Monero मा गोप्य लेनदेन, वा अज्ञात चीजहरू अज्ञात गन्तव्यहरूमा कसरी स्थानान्तरण गर्ने

हामी मोनेरो ब्लकचेनको बारेमा हाम्रो श्रृंखला जारी राख्छौं, र आजको लेख RingCT (रिंग गोप्य लेनदेन) प्रोटोकलमा केन्द्रित हुनेछ, जसले गोप्य लेनदेनहरू र नयाँ औंठी हस्ताक्षरहरू प्रस्तुत गर्दछ। दुर्भाग्यवश, यसले कसरी काम गर्छ भन्ने बारे इन्टरनेटमा थोरै जानकारी छ, र हामीले यो खाली ठाउँ भर्ने प्रयास गर्यौं।

हामी कसरी नेटवर्कले यस प्रोटोकल प्रयोग गरेर स्थानान्तरण रकमहरू लुकाउँछ, किन तिनीहरूले क्लासिक क्रिप्टोनोट रिंग हस्ताक्षरहरू त्यागे, र यो प्रविधि कसरी थप विकास हुनेछ भन्ने बारे कुरा गर्नेछौं।

यो प्रोटोकल मोनेरोको सबैभन्दा जटिल प्रविधिहरू मध्ये एक भएकोले, पाठकलाई यस ब्लकचेनको डिजाइनको आधारभूत ज्ञान र अण्डाकार कर्भ क्रिप्टोग्राफीको पासिंग ज्ञान चाहिन्छ (यस ज्ञानमा ब्रस गर्न, तपाइँ हाम्रो पहिलो अध्यायहरू पढ्न सक्नुहुन्छ। बारेमा अघिल्लो लेख बहुहस्ताक्षरहरू).

RingCT प्रोटोकल

क्रिप्टोनोट मुद्राहरूमा सम्भावित आक्रमणहरू मध्ये एक पठाइएको लेनदेनको रकम र समयको ज्ञानमा आधारित ब्लकचेन विश्लेषण हो। यसले अनुमति दिन्छ आक्रमणकारीलाई चासोको निकासको लागि खोज क्षेत्रलाई उल्लेखनीय रूपमा संकुचित गर्नुहोस्। यस्तो विश्लेषण विरुद्ध सुरक्षा गर्न, Monero ले एक बेनामी लेनदेन प्रोटोकल लागू गरेको छ जसले नेटवर्कमा स्थानान्तरणको मात्रालाई पूर्ण रूपमा लुकाउँछ।

यो ध्यान दिन लायक छ कि रकम लुकाउने विचार नयाँ छैन। Bitcoin कोर विकासकर्ता ग्रेग मैक्सवेल आफ्नो मा वर्णन गर्न पहिलो मध्ये एक थिए लेख गोप्य लेनदेन। RingCT को हालको कार्यान्वयन भनेको घण्टी हस्ताक्षरहरू प्रयोग गर्ने सम्भावना सहितको परिमार्जन हो (तिनीहरू बिना), र यसैले यसलाई यसको नाम प्राप्त भयो - रिंग गोप्य लेनदेन।

अन्य चीजहरूको बीचमा, प्रोटोकलले धुलो आउटपुटहरू - थोरै रकमको आउटपुटहरू (सामान्यतया लेनदेनबाट परिवर्तनको रूपमा प्राप्त गरेको) को साथमा समस्याहरूबाट छुटकारा पाउन मद्दत गर्दछ, जसले तिनीहरूको मूल्य भन्दा बढी समस्याहरू सिर्जना गर्दछ।

जनवरी 2017 मा, मोनेरो नेटवर्कको कडा फोर्क भयो, गोप्य लेनदेनको वैकल्पिक प्रयोगलाई अनुमति दिँदै। र पहिले नै त्यही वर्षको सेप्टेम्बरमा, संस्करण 6 हार्ड फोर्कको साथ, त्यस्ता लेनदेनहरू मात्र नेटवर्कमा अनुमति दिइयो।

