オラクルは常に秘密鍵を失う危険があります。

合計すると、オラクルは、値 R を固定する初期化と、値 S を返す署名の XNUMX つの機能をユーザーに提供する必要があります。この場合、R、S のペアは、固定された値を含むユーザー メッセージの通常の検証可能な署名です。値 R と任意のユーザー データ。

ブロックチェーンのこのスキームは通常のものにすぎないと主張することができます。 コミット拡張スキーム。 本質的には、はい、それは彼女です。 しかし、いくつかのニュアンスがあります。 まず、オラクルはすべての操作において常に同じキーで動作します。これは、たとえば、契約で使用するのに便利です。 第二に、オラクルが誤って動作した場合に秘密キーを失うリスクがあります。たとえば、オラクルでは結果のサンプルを作成できますが、その場合、秘密キーを見つけて完全に取得するには XNUMX つのテストを行うだけで十分です。ウォレットへのアクセス。 第三に、ブロックチェーン上でネイティブに検証可能であり、ランダム性の源である署名は美しいです。

半年間、実装のアイデアが頭の中でくすぶっており、ついにやる気が形になって現れました。 Waves Labs からの助成金。 多額の助成金には大きな責任が伴いますので、プロジェクトは必ず存続します。

具現化

そこで、このプロジェクトでは、 VECROが実装されました ユーザーとオラクル間の転送トランザクションを使用して、Waves ブロックチェーン上でリクエスト/レスポンス モードで動作します。 同時に、上記のロジックに従って厳密に作業を制御するスクリプトが Oracle アカウントにインストールされます。 Oracle トランザクションが検証され、ユーザー対話のチェーン全体が復元されます。 XNUMX つのトランザクションはすべて最終値の検証に関与しており、スマート コントラクトはそれらを厳密な検証スレッドで結び付け、すべての値を段階的にチェックし、操作の余地を与えません。

もう一度、それを脇に置いて、より明確にします。 オラクルは、提案されたスキームに従って機能するだけではありません。 その作業は、確立された組織によってブロックチェーンレベルで完全に制御されます。 スマートコントラクトでしっかりと。 左に進むと、トランザクションは単に完了しません。 したがって、トランザクションがブロックチェーンに含まれている場合、ユーザーは何もチェックする必要さえありません。何百ものネットワーク ノードがすでにすべてをチェックしています。

現在、Waves メインネット上で実行されている VECRO が XNUMX つあります (独自の VECRO を実行することもできます。それは難しいことではありません。 構成例を見てみましょう）。 現在のコードは PHP で実行されます ( WavesKit、それについて 前にも言いましたね).

Oracle サービスを使用するには、次のことを行う必要があります。

• Rを修正します。
  • 少なくとも 0.005 個の Wave を oracle エイリアス init@vecr に送信します。
  • オラクルからユーザーへの 1 R-vecr トークンの転送時に添付フィールドで R コードを受け取ります。
• 署名を受け取ります。
  • 少なくとも 0.005 Waves を oracle エイリアス random@vecr に送信し、以前に受信した R コードと追加のユーザー データを添付フィールドに指定しなければなりません。
  • オラクルからユーザーへの 1 つの S-vecr トークンの転送時に添付フィールドで S コードを受け取ります。
• 擬似乱数のソースとしてSコードを使用します。

現在の実装のニュアンス:

• オラクルに送信された Wave は、最大 1 Wave まで、ユーザーへの返品トランザクションの手数料として使用されます。
• R コードは、「R」文字の 32 バイトと、base58 でエンコードされた XNUMX バイトの R 値を連結したものです。
• 添付ファイルの R コードが最初にあり、ユーザー データは R コードの後に​​来る必要があります。
• S コードは、文字「S」の 32 バイトと、base58 でエンコードされた XNUMX バイトの S の値を連結したものです。
• S はモジュロ除算の結果であるため、S を完全な 256 ビットの擬似乱数として使用することはできません (この数値は最大 252 ビットの擬似乱数と見なすことができます)。
• 最も簡単なオプションは、S コード ハッシュを擬似乱数として使用することです。

Sコード受信例：

• 初期化: https://wavesexplorer.com/tx/8gc8jwM7JrPNehoDs7NVyos7BsufYktvkwVW1B6FAY6
• R コードの取得: https://wavesexplorer.com/tx/9eB25SbzEwvHEbm8pcKj7MGDrYv1u3Fxpj696FkJ96hd
• R コード署名とユーザー データの「ランダム」の結果をクエリします。 https://wavesexplorer.com/tx/6faoFJobEsugDFYmYmfsbtQYABmckNuE2kevaLh7ifzz
• Sコードを受信中： https://wavesexplorer.com/tx/C5VrFLQcprbA1KXAToaNvMP4Kg2rq43NkwWuADAA7wXX

技術的な観点から見ると、Oracle は完全に動作する準備が整っており、安全に使用できます。 平均的なユーザーが使用するという観点から見ると、便利なグラフィカル インターフェイスが不足しているため、これは待つ必要があります。

ご質問にお答えしたり、コメントを受け付けたりさせていただきますので、よろしくお願いいたします。

出所： habr.com