{"id":32343,"date":"2019-10-31T21:46:27","date_gmt":"2019-10-31T18:46:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne\/"},"modified":"2019-10-31T21:46:27","modified_gmt":"2019-10-31T18:46:27","slug":"cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne","title":{"rendered":"Or\u00e1culo aleat\u00f3rio baseado em assinatura digital na blockchain","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Da ideia \u00e0 implementa\u00e7\u00e3o: modificamos o esquema existente de assinatura digital em curvas el\u00edpticas para torn\u00e1-lo determin\u00edstico e fornecemos, com base nisso, fun\u00e7\u00f5es para obter n\u00fameros pseudoaleat\u00f3rios verific\u00e1veis dentro da blockchain.<\/p>\n

<\/p>\n

\"Or\u00e1culo<\/p>\n

<\/a><\/noindex><\/p>\n

Ideia<\/h1>\n

<\/p>\n

No outono de 2018, a blockchain Waves teve os primeiros contratos inteligentes ativados<\/a><\/noindex>, imediatamente surgiram quest\u00f5es sobre a possibilidade de obter n\u00fameros pseudoaleat\u00f3rios<\/a><\/noindex>, em que se pode confiar.<\/p>\n

<\/p>\n

Refletindo sobre esta quest\u00e3o, cheguei \u00e0 conclus\u00e3o de que qualquer blockchain \u00e9 uma cela; obter uma fonte confi\u00e1vel de entropia em um sistema fechado \u00e9 imposs\u00edvel.<\/p>\n

<\/p>\n

Mas uma ideia ainda me agradou: se um or\u00e1culo aleat\u00f3rio<\/a><\/noindex> fizer a assinatura dos dados do usu\u00e1rio com um algoritmo determin\u00edstico, o usu\u00e1rio sempre poder\u00e1 verificar essa assinatura com a chave p\u00fablica e estar\u00e1 certo de que o valor obtido \u00e9 \u00fanico. O or\u00e1culo, por mais que deseje, n\u00e3o pode alterar nada; o algoritmo fornece um resultado \u00fanico. Na verdade, o usu\u00e1rio fixa o resultado, mas n\u00e3o sabe qual \u00e9 at\u00e9 que o or\u00e1culo o publique. Isso significa que se pode, de fato, n\u00e3o confiar no or\u00e1culo, mas verificar o resultado de seu trabalho. Ent\u00e3o, em caso de verifica\u00e7\u00e3o bem-sucedida, tal assinatura pode ser considerada uma fonte de entropia para um n\u00famero pseudoaleat\u00f3rio.<\/p>\n

<\/p>\n

Na plataforma blockchain Waves, utiliza-se o esquema de assinatura EdDSA<\/a><\/noindex> uma variante Ed25519<\/a><\/noindex>. Neste esquema, a assinatura consiste nos valores R e S, onde R depende de um valor aleat\u00f3rio, e S \u00e9 calculado com base na mensagem que est\u00e1 sendo assinada, na chave privada e no mesmo n\u00famero aleat\u00f3rio que R. Isso resulta em uma depend\u00eancia n\u00e3o \u00fanica, ou seja, para a mesma mensagem do usu\u00e1rio, existem v\u00e1rias assinaturas v\u00e1lidas.<\/p>\n

<\/p>\n

\u00c9 evidente que, em sua forma pura, tal assinatura n\u00e3o pode ser usada como fonte de n\u00fameros pseudoaleat\u00f3rios, pois \u00e9 n\u00e3o determin\u00edstica e, portanto, pode ser facilmente manipulada pelo or\u00e1culo.<\/p>\n

<\/p>\n

Mas, como se revelou, \u00e9 realmente poss\u00edvel torn\u00e1-la determin\u00edstica.<\/p>\n

