{"id":32343,"date":"2019-10-31T21:46:27","date_gmt":"2019-10-31T18:46:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne\/"},"modified":"2019-10-31T21:46:27","modified_gmt":"2019-10-31T18:46:27","slug":"cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne","title":{"rendered":"Losowy wr\u00f3\u017cbita oparty na cyfrowym podpisie w blockchainie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Od pomys\u0142u do realizacji: modyfikujemy istniej\u0105cy schemat cyfrowego podpisu na krzywej eliptycznej, aby sta\u0142 si\u0119 on deterministyczny, a na jego podstawie zapewniamy funkcje generowania zweryfikowanych w ramach blockchaina pseudolosowych liczb.<\/p>\n

<\/p>\n

\"Losowy<\/p>\n

<\/a><\/noindex><\/p>\n

Idea<\/h1>\n

<\/p>\n

Jesieni\u0105 2018 roku w blockchainie Waves zosta\u0142y aktywowane pierwsze smart kontrakty<\/a><\/noindex>, natychmiast pojawi\u0142o si\u0119 pytanie o mo\u017cliwo\u015b\u0107 uzyskania pseudolosowych liczb<\/a><\/noindex>, kt\u00f3rym mo\u017cna ufa\u0107.<\/p>\n

<\/p>\n

Zastanawiaj\u0105c si\u0119 nad tym problemem, doszed\u0142em do ostatecznego wniosku: ka\u017cdy blockchain to klatka, uzyskanie zaufanego \u017ar\u00f3d\u0142a entropii w zamkni\u0119tym systemie jest niemo\u017cliwe.<\/p>\n

<\/p>\n

Jednak jedna idea przypad\u0142a mi do gustu: je\u015bli losowy oracle<\/a><\/noindex> b\u0119dzie podpisywa\u0142 dane u\u017cytkownika w spos\u00f3b deterministyczny, to u\u017cytkownik zawsze b\u0119dzie m\u00f3g\u0142 zweryfikowa\u0107 taki podpis za pomoc\u0105 klucza publicznego i b\u0119dzie pewny, \u017ce uzyskana warto\u015b\u0107 jest unikalna. Oracle przy ca\u0142ym d\u0105\u017ceniu nie jest w stanie niczego zmieni\u0107, algorytm generuje jednoznaczny wynik. W istocie u\u017cytkownik zapisuje wynik, ale nie wie go, dop\u00f3ki oracle go nie opublikuje. Oznacza to, \u017ce mo\u017cna w og\u00f3le nie ufa\u0107 oracle'owi, ale weryfikowa\u0107 wynik jego pracy. Wtedy, w przypadku pomy\u015blnej weryfikacji, taki podpis mo\u017cna uzna\u0107 za \u017ar\u00f3d\u0142o entropii dla pseudolosowej liczby.<\/p>\n

<\/p>\n

W platformie blockchain Waves u\u017cywana jest schemat podpisu EdDSA<\/a><\/noindex> wariant Ed25519<\/a><\/noindex>. W tym schemacie podpis sk\u0142ada si\u0119 z warto\u015bci R i S, gdzie R zale\u017cy od warto\u015bci losowej, a S obliczane jest na podstawie podpisywanej wiadomo\u015bci, klucza prywatnego i tej samej warto\u015bci losowej, co R. Oznacza to, \u017ce nie ma jednoznacznej zale\u017cno\u015bci, dla tej samej wiadomo\u015bci u\u017cytkownika istnieje wiele wa\u017cnych podpis\u00f3w.<\/p>\n

<\/p>\n

Jasne jest, \u017ce w czystej postaci taki podpis nie mo\u017ce by\u0107 u\u017cywany jako \u017ar\u00f3d\u0142o pseudolosowych liczb, poniewa\u017c jest niedeterministyczny i, w konsekwencji, mo\u017ce by\u0107 \u0142atwo poddany manipulacjom ze strony oracle'a.<\/p>\n

<\/p>\n

Jednak, jak si\u0119 okaza\u0142o, mo\u017cna go uczyni\u0107 deterministycznym.<\/p>\n

