Monero의 기밀 거래 또는 무엇을 아는 사람에게 어디에서 아는 사람으로 전송하는 방법

우리는 Monero 블록체인에 대한 시리즈를 계속하고 있으며 오늘 기사에서는 기밀 거래와 새로운 링 서명을 도입하는 RingCT(Ring Confidential Transactions) 프로토콜에 중점을 둘 것입니다. 불행하게도 인터넷에는 그것이 어떻게 작동하는지에 대한 정보가 거의 없기 때문에 우리는 이 격차를 메우려고 노력했습니다.

우리는 네트워크가 이 프로토콜을 사용하여 전송 금액을 숨기는 방법, 고전적인 암호화폐 링 서명을 포기한 이유, 그리고 이 기술이 어떻게 더 발전할 것인지에 대해 이야기할 것입니다.

이 프로토콜은 Monero에서 가장 복잡한 기술 중 하나이기 때문에 독자는 이 블록체인 설계에 대한 기본 지식과 타원 곡선 암호화에 대한 통과 지식이 필요합니다. 에 관한 이전 기사 다중 서명).

RingCT 프로토콜

암호화폐에 대한 가능한 공격 중 하나는 전송된 거래의 양과 시간에 대한 지식을 기반으로 한 블록체인 분석입니다. 이를 통해 공격자가 관심을 가질 수 있는 출구에 대한 검색 영역을 상당히 좁힙니다. 이러한 분석을 방지하기 위해 Monero는 네트워크의 전송량을 완전히 숨기는 익명 거래 프로토콜을 구현했습니다.

금액을 숨긴다는 아이디어가 새로운 것이 아니라는 점은 주목할 가치가 있습니다. 비트코인 코어 개발자 Greg Maxwell은 자신의 저서에서 이를 최초로 설명한 사람 중 한 명입니다. 기사 기밀 거래. RingCT의 현재 구현은 링 서명을 사용할 수 있는 가능성을 수정한 것입니다(링 서명이 없든 상관없음). 그래서 이름이 Ring Confidential Transactions가 되었습니다.

무엇보다도 이 프로토콜은 가치보다 더 많은 문제를 야기하는 소량의 출력(일반적으로 거래에서 변경된 형태로 수신됨)의 혼합 먼지 출력과 관련된 문제를 제거하는 데 도움이 됩니다.

2017년 6월, 모네로 네트워크의 하드포크가 발생하여 기밀 거래를 선택적으로 사용할 수 있게 되었습니다. 그리고 이미 같은 해 XNUMX월 버전 XNUMX 하드 포크를 통해 이러한 거래는 네트워크에서 허용되는 유일한 거래가 되었습니다.

RingCT는 다층 연결된 자발적 익명 그룹 서명(Multilayered Linkable Spontaneous Anonymous Group Signature, 이하 MLSAG라고 함), 약속 체계(Pedersen Commitments) 및 범위 증명(이 용어는 러시아어로 확립된 번역이 없음)과 같은 여러 메커니즘을 한 번에 사용합니다. .

RingCT 프로토콜은 단순 및 전체라는 두 가지 유형의 익명 트랜잭션을 도입합니다. 지갑은 트랜잭션이 둘 이상의 입력을 사용할 때 첫 번째를 생성하고, 반대 상황에서는 두 번째를 생성합니다. 거래 금액과 MLSAG 서명으로 서명된 데이터의 유효성 검사가 다릅니다(이에 대해서는 아래에서 자세히 설명하겠습니다). 더욱이, full 유형의 트랜잭션은 임의 개수의 입력으로 생성될 수 있으며 근본적인 차이는 없습니다. 책에서 "제로 투 모네로" 이와 관련하여 전체 거래를 하나의 입력으로 제한하기로 한 결정은 성급하게 이루어졌으며 향후 변경될 수도 있다고 합니다.

MLSAG 서명

서명된 트랜잭션 입력이 무엇인지 기억해 봅시다. 각 거래는 일부 자금을 지출하고 생성합니다. 자금 생성은 거래 출력(지폐와 직접적으로 유사)을 생성하여 발생하며 거래에서 지출한 출력(결국 실제 생활에서는 지폐를 사용함)이 입력이 됩니다(조심하세요. 혼동하기가 매우 쉽습니다). 여기).

입력은 여러 출력을 참조하지만 하나만 사용하므로 번역 내역을 분석하기 어렵게 만드는 "연막"이 생성됩니다. 트랜잭션에 입력이 두 개 이상인 경우 이러한 구조는 행렬로 표현될 수 있습니다. 여기서 행은 입력이고 열은 혼합 출력입니다. 트랜잭션이 출력을 정확히 소비한다는 것(비밀 키를 알고 있음)을 네트워크에 증명하기 위해 입력은 링 서명으로 서명됩니다. 이러한 서명은 서명자가 모든 열의 모든 요소에 대한 비밀 키를 알고 있음을 보장합니다.

기밀 거래는 더 이상 기존 거래를 사용하지 않습니다. 암호문 링 시그니처는 다중 입력에 적합한 유사한 단일 레이어 링 시그니처 버전인 MLSAG로 대체되었습니다. LSAG.