RingCT ले एकैचोटि धेरै संयन्त्रहरू प्रयोग गर्दछ: बहुस्तरीय लिङ्क गरिएको सहज अज्ञात समूह हस्ताक्षरहरू (बहु-स्तरीय लिङ्क गर्न मिल्ने सहज बेनामी समूह हस्ताक्षर, त्यसपछि MLSAG भनिन्छ), प्रतिबद्धता योजना (पेडरसन प्रतिबद्धताहरू) र दायरा प्रमाणहरू (यस शब्दको रूसीमा स्थापित अनुवाद छैन)। ।

RingCT प्रोटोकलले दुई प्रकारका बेनामी लेनदेनहरू प्रस्तुत गर्दछ: सरल र पूर्ण। लेनदेनले एक भन्दा बढी इनपुट प्रयोग गर्दा वालेटले पहिलो उत्पन्न गर्छ, दोस्रो - विपरीत स्थितिमा। तिनीहरू लेनदेन रकमहरूको प्रमाणीकरण र MLSAG हस्ताक्षरको साथ हस्ताक्षर गरिएको डेटामा भिन्न छन् (हामी तल यस बारे थप कुरा गर्नेछौं)। यसबाहेक, पूर्ण प्रकारको लेनदेनहरू कुनै पनि इनपुटहरूको साथ उत्पन्न गर्न सकिन्छ, त्यहाँ कुनै आधारभूत भिन्नता छैन। पुस्तकमा "शून्य देखि मोनेरो" यस सन्दर्भमा, यो भनिएको छ कि पूर्ण लेनदेन एक इनपुटमा सीमित गर्ने निर्णय हतारमा गरिएको थियो र भविष्यमा परिवर्तन हुन सक्छ।

MLSAG हस्ताक्षर

हस्ताक्षरित लेनदेन इनपुटहरू के हुन् सम्झौं। प्रत्येक लेनदेन खर्च गर्दछ र केहि कोष उत्पन्न गर्दछ। लेनदेन आउटपुटहरू सिर्जना गरेर कोषको उत्पादन हुन्छ (सीधा समानता भनेको बिल हो), र लेनदेनले खर्च गरेको आउटपुट (अर्थात, वास्तविक जीवनमा हामीले बैंकनोटहरू खर्च गर्छौं) इनपुट बन्छ (सावधान रहनुहोस्, यो भ्रममा पर्न धेरै सजिलो छ। यहाँ)।

एक इनपुटले धेरै आउटपुटहरू सन्दर्भ गर्दछ, तर एक मात्र खर्च गर्दछ, यसरी अनुवाद इतिहास विश्लेषण गर्न गाह्रो बनाउन "स्मोकस्क्रिन" सिर्जना गर्दछ। यदि लेनदेनमा एक भन्दा बढी इनपुट छ भने, त्यस्ता संरचनालाई म्याट्रिक्सको रूपमा प्रस्तुत गर्न सकिन्छ, जहाँ पङ्क्तिहरू इनपुटहरू हुन् र स्तम्भहरू मिश्रित आउटपुटहरू हुन्। लेनदेनले ठ्याक्कै यसको आउटपुटहरू (तिनीहरूको गोप्य कुञ्जीहरू जान्दछन्) खर्च गर्दछ भन्ने नेटवर्कलाई प्रमाणित गर्न, इनपुटहरू औंठी हस्ताक्षरको साथ हस्ताक्षर गरिन्छ। यस्तो हस्ताक्षरले ग्यारेन्टी दिन्छ कि हस्ताक्षरकर्तालाई कुनै पनि स्तम्भको सबै तत्वहरूको लागि गोप्य कुञ्जीहरू थाहा थियो।

गोप्य लेनदेनहरूले अब क्लासिकहरू प्रयोग गर्दैनन् क्रिप्टोनोट औंठी हस्ताक्षरहरू, तिनीहरूलाई MLSAG द्वारा प्रतिस्थापित गरियो - बहु इनपुटहरूको लागि अनुकूलित समान एकल-तह रिंग हस्ताक्षरहरूको संस्करण, LSAG.