<\/p>\n

Pok\u0142ada\u0142em w nim wielkie nadzieje na zweryfikowan\u0105 funkcj\u0119 losow\u0105 (VRF)<\/a><\/noindex>, ale po zapoznaniu si\u0119 z materia\u0142em musieli\u015bmy porzuci\u0107 ten wariant. Cho\u0107 VRF oferuje deterministyczn\u0105 wersj\u0119 podpisu i jego dowodu, w algorytmie wyst\u0119puje dziwny element, kt\u00f3ry otwiera czarn\u0105 dziur\u0119 dla manipulacji ze strony orakula. Mianowicie, przy obliczaniu warto\u015bci k (rozdzia\u0142 5.1<\/a><\/noindex>) u\u017cywany jest klucz prywatny, kt\u00f3ry pozostaje nieznany u\u017cytkownikowi, co oznacza, \u017ce u\u017cytkownik nie mo\u017ce zweryfikowa\u0107 poprawno\u015bci obliczenia k, wi\u0119c orakul mo\u017ce u\u017cywa\u0107 dowolnej potrzebnej mu warto\u015bci k, prowadz\u0105c jednocze\u015bnie baz\u0119 danych odpowiadaj\u0105cych warto\u015bci k i podpisywanych danych, aby zawsze m\u00f3c ponownie obliczy\u0107 poprawny wed\u0142ug VRF wynik. Je\u017celi zobaczycie losowanie oparte na VRF bez ujawnienia klucza prywatnego, mo\u017cecie si\u0119 popisa\u0107: wskaza\u0107 na konieczno\u015b\u0107 ujawnienia klucza albo wykluczenia go z obliczenia k, a wtedy klucz prywatny automatycznie ujawni si\u0119 przy pierwszym podpisie. W og\u00f3le, jak ju\u017c powiedziano, to dziwna metoda dla losowego orakula.<\/p>\n

<\/p>\n

Po chwili refleksji i wsparciu lokalnych analityk\u00f3w, powsta\u0142a koncepcja dzia\u0142ania VECRO.<\/p>\n

<\/p>\n

VECRO to skr\u00f3t od Verifiable Elliptic Curve Random Oracle, co po polsku oznacza weryfikowalny losowy orakul na krzywych eliptycznych.<\/p>\n

<\/p>\n

Okaza\u0142o si\u0119, \u017ce to do\u015b\u0107 proste, aby osi\u0105gn\u0105\u0107 deterministyczno\u015b\u0107, nale\u017cy ustali\u0107 warto\u015b\u0107 R przed pojawieniem si\u0119 podpisywanej wiadomo\u015bci. Je\u015bli R jest ustalone i jest cz\u0119\u015bci\u0105 podpisywanej wiadomo\u015bci, co dodatkowo gwarantuje ustalenie R w samej podpisywanej wiadomo\u015bci, warto\u015b\u0107 S jest jednoznacznie determinowana przez wiadomo\u015b\u0107 u\u017cytkownika i w zwi\u0105zku z tym mo\u017ce by\u0107 u\u017cyta jako \u017ar\u00f3d\u0142o do generowania pseudolosowych liczb.<\/p>\n

<\/p>\n

W takiej koncepcji nie ma znaczenia, w jaki spos\u00f3b ustala si\u0119 R, to pozostaje w gestii orakula. Wa\u017cne, \u017ce S jest jednoznacznie okre\u015blona przez u\u017cytkownika, ale jej warto\u015b\u0107 pozostaje nieznana, dop\u00f3ki orakul jej nie opublikuje. Wszystko tak, jak chcieli\u015bmy!<\/p>\n

<\/p>\n

M\u00f3wi\u0105c o ustalonym R, zwr\u00f3\u0107cie uwag\u0119, \u017ce powt\u00f3rnie wykorzystane R<\/a><\/noindex> Podczas podpisywania r\u00f3\u017cnych wiadomo\u015bci zdecydowanie ujawnia klucz prywatny w schemacie EdDSA. Dla w\u0142a\u015bciciela orakula niezwykle wa\u017cne jest wykluczenie mo\u017cliwo\u015bci ponownego wykorzystania R do podpisywania r\u00f3\u017cnych wiadomo\u015bci u\u017cytkownika. Oznacza to, \u017ce przy jakichkolwiek manipulacjach lub zmowach orakul zawsze b\u0119dzie nara\u017cony na utrat\u0119 swojego klucza prywatnego.<\/p>\n

<\/p>\n

W sumie orakul powinien oferowa\u0107 u\u017cytkownikom dwie funkcje: inicjalizacj\u0119, kt\u00f3ra rejestruje warto\u015b\u0107 R, oraz podpis, kt\u00f3ry zwraca warto\u015b\u0107 S. Para R, S jest zwyk\u0142ym weryfikowalnym podpisem wiadomo\u015bci u\u017cytkownika zawieraj\u0105cego ustalon\u0105 warto\u015b\u0107 R i dowolne dane u\u017cytkownika.<\/p>\n

