계정 기반 블록체인의 익명성에 대해

우리는 오랫동안 암호 화폐의 익명성 주제에 관심을 가져 왔으며 이 분야의 기술 개발을 따르려고 노력했습니다. 우리 기사에서 우리는 이미 작업 원리를 자세히 분석했습니다. 기밀 거래 모네로에서도 개최 비교 검토 이 분야의 기술. 그러나 오늘날 모든 익명의 암호화폐는 Bitcoin - Unspent Transaction Output(이하 UTXO라고 함)에서 제안한 데이터 모델을 기반으로 합니다. Ethereum과 같은 계정 기반 블록체인의 경우 기존 익명성 및 개인정보 보호 솔루션(예: 뫼비우스 또는 아즈텍) 스마트 계약에서 UTXO 모델을 복제하려고 시도했습니다.

2019년 XNUMX월 스탠포드 대학과 비자 리서치 연구팀은 출시 된 사전 인쇄 "Zether: 스마트 계약 세계의 프라이버시를 향하여". 저자는 처음으로 계정 기반 블록체인에서 익명성을 보장하는 접근 방식을 제안하고 스마트 계약에 대한 두 가지 옵션을 제시했습니다. 기밀(잔액 및 이체 금액 숨기기) 및 익명(수신자와 발신자 숨기기) 트랜잭션입니다. 우리는 제안된 기술이 흥미롭고 그 디자인을 공유하고 계정 기반 블록체인의 익명성 문제가 왜 매우 어려운 것으로 간주되는지와 저자가 이를 최대한 해결했는지에 대해 이야기하고 싶습니다.

이러한 데이터 모델의 구조 정보

UTXO 모델에서 트랜잭션은 "입력"과 "출력"으로 구성됩니다. "출력"의 직접적인 유사점은 지갑에 있는 지폐입니다. 각 "출력"에는 액면가가 있습니다. 누군가에게 지불할 때(트랜잭션 형성) 하나 이상의 "출력"을 사용하는 반면, 트랜잭션의 "입력"이 되고 블록체인은 이를 사용된 것으로 표시합니다. 이 경우 결제 수령인(또는 변경이 필요한 경우 본인)은 새로 생성된 "출력"을 받습니다. 개략적으로 이것은 다음과 같이 나타낼 수 있습니다.

계정 기반 블록체인은 은행 계좌와 매우 유사하게 설정됩니다. 귀하의 계좌 금액과 이체 금액에 대해서만 작동합니다. 계정에서 일정 금액을 이체할 때 "출력"을 소각하지 않으며, 네트워크는 어떤 코인이 사용되고 어떤 코인이 사용되지 않는지 기억할 필요가 없습니다. 가장 간단한 경우 거래 확인은 발신인의 서명과 잔액 확인으로 귀결됩니다.

기술 분석

다음으로 Zether가 거래 금액, 수신자 및 발신자를 숨기는 방법에 대해 설명합니다. 작동 원리를 설명하는 과정에서 기밀 버전과 익명 버전의 차이점에 주목합니다. 계정 기반 블록체인에서 프라이버시를 제공하는 것이 훨씬 쉽기 때문에 익명화에 의해 부과되는 일부 제한 사항은 기술의 기밀 버전과 관련이 없습니다.

잔액 및 이체 금액 숨기기

Zether는 암호화 체계를 사용하여 잔액 및 전송 금액을 암호화합니다. 엘 가말. 다음과 같이 작동합니다. 앨리스가 밥을 보내고 싶을 때 b 주소별 코인(공개 키) Y, 그녀는 임의의 숫자를 선택 r 금액을 암호화합니다.

어디에서 C - 암호화 금액, D - 이 금액을 해독하는 데 필요한 보조 값, G - 공개키를 획득한 비밀키를 곱할 때 타원곡선 상의 고정점.

Bob은 이러한 값을 받으면 동일한 방식으로 암호화된 잔액에 추가하기만 하면 됩니다. 이는 이 체계에 편리합니다.

마찬가지로 Alice는 잔액에서 동일한 값을 뺍니다. Y 공개 키를 사용합니다.

수신인과 발신인 숨기기

UTXO의 혼합 "출력"은 cryptocurrencies의 새벽에 나타 났으며 보낸 사람을 숨기는 데 도움이 됩니다. 이를 위해 전송자는 전송 시 블록체인에서 임의의 "출력"을 수집하고 이를 자신의 것과 혼합합니다. 그런 다음 그는 링 서명으로 "출력"에 서명합니다. 이는 보낸 사람의 동전이 관련 "출력"에 포함되어 있음을 확인자에게 확신시킬 수 있는 암호화 메커니즘입니다. 물론 코인 자체는 사용되지 않습니다.