तिनीहरूलाई बहु-तह भनिन्छ किनभने तिनीहरूले एकैचोटि धेरै इनपुटहरू साइन गर्छन्, जसमध्ये प्रत्येक धेरै अन्यहरूसँग मिसिएको हुन्छ, अर्थात् म्याट्रिक्स हस्ताक्षर गरिएको छ, र एक पङ्क्ति होइन। हामी पछि हेर्नेछौं, यसले हस्ताक्षर आकारमा बचत गर्न मद्दत गर्दछ।

2 वास्तविक आउटपुटहरू खर्च गर्ने लेनदेनको उदाहरण प्रयोग गरी रिंग सिग्नेचर कसरी बनाइन्छ भनेर हेरौं र ब्लकचेनबाट m - 1 अनियमितहरूलाई मिश्रणको लागि प्रयोग गर्दछ। हामीले खर्च गर्ने आउटपुटहरूको सार्वजनिक कुञ्जीहरू बुझौं
, र तदनुसार तिनीहरूका लागि मुख्य छविहरू: यसरी, हामीले साइजको म्याट्रिक्स पाउँछौं २ x मि। पहिले, हामीले प्रत्येक जोडी आउटपुटको लागि तथाकथित चुनौतीहरूको गणना गर्न आवश्यक छ:

हामी गणनाहरू आउटपुटहरूसँग सुरु गर्छौं, जुन हामीले तिनीहरूको सार्वजनिक कुञ्जीहरू प्रयोग गरेर खर्च गर्छौं:र अनियमित संख्याहरूनतिजाको रूपमा, हामीले निम्न मानहरू पाउँछौं:
, जुन हामीले चुनौती गणना गर्न प्रयोग गर्छौं
आउटपुटहरूको अर्को जोडी (हामी कहाँ प्रतिस्थापन गर्दैछौं भनेर बुझ्न सजिलो बनाउन, हामीले यी मानहरूलाई विभिन्न रंगहरूमा हाइलाइट गरेका छौं)। निम्न सबै मानहरू पहिलो दृष्टान्तमा दिइएको सूत्रहरू प्रयोग गरेर सर्कलमा गणना गरिन्छ। गणना गर्न अन्तिम कुरा वास्तविक आउटपुटहरूको जोडीको लागि चुनौती हो।

हामी देख्न सक्छौं, वास्तविक आउटपुटहरू समावेश बाहेक सबै स्तम्भहरूले अनियमित रूपमा उत्पन्न संख्याहरू प्रयोग गर्छन्।। को लागी π- स्तम्भ हामी पनि तिनीहरूलाई आवश्यक हुनेछ। रुपान्तरण गरौंs मा:
हस्ताक्षर आफै यी सबै मानहरूको टुपल हो:

यो डाटा त्यसपछि लेनदेन मा लेखिएको छ।

हामी देख्न सक्छौं, MLSAG ले एउटा मात्र चुनौती समावेश गर्दछ c0, जसले तपाईंलाई हस्ताक्षर आकारमा बचत गर्न अनुमति दिन्छ (जसलाई पहिले नै धेरै ठाउँ चाहिन्छ)। यसबाहेक, कुनै पनि निरीक्षक, डाटा प्रयोग गर्दै, मानहरू c1, ..., cm लाई पुनर्स्थापना गर्दछ र जाँच गर्दछ। यसरी, हाम्रो औंठी बन्द छ र हस्ताक्षर प्रमाणीकरण गरिएको छ।

पूर्ण प्रकारको RingCT लेनदेनको लागि, मिश्रित आउटपुटहरूको साथ म्याट्रिक्समा थप एक लाइन थपिएको छ, तर हामी तल यसको बारेमा कुरा गर्नेछौं।