<\/p>\n

Tinha grandes esperan\u00e7as na fun\u00e7\u00e3o aleat\u00f3ria verific\u00e1vel (VRF)<\/a><\/noindex>, mas ap\u00f3s estudar a parte te\u00f3rica, tivemos que desistir dessa op\u00e7\u00e3o. Embora o VRF ofere\u00e7a uma assinatura determin\u00edstica e sua prova, h\u00e1 um ponto estranho no algoritmo que abre uma brecha para manipula\u00e7\u00f5es do or\u00e1culo. Especificamente, ao calcular o valor de k (se\u00e7\u00e3o 5.1<\/a><\/noindex>) utiliza-se uma chave privada, que permanece desconhecida para o usu\u00e1rio, logo o usu\u00e1rio n\u00e3o pode verificar a corre\u00e7\u00e3o do c\u00e1lculo de k, o que significa que o or\u00e1culo pode usar qualquer valor de k desejado e, ao mesmo tempo, manter um banco de dados de correspond\u00eancias entre k e os dados assinados, de modo a sempre conseguir recalcular o resultado que agrada ao VRF. Se voc\u00ea vir um sorteio baseado em VRF sem a divulga\u00e7\u00e3o da chave privada, pode fazer uma observa\u00e7\u00e3o: aponto a necessidade de divulgar a chave ou exclu\u00ed-la do c\u00e1lculo de k, ent\u00e3o a chave privada se revelar\u00e1 automaticamente ao surgir a primeira assinatura. Em suma, como j\u00e1 foi mencionado, um esquema estranho para um or\u00e1culo aleat\u00f3rio.<\/p>\n

<\/p>\n

Ap\u00f3s refletir um pouco e obter o apoio de analistas locais, nasceu o esquema de funcionamento do VECRO.<\/p>\n

<\/p>\n

VECRO \u00e9 a sigla para Verifiable Elliptic Curve Random Oracle, que em portugu\u00eas significa or\u00e1culo aleat\u00f3rio verific\u00e1vel sobre curvas el\u00edpticas.<\/p>\n

<\/p>\n

Tudo se mostrou bastante simples; para alcan\u00e7ar a determin\u00edstica \u00e9 necess\u00e1rio fixar o valor de R antes do surgimento da mensagem a ser assinada. Se R estiver fixado e faz parte da mensagem a ser assinada, o que garante adicionalmente a fixa\u00e7\u00e3o de R na pr\u00f3pria mensagem, o valor de S \u00e9 univocamente determinado pela mensagem do usu\u00e1rio e, portanto, pode ser usado como fonte para n\u00fameros pseudoaleat\u00f3rios.<\/p>\n

<\/p>\n

Neste esquema, n\u00e3o importa como R \u00e9 fixado, isso fica a crit\u00e9rio do or\u00e1culo. O importante \u00e9 que S \u00e9 definido de forma inequ\u00edvoca pelo usu\u00e1rio, mas seu valor permanece desconhecido at\u00e9 que o or\u00e1culo o publique. Tudo como quer\u00edamos!<\/p>\n

<\/p>\n

Falando sobre R fixo, observe que R reutilizado<\/a><\/noindex> A assinatura de diferentes mensagens revela definitivamente a chave privada no esquema EdDSA. Para o propriet\u00e1rio do or\u00e1culo, \u00e9 extremamente importante excluir a possibilidade de reutiliza\u00e7\u00e3o de R para a assinatura de mensagens diferentes do usu\u00e1rio. Ou seja, em qualquer manipula\u00e7\u00e3o ou conluio, o or\u00e1culo sempre correr\u00e1 o risco de perder sua chave privada.<\/p>\n

<\/p>\n

Em suma, o or\u00e1culo deve fornecer aos usu\u00e1rios duas fun\u00e7\u00f5es: inicializa\u00e7\u00e3o, que fixa o valor de R, e assinatura, que retorna o valor de S. Nesse processo, a par R, S constitui uma assinatura verific\u00e1vel comum da mensagem do usu\u00e1rio que cont\u00e9m o valor fixo de R e dados arbitr\u00e1rios do usu\u00e1rio.<\/p>\n