한 번에 여러 입력에 서명하기 때문에 다중 레이어라고 하며 각 입력은 여러 다른 입력과 혼합됩니다. 즉, 하나의 행이 아닌 행렬이 서명됩니다. 나중에 살펴보겠지만 이는 서명 크기를 줄이는 데 도움이 됩니다.

2개의 실제 출력을 사용하고 혼합을 위해 블록체인의 m - 1 임의 출력을 사용하는 트랜잭션의 예를 사용하여 링 서명이 어떻게 형성되는지 살펴보겠습니다. 우리가 소비하는 출력의 공개 키를 다음과 같이 표시하겠습니다.
, 이에 따른 주요 이미지는 다음과 같습니다. 따라서 우리는 크기의 행렬을 얻습니다. 2xm. 먼저, 각 출력 쌍에 대한 소위 과제를 계산해야 합니다.

공개 키를 사용하여 출력으로 계산을 시작합니다.그리고 난수결과적으로 우리는 다음과 같은 값을 얻습니다.
, 챌린지를 계산하는 데 사용됩니다.
다음 출력 쌍(대체하는 내용을 더 쉽게 이해할 수 있도록 이러한 값을 다른 색상으로 강조 표시했습니다). 다음 값은 모두 첫 번째 그림에 제공된 공식을 사용하여 원으로 계산됩니다. 마지막으로 계산해야 할 것은 한 쌍의 실제 출력에 대한 과제입니다.

보시다시피 실제 출력을 포함하는 열을 제외한 모든 열은 무작위로 생성된 숫자를 사용합니다.. 에 π- 열도 필요합니다. 변신하자초:
서명 자체는 다음 모든 값의 튜플입니다.

그런 다음 이 데이터는 트랜잭션에 기록됩니다.

보시다시피 MLSAG에는 단 하나의 챌린지가 포함되어 있습니다. c0, 서명 크기를 절약할 수 있습니다(이미 많은 공간이 필요함). 다음으로, 모든 검사관은 데이터를 사용하여, c1,…, cm 값을 복원하고 다음을 확인합니다.. 따라서 우리의 링은 닫히고 서명이 확인되었습니다.

전체 유형의 RingCT 트랜잭션의 경우 혼합 출력이 있는 매트릭스에 라인이 하나 더 추가되지만 이에 대해서는 아래에서 설명하겠습니다.

Pedersen의 약속

의무 제도 (영어 용어인 commits가 더 자주 사용됨)은 실제로 공개하지 않고도 한 당사자가 특정 비밀(번호)을 알고 있음을 증명할 수 있도록 사용됩니다. 예를 들어, 주사위에 특정 숫자를 굴리고 약속을 고려한 후 검증자에게 전달합니다. 따라서 비밀번호를 공개하는 순간 검증자는 독립적으로 공약금액을 계산하여 귀하가 자신을 속이지 않았는지 확인합니다.

Monero 약정은 전송 금액을 숨기고 가장 일반적인 옵션인 Pedersen 약정을 사용하는 데 사용됩니다. 그건 그렇고, 흥미로운 사실은 처음에 개발자가 일반적인 혼합, 즉 불확실성을 도입하기 위해 임의의 양에 대한 출력을 추가하여 양을 숨길 것을 제안했지만 그런 다음 약속으로 전환했습니다 (절약했다는 사실은 아닙니다). 아래에서 볼 수 있듯이 거래 규모).
일반적으로 헌신은 다음과 같습니다.
Где C — 헌신 자체의 의미, a - 숨겨진 금액, H 는 타원 곡선의 고정점입니다(추가 생성기). x — 일종의 임의 마스크, 무작위로 생성된 숨기기 요소입니다. 여기에는 제XNUMX자가 헌신의 가치를 단순히 추측할 수 없도록 하는 마스크가 필요합니다.

새로운 출력이 생성되면 지갑은 이에 대한 약정을 계산하고, 소비되면 트랜잭션 유형에 따라 생성 중에 계산된 값을 가져오거나 다시 계산합니다.

링CT 심플

간단한 RingCT 거래의 경우, 거래가 입력 금액과 동일한 금액으로 출력을 생성했는지(허공에서 돈을 창출하지 않았는지) 확인하려면 첫 번째와 두 번째 약정의 합계가 필요합니다. 즉, 동일해야 합니다.

커미션 커미션은 마스크 없이 조금 다르게 간주합니다.
어디에서 a — 커미션 금액은 공개적으로 이용 가능합니다.

이 접근 방식을 통해 우리는 공개하지 않고도 동일한 금액을 사용하고 있음을 신뢰 당사자에게 증명할 수 있습니다.

더 명확하게 설명하기 위해 예를 살펴보겠습니다. 트랜잭션이 10과 5 XMR의 두 가지 출력(입력이 됨을 의미)을 사용하고 12 XMR에 해당하는 세 가지 출력(3, 4, 5 XMR)을 생성한다고 가정해 보겠습니다. 동시에 그는 3 XMR의 수수료를 지불합니다. 따라서 지출된 금액에 생성된 금액과 커미션을 더한 금액은 15 XMR과 같습니다. 약속을 계산하고 금액의 차이를 살펴보겠습니다(수학을 기억하세요).