<\/p>\n

Mo\u017cna by zaprotestowa\u0107, \u017ce ten schemat dla blockchaina jest niczym innym jak zwyk\u0142\u0105 schem\u0105 komit-ujawnienie<\/a><\/noindex>. W zasadzie tak, to jest to. Ale istnieje kilka niuans\u00f3w. Po pierwsze, orakul zawsze dzia\u0142a z t\u0105 sam\u0105 par\u0105 kluczy we wszystkich operacjach, na przyk\u0142ad jest to wygodne w u\u017cyciu w kontraktach. Po drugie, istnieje ryzyko utraty klucza prywatnego przez orakula przy niew\u0142a\u015bciwym zachowaniu, na przyk\u0142ad, je\u015bli orakul pozwala na pr\u00f3bki wyniku, wystarczy zrobi\u0107 tylko dwie pr\u00f3bki, aby pozna\u0107 klucz prywatny i uzyska\u0107 pe\u0142ny dost\u0119p do portfela. Po trzecie, natywnie weryfikowalny w blockchainie podpis, kt\u00f3ry jest \u017ar\u00f3d\u0142em losowo\u015bci \u2014 to jest pi\u0119kne.<\/p>\n

<\/p>\n

Pol roku idea realizacji dojrzewa\u0142a w mojej g\u0142owie, a\u017c w ko\u0144cu pojawi\u0142a si\u0119 motywacja w postaci grantu od Waves Labs<\/a><\/noindex>. Z du\u017cym grantem wi\u0105\u017ce si\u0119 du\u017ca odpowiedzialno\u015b\u0107, oznacza to, \u017ce projekt ma by\u0107!<\/p>\n

<\/p>\n

Realizacja<\/h1>\n

<\/p>\n

Zatem w tym projekcie VECRO zosta\u0142 zrealizowany<\/a><\/noindex> na blockchainie Waves w trybie zapytanie-odpowied\u017a za pomoc\u0105 transakcji transferowych mi\u0119dzy u\u017cytkownikiem a orakulem. Na koncie orakula znajduje si\u0119 skrypt, kt\u00f3ry \u015bci\u015ble kontroluje dzia\u0142anie zgodnie z opisan\u0105 powy\u017cej logik\u0105. Transakcje orakula s\u0105 weryfikowane z odzyskaniem ca\u0142ego \u0142a\u0144cucha interakcji z u\u017cytkownikiem. W weryfikacji finalnej warto\u015bci uczestnicz\u0105 wszystkie cztery transakcje, smart kontrakt \u0142\u0105czy je na \u015bci\u015ble weryfikacyjnej nici, krok po kroku sprawdzaj\u0105c wszystkie warto\u015bci i nie pozostawiaj\u0105c miejsca na jakiekolwiek manipulacje.<\/p>\n

<\/p>\n

Jeszcze raz, aby zapad\u0142o w pami\u0119\u0107 i by\u0142o ja\u015bniejsze. Orakul nie dzia\u0142a po prostu wed\u0142ug zaproponowanego schematu. Jego dzia\u0142anie jest ca\u0142kowicie kontrolowane na poziomie blockchaina. sztywno zwi\u0105zany z inteligentnym kontraktem<\/a><\/noindex>. Krok w lewo, a transakcja po prostu nie przejdzie. Wi\u0119c je\u015bli transakcja trafi\u0142a do blockchaina, u\u017cytkownik nie musi nawet nic sprawdza\u0107, wszystko ju\u017c zosta\u0142o zweryfikowane przez setki w\u0119z\u0142\u00f3w w sieci.<\/p>\n

<\/p>\n

Obecnie w g\u0142\u00f3wnej sieci Waves uruchomiono jeden VECRO (mo\u017cesz uruchomi\u0107 sw\u00f3j, to nie jest trudne, wystarczy rzuci\u0107 okiem na przyk\u0142ad konfiguracji<\/a><\/noindex>). Aktualny kod dzia\u0142a na PHP (na WavesKit<\/a><\/noindex>, o kt\u00f3rym opowiada\u0142em wcze\u015bniej<\/a><\/noindex>).<\/p>\n

<\/p>\n

Aby skorzysta\u0107 z us\u0142ugi orakula, nale\u017cy:<\/p>\n

<\/p>\n