Pedersen प्रतिबद्धताहरू

दायित्व योजनाहरू (अंग्रेजी शब्द प्रतिबद्धताहरू प्रायः प्रयोग गरिन्छ) प्रयोग गरिन्छ ताकि एक पक्षले प्रमाणित गर्न सक्छ कि उनीहरूलाई निश्चित गोप्य (नम्बर) वास्तवमा प्रकट नगरी थाहा छ। उदाहरण को लागी, तपाइँ पासामा एक निश्चित संख्या रोल गर्नुहुन्छ, प्रतिबद्धता को लागी विचार गर्नुहोस् र प्रमाणिकरण पार्टी लाई पास गर्नुहोस्। यसरी, गोप्य नम्बर खुलासा गर्ने क्षणमा, प्रमाणिकरणकर्ताले स्वतन्त्र रूपमा प्रतिबद्धताको गणना गर्दछ, जसले गर्दा तपाईंले उसलाई धोका दिनुभएन।

मोनेरो प्रतिबद्धताहरू स्थानान्तरणको रकम लुकाउन र सबैभन्दा सामान्य विकल्प - Pedersen प्रतिबद्धताहरू प्रयोग गर्न प्रयोग गरिन्छ। खैर, एउटा चाखलाग्दो तथ्य - सुरुमा विकासकर्ताहरूले साधारण मिश्रण गरेर रकमहरू लुकाउने प्रस्ताव गरे, त्यो हो, अनिश्चितता परिचय गराउनको लागि स्वेच्छाचारी रकमहरूको लागि आउटपुटहरू थप्दै, तर त्यसपछि तिनीहरू प्रतिबद्धताहरूमा स्विच भए (यो तथ्य होइन कि तिनीहरूले बचत गरे। लेनदेन आकार, हामी तल देख्नेछौं)।
सामान्यतया, प्रतिबद्धता यस्तो देखिन्छ:
कहाँ C - प्रतिबद्धता को अर्थ, a - लुकेको रकम, H अण्डाकार वक्र (अतिरिक्त जनरेटर) मा एक निश्चित बिन्दु हो, र x - केहि प्रकारको मनमानी मास्क, अनियमित रूपमा उत्पन्न लुकाउने कारक। मास्क यहाँ आवश्यक छ ताकि तेस्रो पक्षले प्रतिबद्धताको मूल्य अनुमान गर्न सक्दैन।

जब नयाँ आउटपुट उत्पन्न हुन्छ, वालेटले यसको लागि प्रतिबद्धता गणना गर्दछ, र खर्च गर्दा, यसले उत्पादनको समयमा गणना गरिएको मूल्य लिन्छ वा लेनदेनको प्रकारमा निर्भर गर्दै यसलाई पुन: गणना गर्दछ।

RingCT सरल

साधारण RingCT लेनदेनको मामलामा, लेनदेनले इनपुटको मात्रा बराबर आउटपुट सिर्जना गरेको सुनिश्चित गर्नको लागि (पातलो हावाबाट पैसा उत्पादन गरेन), यो आवश्यक छ कि पहिलो र दोस्रोको प्रतिबद्धताहरूको योगफल हो। उस्तै, त्यो हो:

प्रतिबद्धता आयोगहरूले यसलाई अलि फरक रूपमा विचार गर्छन् - बिना मास्क:
कहाँ a - आयोगको रकम, यो सार्वजनिक रूपमा उपलब्ध छ।

यस दृष्टिकोणले हामीलाई भरपर्दो पक्षलाई प्रमाणित गर्न अनुमति दिन्छ कि हामीले उनीहरूलाई खुलासा नगरी समान रकमहरू प्रयोग गरिरहेका छौं।

चीजहरू स्पष्ट गर्न, एउटा उदाहरण हेरौं। मानौं कि लेनदेनले 10 र 5 XMR को दुई आउटपुटहरू (अर्थमा तिनीहरू इनपुटहरू हुन्छन्) खर्च गर्दछ र 12 XMR: 3, 4 र 5 XMR मूल्यको तीन आउटपुटहरू उत्पन्न गर्दछ। एकै समयमा, उसले 3 XMR को कमीशन तिर्छ। यसरी, खर्च गरिएको रकम र कमिसन 15 XMR बराबर हुन्छ। प्रतिबद्धताहरू गणना गर्ने प्रयास गरौं र तिनीहरूको मात्रामा भिन्नता हेरौं (गणित सम्झनुहोस्):