그러나 수신자를 숨기기 위해 가짜 "출력"을 생성할 수 없습니다. 따라서 UTXO에서 각 "출력"은 고유한 주소를 가지며 이러한 코인을 받는 사람의 주소와 암호학적으로 연결됩니다. 현재로서는 비밀 키를 모르면 고유한 "출구" 주소와 수신자의 주소 사이의 관계를 밝힐 방법이 없습니다.

계정 기반 모델에서는 일회성 주소를 사용할 수 없습니다(그렇지 않으면 이미 "출구" 모델이 됩니다). 따라서 수신자와 발신자는 블록체인의 다른 계정 간에 혼합되어야 합니다. 동시에 실제 잔액을 변경하지 않고 암호화된 0개의 코인이 혼합 계정에서 차감됩니다(또는 수신자가 혼합된 경우 0이 추가됨).

보내는 사람과 받는 사람 모두 항상 영구적인 주소를 가지고 있기 때문에 여기서는 같은 주소로 전송할 때 혼합을 위해 같은 그룹을 사용해야 합니다. 예를 들어 보면 더 쉽습니다.

Alice가 Bob의 자선 재단에 기부하기로 결정했지만 이 송금이 외부 관찰자에게 익명으로 유지되는 것을 선호한다고 가정해 보겠습니다. 그런 다음 발신자 필드에서 자신을 변장하기 위해 Adam과 Adele의 계정도 입력합니다. 그리고 수신자 필드에서 Bob을 숨기려면 추가로 Ben과 Bill의 계정을 숨깁니다. 다음 편을 만들 때 Alice는 그녀 옆에 Alex와 Amanda를, Bob 옆에 Bruce와 Benjen을 쓰기로 결정했습니다. 이 경우 이 두 트랜잭션에서 블록체인을 분석할 때 이러한 트랜잭션을 비익명화하는 Alice와 Bob이라는 교차하는 참가자 쌍은 하나뿐입니다.

거래 경합

이미 언급했듯이 계정 기반 시스템에서 잔액을 숨기기 위해 사용자는 잔액과 이체 금액을 암호화합니다. 동시에 그는 자신의 계정 잔액이 마이너스가 아님을 증명해야 합니다. 문제는 트랜잭션을 형성할 때 사용자가 자신의 현재 계정 상태에 대한 증거를 구축한다는 것입니다. 그러나 Bob이 Alice에게 트랜잭션을 보내고 Alice가 보낸 트랜잭션보다 먼저 수락되면 어떻게 됩니까? 그런 다음 Alice의 거래는 유효하지 않은 것으로 간주됩니다. Bob의 거래가 수락되기 전에 잔액 증명이 구축되었기 때문입니다.

이러한 상황에서 가장 먼저 나오는 해결책은 거래가 발생할 때까지 계정을 동결하는 것입니다. 그러나이 접근 방식은 분산 시스템에서 이러한 문제를 해결하는 복잡성 외에도 익명 체계에서 차단할 계정이 명확하지 않기 때문에 적합하지 않습니다.

이 문제를 해결하기 위해 이 기술은 들어오는 트랜잭션과 나가는 트랜잭션을 분리합니다. 지출 자금은 대차 대조표에 즉각적인 영향을 미치고 영수증은 지연된 영향을 미칩니다. 이를 위해 고정 크기의 블록 그룹인 "신기원(epoch)" 개념이 도입되었습니다. 현재 "에포크"는 블록 높이를 그룹 크기로 나누어 결정됩니다. 트랜잭션을 처리할 때 네트워크는 발신인의 잔액을 즉시 업데이트하고 수신인의 자금을 누적기에 추가합니다. 축적된 자금은 새로운 "시대"가 시작될 때만 수취인이 사용할 수 있습니다.

결과적으로 사용자는 자금을 받는 빈도에 관계없이(물론 잔액이 허용하는 한) 거래를 보낼 수 있습니다. 에포크 크기는 블록이 네트워크를 통해 전파되는 속도와 트랜잭션이 블록에 도달하는 속도에 따라 결정됩니다.

이 솔루션은 기밀 전송의 경우 잘 작동하지만 익명 트랜잭션의 경우 나중에 살펴보겠지만 심각한 문제가 발생합니다.

재생 공격으로부터 보호

계정 기반 블록체인에서 각 거래는 발신인의 개인 키로 서명되며, 이는 거래가 수정되지 않았으며 이 키의 소유자가 생성했음을 검증자에게 확신시킵니다. 그러나 전송 채널에서 듣고 있던 공격자가 이 메시지를 가로채서 정확히 동일한 두 번째 메시지를 보낸다면 어떻게 될까요? 검증자는 거래의 서명을 확인하고 그 소유권을 확신하며 네트워크는 발신인의 잔액에서 동일한 금액을 다시 상각합니다.

