Доверливи трансакции во Монеро или како да префрлите непознати работи на непознати дестинации

Ја продолжуваме нашата серија за блокчејнот Monero, а денешната статија ќе се фокусира на протоколот RingCT (Ринг доверливи трансакции), кој воведува доверливи трансакции и нови потписи на прстен. За жал, на интернет има малку информации за тоа како функционира и се обидовме да ја пополниме оваа празнина.

Ќе зборуваме за тоа како мрежата ги крие трансферните суми користејќи го овој протокол, зошто ги напуштија класичните потписи на прстените на криптонот и како оваа технологија понатаму ќе се развива.

Бидејќи овој протокол е една од најкомплексните технологии во Монеро, на читателот ќе му треба основно познавање на дизајнот на овој блокчејн и минливо познавање на криптографијата на елипсовидна крива (за да го научи ова знаење, можете да ги прочитате првите поглавја од нашата претходна статија за повеќе потписи).

RingCT протокол

Еден од можните напади на криптоноти валути е анализа на блокчејн базирана на знаење за износот и времето на испратената трансакција. Ова овозможува значително стеснете ја областа за пребарување за излези од интерес за напаѓачот. За да се заштити од ваквата анализа, Monero имплементира анонимен протокол за трансакции кој целосно ги крие износите на трансфери на мрежата.

Вреди да се напомене дека идејата за криење износи не е нова. Развивачот на Bitcoin Core, Грег Максвел, беше еден од првите што го опиша во својата напис Доверливи трансакции. Сегашната имплементација на RingCT е нејзина измена со можност за користење прстенести потписи (без нив), и така го доби своето име - Ring Confidential Transactions.

Меѓу другото, протоколот помага да се ослободиме од проблемите со мешање на излези од прашина - излези од мала количина (обично добиени во форма на промена од трансакции), што создаде повеќе проблеми отколку што вредеа.

Во јануари 2017 година, се случи хард вилушка на мрежата Monero, овозможувајќи опционална употреба на доверливи трансакции. И веќе во септември истата година, со хард вилушката верзија 6, ваквите трансакции станаа единствените дозволени на мрежата.

RingCT користи неколку механизми одеднаш: повеќеслојни поврзани спонтани анонимни групни потписи (Повеќеслојна поврзана спонтана анонимна група потпис, во понатамошниот текст MLSAG), шема на обврски (заложби на Педерсен) и докажување опсег (овој термин нема воспоставен превод на руски) .

Протоколот RingCT воведува два типа на анонимни трансакции: едноставни и целосни. Паричникот го генерира првото кога трансакцијата користи повеќе од еден влез, вториот - во спротивна ситуација. Тие се разликуваат во валидацијата на износите на трансакциите и податоците потпишани со потпис на MLSAG (ќе зборуваме повеќе за ова подолу). Покрај тоа, трансакциите од типот full може да се генерираат со кој било број на влезови, нема фундаментална разлика. Во книгата „Нула до Монеро“ Во овој поглед, се вели дека одлуката за ограничување на целосните трансакции на еден влез е донесена набрзина и може да се промени во иднина.

Потпис на МЛСАГ

Ајде да се потсетиме кои се влезните податоци за потпишана трансакција. Секоја трансакција троши и генерира одредени средства. Генерирањето средства се случува со создавање на излези од трансакцијата (директна аналогија се сметките), а излезот што трансакцијата го троши (на крајот на краиштата, во реалниот живот трошиме банкноти) станува влезен (внимавајте, многу е лесно да се збуните овде).

Влезот упатува на повеќе излези, но троши само еден, со што се создава „димна завеса“ за да се отежне анализата на историјата на преводот. Ако трансакцијата има повеќе од еден влез, тогаш таквата структура може да се претстави како матрица, каде што редовите се влезови, а колоните се мешани излези. За да и се докаже на мрежата дека трансакцијата ги троши токму своите излези (ги знае нивните тајни клучеви), влезовите се потпишуваат со прстенест потпис. Таквиот потпис гарантира дека потписникот ги знаел тајните клучеви за сите елементи на која било од колоните.

Доверливите трансакции повеќе не користат класични криптонот прстенести потписи, тие беа заменети со MLSAG - верзија на слични еднослојни прстенести потписи прилагодени за повеќекратни влезови, LSAG.