यहाँ हामी देख्छौं कि समीकरण कन्भर्ज हुनको लागि, हामीलाई इनपुट र आउटपुट मास्कको योगफल समान हुन आवश्यक छ। यो गर्नको लागि, वालेटले अनियमित रूपमा उत्पन्न गर्दछ x1, y1, y2 र y3, र बाँकी x2 यसरी गणना गर्दछ:

यी मास्कहरू प्रयोग गरेर, हामी कुनै पनि प्रमाणिकरणकर्तालाई प्रमाणित गर्न सक्छौं कि हामीले खर्च गरेको भन्दा बढी रकम उत्पन्न गर्दैनौं, रकम खुलासा नगरी। मूल, सही?

RingCT भरिएको छ

पूर्ण RingCT लेनदेनहरूमा, स्थानान्तरण रकमहरू जाँच गर्नु अलि बढी जटिल छ। यी लेनदेनहरूमा, वालेटले इनपुटहरूका लागि प्रतिबद्धताहरू पुन: गणना गर्दैन, तर तिनीहरू उत्पन्न हुँदा गणना गरिएको प्रयोग गर्दछ। यस अवस्थामा, हामीले मान्नु पर्छ कि हामीले अब शून्य बराबरको योगफलमा भिन्नता पाउने छैनौं, तर यसको सट्टा:

यो छ z - इनपुट र आउटपुट मास्क बीचको भिन्नता। यदि हामीले विचार गर्छौं zG सार्वजनिक कुञ्जीको रूपमा (जुन यो वास्तविक हो), त्यसपछि z निजी कुञ्जी हो। यसरी, हामी सार्वजनिक र सम्बन्धित निजी कुञ्जीहरू थाहा छ। यो डेटा हातमा लिएर, हामी यसलाई मिश्रित आउटपुटहरूको सार्वजनिक कुञ्जीहरूसँग MLSAG रिंग हस्ताक्षरमा प्रयोग गर्न सक्छौं:

तसर्थ, एउटा मान्य घण्टी हस्ताक्षरले हामीलाई एउटा स्तम्भको सबै निजी कुञ्जीहरू थाहा छ भनी सुनिश्चित गर्नेछ, र यदि लेनदेनले खर्च गरेको भन्दा बढी रकम उत्पन्न गर्दैन भने हामीले अन्तिम पङ्क्तिमा रहेको निजी कुञ्जीलाई मात्र थाहा पाउन सक्छौं। वैसे, यहाँ प्रश्नको जवाफ छ "किन प्रतिबद्धताहरूको मात्रामा भिन्नता शून्यमा पुग्दैन" - यदि zG = 0, त्यसपछि हामी वास्तविक आउटपुटको साथ स्तम्भ विस्तार गर्नेछौं।

तर कोष प्राप्त गर्नेलाई कसरी थाहा हुन्छ कि उसलाई कति पैसा पठाइएको थियो? यहाँ सबै कुरा सरल छ - लेनदेनको प्रेषक र प्राप्तकर्ता विनिमय कुञ्जीहरू Diffie-Hellman प्रोटोकल प्रयोग गरेर, लेनदेन कुञ्जी र प्राप्तकर्ताको दृश्य कुञ्जी प्रयोग गरेर र साझा गोप्य गणना गर्नुहोस्। प्रेषकले लेनदेनको विशेष क्षेत्रहरूमा यो साझा कुञ्जीसँग इन्क्रिप्ट गरिएको आउटपुट रकमहरूको बारेमा डेटा लेख्छ।