여기에서 방정식이 수렴하려면 입력 마스크와 출력 마스크의 합이 같아야 함을 알 수 있습니다. 이를 위해 지갑은 무작위로 생성됩니다. x1, y1, y2 및 y3, 그리고 나머지 x2 다음과 같이 계산합니다.

이러한 마스크를 사용하면 금액을 공개하지 않고도 지출보다 더 많은 자금을 창출하지 않는다는 것을 검증자에게 증명할 수 있습니다. 원본 맞죠?

링CT가 꽉 찼습니다.

전체 RingCT 거래에서는 이체 금액을 확인하는 것이 좀 더 복잡합니다. 이러한 거래에서 지갑은 입력에 대한 약속을 다시 계산하지 않고 생성 시 계산된 약속을 사용합니다. 이 경우 더 이상 합계의 차이가 XNUMX이 되지 않고 대신 다음과 같이 가정해야 합니다.

여기에 z — 입력 마스크와 출력 마스크의 차이. 우리가 고려한다면 zG 공개 키로 (사실상) z 개인 키입니다. 따라서 우리는 공개 키와 해당 개인 키를 알고 있습니다. 이 데이터를 사용하면 혼합되는 출력의 공개 키와 함께 MLSAG 링 서명에 사용할 수 있습니다.

따라서 유효한 링 서명은 열 중 하나의 모든 개인 키를 알고 있음을 보장하며, 거래가 지출한 것보다 더 많은 자금을 생성하지 않는 경우 마지막 행의 개인 키만 알 수 있습니다. 그건 그렇고, 여기에 "약속 금액의 차이가 XNUMX으로 이어지지 않는 이유"라는 질문에 대한 답이 있습니다. zG = 0그런 다음 실제 출력으로 열을 확장합니다.

자금을 받은 사람은 자신에게 송금된 금액이 얼마인지 어떻게 알 수 있나요? 여기에서는 모든 것이 간단합니다. 트랜잭션 발신자와 수신자는 Diffie-Hellman 프로토콜을 사용하여 키를 교환하고 트랜잭션 키와 수신자의 보기 키를 사용하여 공유 비밀을 계산합니다. 보낸 사람은 이 공유 키로 암호화된 출력 금액에 대한 데이터를 거래의 특수 필드에 기록합니다.

범위 증명

약정 금액에 음수를 사용하면 어떻게 되나요? 이로 인해 추가 코인이 생성될 수 있습니다! 이 결과는 받아들일 수 없으므로 우리가 사용하는 금액이 마이너스가 아니라는 것을 보장해야 합니다(물론 이 금액을 공개하지 않고 그렇지 않으면 너무 많은 노력이 필요하고 모두 헛된 것입니다). 즉, 합이 구간 내에 있음을 증명해야 합니다. [0, 2n - 1].

이를 위해 각 출력의 합계를 이진수로 나누고 각 자릿수에 대해 약정을 별도로 계산합니다. 예제를 통해 이것이 어떻게 발생하는지 확인하는 것이 좋습니다.

우리의 양이 작고 4비트(실제로는 64비트)에 적합하다고 가정하고 5 XMR 가치의 출력을 생성합니다. 각 범주에 대한 약정과 전체 금액에 대한 총 약정을 계산합니다.
다음으로 각 약속은 대리자와 혼합됩니다. (Ci-2iH) 2015년 Greg Maxwell이 제안한 Borromeo 링 시그니처(또 다른 링 시그니처)와 쌍으로 서명됩니다(자세한 내용을 읽을 수 있음). 여기에):
종합하면, 이를 범위 증명이라고 하며 약정이 범위 내의 금액을 사용하도록 보장할 수 있습니다. [0, 2n - 1].

다음은 뭐지?

현재 구현에서 범위 증명은 출력당 6176바이트의 많은 공간을 차지합니다. 이로 인해 거래 규모가 커지고 수수료가 높아집니다. Monero 거래의 크기를 줄이기 위해 개발자는 Borromeo 서명 대신에 비트 약속이 없는 범위 증명 메커니즘인 방탄을 도입하고 있습니다. 일부 견적, 범위 증명의 크기를 최대 94%까지 줄일 수 있습니다. 그런데 XNUMX월 중순에 기술이 통과됐어요. 심사 Kudelski Security의 기술 자체나 구현에서 심각한 단점을 드러내지 않았습니다. 해당 기술은 이미 테스트 네트워크에서 사용되고 있으며, 새로운 하드포크를 통해 메인 네트워크로의 이동이 가능할 것으로 보입니다.

질문을 하고, 암호화폐 분야의 기술에 관한 새로운 기사의 주제를 제안하고, 다음 그룹을 구독하세요. 페이스북우리의 이벤트와 출판물을 최신 상태로 유지합니다.

출처 : habr.com