Тие се нарекуваат повеќеслојни затоа што потпишуваат неколку влезови одеднаш, од кои секој се меша со неколку други, односно се потпишува матрица, а не еден ред. Како што ќе видиме подоцна, ова помага да се заштеди на големината на потписот.

Ајде да погледнеме како се формира прстен потпис, користејќи го примерот на трансакција која троши 2 реални излези и користи m - 1 случајни од блокчејнот за мешање. Дозволете ни да ги означиме јавните клучеви на резултатите што ги трошиме како
, и клучни слики за нив соодветно: Така, добиваме матрица на големина 2 x m. Прво, треба да ги пресметаме таканаречените предизвици за секој пар на излези:

Пресметките ги започнуваме со излезите кои ги трошиме користејќи ги нивните јавни клучеви:и случајни броевиКако резултат, ги добиваме следните вредности:
, кој го користиме за пресметување на предизвикот
следниот пар на излези (за полесно да разбереме што заменуваме каде, ги истакнавме овие вредности во различни бои). Сите следни вредности се пресметуваат во круг користејќи ги формулите дадени на првата илустрација. Последното нешто што треба да се пресмета е предизвикот за пар реални резултати.

Како што можеме да видиме, сите колони освен онаа што содржи реални излези користат случајно генерирани броеви. За π- колумна ќе ни требаат и тие. Ајде да се трансформирамево с:
Самиот потпис е торка од сите овие вредности:

Овие податоци потоа се запишуваат во трансакција.

Како што можеме да видиме, МЛСАГ содржи само еден предизвик c0, што ви овозможува да заштедите на големината на потписот (што веќе бара многу простор). Понатаму, секој инспектор, користејќи ги податоците, ги враќа вредностите c1,…, cm и го проверува тоа. Така, нашиот прстен е затворен и потписот е заверен.

За трансакции RingCT од целосен тип, во матрицата се додава уште една линија со мешани излези, но за ова ќе зборуваме подолу.

Обврски на Педерсен

Шеми за обврски (почесто се користи англискиот термин обврски) за да може едната страна да докаже дека знае одредена тајна (број) без всушност да ја открие. На пример, фрлате одреден број на коцките, размислувате за посветеноста и го предавате на страната што верификува. Така, во моментот на откривање на тајниот број, верификаторот самостојно ја пресметува обврската, со што се уверува дека не сте го измамиле.

Обврските на Monero се користат за да се сокријат износите на трансфери и да се користи најчестата опција - обврските на Педерсен. Патем, интересен факт - прво програмерите предложија да се сокријат износите со обично мешање, односно да се додадат излези за произволни износи со цел да се внесе неизвесност, но потоа се префрлија на обврски (не е факт дека заштедиле на големината на трансакцијата, како што ќе видиме подолу).
Во принцип, посветеноста изгледа вака:
Каде C - значењето на самата посветеност, a - скриена сума, H е фиксна точка на елиптичната крива (дополнителен генератор), и x — некаква произволна маска, фактор на криење генериран случајно. Маската е потребна овде за трето лице едноставно да не може да ја погоди вредноста на посветеноста.

Кога се генерира нов излез, паричникот ја пресметува посветеноста за него, а кога се троши, ја зема или вредноста пресметана за време на генерирањето или повторно ја пресметува, во зависност од видот на трансакцијата.

RingCT едноставен

Во случај на едноставни трансакции RingCT, со цел да се осигура дека трансакцијата создаде излези во износ еднаков на износот на влезови (не произведе пари од воздух), неопходно е збирот на обврските од првиот и вториот тие да бидат исти, односно:

Комисиите за обврски сметаат дека е малку поинаку - без маска:
каде a — висината на провизијата, таа е јавно достапна.

Овој пристап ни овозможува да и докажеме на засегната страна дека ги користиме истите износи без да ги откриеме.