दायरा प्रमाणहरू

यदि तपाइँ प्रतिबद्धताहरूमा रकमको रूपमा ऋणात्मक संख्या प्रयोग गर्नुहुन्छ भने के हुन्छ? यसले थप सिक्काहरूको उत्पादन गर्न सक्छ! यो नतिजा अस्वीकार्य छ, त्यसैले हामीले ग्यारेन्टी गर्न आवश्यक छ कि हामीले प्रयोग गर्ने रकमहरू नकारात्मक छैनन् (यी रकमहरू खुलासा नगरी, अवश्य पनि, अन्यथा त्यहाँ धेरै काम छ र सबै व्यर्थमा)। अर्को शब्दमा, हामीले योगफल अन्तरालमा छ भनेर प्रमाणित गर्नुपर्छ [0, 2n - 1].

यो गर्नका लागि, प्रत्येक आउटपुटको योगफल बाइनरी अंकहरूमा विभाजित गरिएको छ र प्रतिबद्धता प्रत्येक अंकको लागि छुट्टै गणना गरिन्छ। यो उदाहरण संग यो कसरी हुन्छ हेर्न राम्रो छ।

मानौं कि हाम्रो रकम सानो छ र 4 बिट्समा फिट हुन्छ (अभ्यासमा यो 64 बिट हो), र हामी 5 XMR को मूल्यको आउटपुट सिर्जना गर्छौं। हामी प्रत्येक वर्गका लागि प्रतिबद्धताहरू र सम्पूर्ण रकमको लागि कुल प्रतिबद्धता गणना गर्छौं:
अर्को, प्रत्येक प्रतिबद्धता एक सरोगेट संग मिश्रित छ (Ci-2iH) र 2015 मा ग्रेग म्याक्सवेल द्वारा प्रस्तावित Borromeo औंठी हस्ताक्षर (अर्को औंठी हस्ताक्षर) संग जोडी मा हस्ताक्षर गरिएको छ (तपाईं यसको बारे थप पढ्न सक्नुहुन्छ। यहाँ):
सँगै लिइयो, यसलाई दायरा प्रमाण भनिन्छ र तपाइँलाई सुनिश्चित गर्न अनुमति दिन्छ कि प्रतिबद्धताहरूले दायरामा रकमहरू प्रयोग गर्दछ [0, 2n - 1].

के अर्को छ?

हालको कार्यान्वयनमा, दायरा प्रमाणहरूले धेरै ठाउँ लिन्छ - 6176 बाइट्स प्रति आउटपुट। यसले ठूला लेनदेनहरू निम्त्याउँछ र त्यसैले उच्च शुल्कहरू। Monero लेनदेनको आकार घटाउनको लागि, विकासकर्ताहरूले Borromeo हस्ताक्षरहरूको सट्टा बुलेटप्रूफहरू प्रस्तुत गर्दैछन् - बिटवाइज प्रतिबद्धताहरू बिना दायरा प्रमाण संयन्त्र। केही अनुमान अनुसार, तिनीहरू दायरा प्रमाणको आकार 94% सम्म घटाउन सक्षम छन्। वैसे, मध्य जुलाई मा प्रविधि पास भयो अडिट कुडेल्स्की सेक्युरिटीबाट, जसले टेक्नोलोजीमा वा यसको कार्यान्वयनमा कुनै महत्त्वपूर्ण कमजोरीहरू प्रकट गरेन। टेक्नोलोजी पहिले नै परीक्षण नेटवर्कमा प्रयोग गरिएको छ, र नयाँ हार्ड फोर्कको साथ, यो सम्भवतः मुख्य नेटवर्कमा सार्न सक्छ।

तपाइँका प्रश्नहरू सोध्नुहोस्, क्रिप्टोकरन्सीको क्षेत्रमा टेक्नोलोजीहरूको बारेमा नयाँ लेखहरूको लागि शीर्षकहरू सुझाव दिनुहोस्, र हाम्रो समूहमा सदस्यता लिनुहोस्। फेसबुकहाम्रा घटनाहरू र प्रकाशनहरूसँग अद्यावधिक रहन।

स्रोत: www.habr.com