이 공격을 재생 공격이라고 합니다. UTXO 모델에서 공격자는 그 자체로는 유효하지 않고 네트워크에서 거부되는 사용된 출력을 사용하려고 시도하기 때문에 이러한 공격은 관련이 없습니다.

이를 방지하기 위해 난스(nonce) 또는 단순히 "소금"이라고 하는 임의의 데이터가 포함된 필드가 트랜잭션에 포함됩니다. "salt"와 함께 트랜잭션을 다시 보낼 때 검증자는 이 nonce가 이전에 사용되었는지 확인하고 그렇지 않은 경우 이 트랜잭션이 유효한 것으로 간주합니다. 사용자 논스의 전체 이력을 블록체인에 저장하지 않기 위해 일반적으로 첫 번째 트랜잭션에서 XNUMX으로 처리한 다음 XNUMX씩 증가시킵니다. 네트워크는 새 트랜잭션의 논스가 이전 트랜잭션과 하나씩 다른지 확인하기만 하면 됩니다.

익명 전송 방식에서는 트랜잭션 논스의 유효성을 검사하는 문제가 발생합니다. Nonce를 보낸 사람의 주소에 명시적으로 바인딩할 수 없습니다. 분명히 이것은 전송을 비익명화하기 때문입니다. 또한 진행 중인 다른 전송과 충돌할 수 있으므로 모든 참여 계정의 논스에 하나를 추가할 수 없습니다.

Zether의 작성자는 "신기원"에 따라 암호학적으로 nonce를 생성할 것을 제안합니다. 예를 들어:

여기에 x 보낸 사람의 비밀 키이고 게폭 — 'Zether + '와 같은 문자열을 해싱하여 얻은 신기원용 추가 생성기. 이제 문제가 해결된 것 같습니다. 우리는 보낸 사람의 논스를 공개하지 않고 관련되지 않은 참가자의 논스를 방해하지 않습니다. 그러나 이 접근 방식에는 심각한 제한이 있습니다. 하나의 계정은 "epoch"당 하나의 트랜잭션만 보낼 수 있습니다. 안타깝게도 이 문제는 해결되지 않은 상태로 남아 있으며 현재 Zether의 익명 버전을 거의 사용할 수 없다고 생각합니다.

영지식 증명의 복잡성

UTXO에서 보낸 사람은 자신이 마이너스 금액을 지출하지 않았음을 네트워크에 증명해야 합니다. 그렇지 않으면 허공에서 새로운 코인을 생성할 수 있게 됩니다(이것이 가능한 이유는 이전 조항). 또한 반죽되는 동전 중에 그에게 속한 자금이 있음을 증명하기 위해 반지 서명으로 "입구"에 서명합니다.

계정 기반 블록체인의 익명 버전에서 증명 표현은 훨씬 더 복잡합니다. 발신자는 다음을 증명합니다.

1. 보낸 금액이 양수입니다.
2. 잔액은 마이너스가 아닙니다.
3. 발신자가 이체 금액(XNUMX 포함)을 올바르게 암호화했습니다.
4. 발신자와 수신자에 대해서만 잔액이 변경됩니다.
5. 보낸 사람은 자신의 계정에 대한 비밀 키를 소유하고 있으며 보낸 사람 목록에 실제로 존재합니다(관련된 사람 중).
6. 트랜잭션에 사용된 nonce가 정확합니다.

이러한 복잡한 증명을 위해 저자는 혼합을 사용합니다. Bulletproof (그런데 저자 중 한 명이 창작에 참여했습니다) 시그마 프로토콜, 시그마 총알이라고합니다. 그러한 진술의 공식적인 증명은 다소 어려운 작업이며 기술을 구현하려는 사람들의 수를 크게 제한합니다.

결과는 어떻습니까?

우리의 의견으로는 계정 기반 블록체인에 개인 정보를 제공하는 Zether의 일부를 지금 당장 사용할 수 있습니다. 그러나 현재 이 기술의 익명 버전은 사용과 구현에 대한 복잡성에 심각한 제한을 가하고 있습니다. 그러나 작성자가 불과 몇 달 전에 릴리스했으며 아마도 다른 사람이 오늘날 존재하는 문제에 대한 해결책을 찾을 수 있다는 사실을 무시해서는 안 됩니다. 결국 그것이 과학이 이루어지는 방식입니다.

출처 : habr.com