<\/p>\n

Pode-se argumentar que este schema para blockchain n\u00e3o \u00e9 nada al\u00e9m de um simples schema de compromisso-revela\u00e7\u00e3o<\/a><\/noindex>. De fato, sim, \u00e9 isso mesmo. Mas h\u00e1 algumas nuances. Primeiro, o or\u00e1culo sempre trabalha com a mesma chave em todas as opera\u00e7\u00f5es, por exemplo, isso \u00e9 conveniente para o uso em contratos. Em segundo lugar, existe o risco de o or\u00e1culo perder a chave privada devido a comportamentos inadequados, como quando o or\u00e1culo permite fazer amostras do resultado; neste caso, basta fazer apenas duas amostras para descobrir a chave privada e obter acesso total \u00e0 carteira. Em terceiro lugar, a assinatura nativamente verific\u00e1vel no blockchain, que \u00e9 a fonte de aleatoriedade \u2014 isso \u00e9 bonito.<\/p>\n

<\/p>\n

A ideia de implementa\u00e7\u00e3o maturou na minha mente por seis meses, at\u00e9 que finalmente surgiu a motiva\u00e7\u00e3o na forma de um subs\u00eddio da Waves Labs<\/a><\/noindex>. Com um grande subs\u00eddio vem uma grande responsabilidade, ent\u00e3o o projeto deve acontecer!<\/p>\n

<\/p>\n

Implementa\u00e7\u00e3o<\/h1>\n

<\/p>\n

Assim, neste projeto, o VECRO foi implementado<\/a><\/noindex> no blockchain da Waves em modo de solicita\u00e7\u00e3o-resposta atrav\u00e9s de transa\u00e7\u00f5es de transfer\u00eancia entre o usu\u00e1rio e o or\u00e1culo. Neste processo, o script do or\u00e1culo controla o trabalho de acordo com a l\u00f3gica descrita acima. As transa\u00e7\u00f5es do or\u00e1culo s\u00e3o verificadas com a recupera\u00e7\u00e3o de toda a cadeia de intera\u00e7\u00e3o com o usu\u00e1rio. Todas as quatro transa\u00e7\u00f5es participam da verifica\u00e7\u00e3o do valor final, e o contrato inteligente as encadeia em uma rigorosa linha de verifica\u00e7\u00e3o, passo a passo checando todos os valores e n\u00e3o deixando espa\u00e7o para manipula\u00e7\u00f5es.<\/p>\n

<\/p>\n

Mais uma vez, para que fique claro. O or\u00e1culo n\u00e3o apenas opera segundo o esquema proposto. Seu funcionamento \u00e9 totalmente controlado ao n\u00edvel do blockchain. contratado permanentemente com um smart contract<\/a><\/noindex>. Um passo para o lado, e a transa\u00e7\u00e3o simplesmente n\u00e3o ir\u00e1 passar. Portanto, se a transa\u00e7\u00e3o entrou na blockchain, o usu\u00e1rio n\u00e3o precisa verificar nada, pois tudo j\u00e1 foi checado por centenas de n\u00f3s na rede.<\/p>\n

<\/p>\n

Atualmente, na rede principal do Waves, um VECRO est\u00e1 em funcionamento (voc\u00ea pode iniciar o seu, n\u00e3o \u00e9 dif\u00edcil, basta dar uma olhada em um exemplo de configura\u00e7\u00e3o<\/a><\/noindex>). O c\u00f3digo atual funciona em PHP (em WavesKit<\/a><\/noindex>, sobre o qual j\u00e1 falei anteriormente<\/a><\/noindex>).<\/p>\n

<\/p>\n

Para aproveitar o servi\u00e7o do or\u00e1culo, \u00e9 necess\u00e1rio:<\/p>\n

<\/p>\n