За нештата да бидат појасни, да погледнеме пример. Да речеме дека трансакцијата троши два излеза (што значи дека тие стануваат влезови) од 10 и 5 XMR и генерира три излези во вредност од 12 XMR: 3, 4 и 5 XMR. Во исто време, тој плаќа провизија од 3 XMR. Така, износот на потрошените пари плус генерираната сума и провизијата е еднаква на 15 XMR. Ајде да се обидеме да ги пресметаме обврските и да ја погледнеме разликата во нивните износи (запомнете ја математиката):

Овде гледаме дека за равенката да се спои, ни треба збировите на влезните и излезните маски да бидат исти. За да го направите ова, паричникот генерира случајно x1, y1, y2 и y3, и останатите x2 пресметува вака:

Користејќи ги овие маски, можеме да му докажеме на кој било проверувач дека не генерираме повеќе средства отколку што трошиме, без да ја откриеме сумата. Оригинал, нели?

RingCT полн

Во целосните трансакции со RingCT, проверката на износите на трансферот е малку посложена. Во овие трансакции, паричникот не ги пресметува обврските за влезови, туку ги користи оние пресметани кога биле генерирани. Во овој случај, мора да претпоставиме дека повеќе нема да ја добиваме разликата во збировите еднакви на нула, туку наместо тоа:

Тука z — разлика помеѓу влезните и излезните маски. Ако земеме предвид zG како јавен клуч (што де факто е), тогаш z е приватниот клуч. Така, ги знаеме јавните и соодветните приватни клучеви. Со овие податоци во рака, можеме да ги користиме во потписот на прстенот на MLSAG заедно со јавните клучеви на излезите што се мешаат:

Така, валиден прстен потпис ќе обезбеди дека ги знаеме сите приватни клучеви на една од колоните, а приватниот клуч може да го знаеме само во последниот ред ако трансакцијата не генерира повеќе средства отколку што троши. Патем, еве го одговорот на прашањето „зошто разликата во износите на обврските не води на нула“ - ако zG = 0, тогаш колоната ќе ја прошириме со реални излези.

Како знае примачот на средствата колку пари му биле испратени? Сè е едноставно овде - испраќачот на трансакцијата и примачот ги разменуваат клучевите со помош на протоколот Diffie-Hellman, користејќи го клучот за трансакција и клучот за преглед на примачот и ја пресметуваат споделената тајна. Испраќачот запишува податоци за излезните износи, шифрирани со овој споделен клуч, во посебни полиња на трансакцијата.

Доказ за опсег

Што се случува ако користите негативен број како износ во обврските? Ова може да доведе до генерирање на дополнителни монети! Овој исход е неприфатлив, затоа треба да гарантираме дека износите што ги користиме не се негативни (се разбира, без да ги откриеме овие суми, инаку има толку многу работа и се залудно). Со други зборови, мора да докажеме дека збирот е во интервалот [0, 2n - 1].

За да го направите ова, збирот на секој излез е поделен на бинарни цифри и посветеноста се пресметува за секоја цифра посебно. Подобро е да се види како тоа се случува со пример.

Да претпоставиме дека нашите количини се мали и се вклопуваат во 4 бита (во пракса ова е 64 бита), а ние создаваме излез во вредност од 5 XMR. Ние ги пресметуваме обврските за секоја категорија и вкупната обврска за целиот износ:
Следно, секоја обврска се меша со сурогат (Ci-2iH) и е потпишан во парови со потписот на прстенот Borromeo (уште еден прстен потпис), предложен од Грег Максвел во 2015 година (можете да прочитате повеќе за тоа тука):
Земени заедно, ова се нарекува доказ за опсег и ви овозможува да се осигурате дека обврските користат износи во опсегот [0, 2n - 1].

Што е следно?

Во сегашната имплементација, доказите за опсег заземаат многу простор - 6176 бајти по излез. Ова води до поголеми трансакции и затоа повисоки провизии. За да ја намалат големината на трансакцијата на Monero, програмерите воведуваат отпорни на куршуми наместо потписи на Borromeo - механизам кој го докажува опсегот без битови заложби. Според некои проценки, тие се способни да ја намалат големината на доказ за опсег до 94%. Патем, во средината на јули технологијата помина ревизија од Куделски Секјурити, кој не откри значајни недостатоци ниту во самата технологија, ниту во нејзината имплементација. Технологијата веќе се користи во мрежата за тестирање, а со новата хард вилушка веројатно може да се префрли на главната мрежа.

Поставете ги вашите прашања, предложете теми за нови написи за технологии од областа на криптовалутите, а исто така претплатете се на нашата група во Facebookда бидете во тек со нашите настани и публикации.

Извор: www.habr.com