{"id":32343,"date":"2019-10-31T21:46:27","date_gmt":"2019-10-31T18:46:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne\/"},"modified":"2019-10-31T21:46:27","modified_gmt":"2019-10-31T18:46:27","slug":"cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/cluchajnyj-orakul-na-osnove-tsifrovoj-podpisi-v-blokchejne","title":{"rendered":"Slumptals-Oracle baserat p\u00e5 digital signatur i blockchain","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Fr\u00e5n id\u00e9 till genomf\u00f6rande: vi modifierar det befintliga systemet f\u00f6r digitala signaturer baserat p\u00e5 elliptiska kurvor s\u00e5 att det blir deterministic, och erbjuder funktioner f\u00f6r att generera verifierbara pseudorandomnummer baserade p\u00e5 detta.<\/p>\n

<\/p>\n

\"Slumptals-Oracle<\/p>\n

<\/a><\/noindex><\/p>\n

Tanken<\/h1>\n

<\/p>\n

H\u00f6sten 2018 aktiverades de f\u00f6rsta smarta kontrakten i blockchainen Waves, och omedelbart uppstod fr\u00e5gan om m\u00f6jligheten att f\u00e5 tag p\u00e5<\/a><\/noindex>pseudorandomnummer , som man kan lita p\u00e5.<\/a><\/noindex>N\u00e4r jag funderade p\u00e5 denna fr\u00e5ga kom jag slutligen fram till slutsatsen: varje blockchain \u00e4r en cell, det \u00e4r om\u00f6jligt att f\u00e5 en betrodd k\u00e4lla till entropi i ett slutet system.<\/p>\n

<\/p>\n

Men en id\u00e9 gillade jag \u00e4nd\u00e5: om en<\/p>\n

<\/p>\n

slumptalsorekel anv\u00e4nder en deterministisk algoritm f\u00f6r att signera anv\u00e4ndardata, kan anv\u00e4ndaren alltid verifiera en s\u00e5dan signatur med hj\u00e4lp av den offentliga nyckeln och vara s\u00e4ker p\u00e5 att det erh\u00e5llna v\u00e4rdet \u00e4r unikt. Orokeln kan mycket v\u00e4l inte \u00e4ndra n\u00e5gonting, algoritmen ger ett entydigt resultat. I sj\u00e4lva verket registrerar anv\u00e4ndaren resultatet, men k\u00e4nner inte till det f\u00f6rr\u00e4n orakeln publicerar det. Det visar sig att man i sj\u00e4lva verket inte beh\u00f6ver lita p\u00e5 orakeln, utan ist\u00e4llet kan verifiera resultatet av dess arbete. Vid framg\u00e5ngsrik verifiering kan en s\u00e5dan signatur betraktas som en k\u00e4lla till entropi f\u00f6r ett pseudorandomnummer.<\/a><\/noindex> I blockchain-plattformen Waves anv\u00e4nds en signaturordning<\/p>\n

<\/p>\n

EdDSA . I detta system best\u00e5r signaturen av v\u00e4rdena R och S, d\u00e4r R beror p\u00e5 ett slumpm\u00e4ssigt v\u00e4rde, medan S ber\u00e4knas utifr\u00e5n det signerade meddelandet, den privata nyckeln och samma slumpm\u00e4ssiga nummer som R. Det visar sig att det inte finns n\u00e5gon entydig beroende; f\u00f6r samma anv\u00e4ndarmeddelande finns det m\u00e5nga giltiga signaturer.<\/a><\/noindex> en variant Ed25519<\/a><\/noindex>Det \u00e4r uppenbart att en s\u00e5dan signatur i sin rena form inte kan anv\u00e4ndas som en k\u00e4lla till pseudorandomnummer, eftersom den \u00e4r icke-deterministisk och d\u00e4rf\u00f6r l\u00e4tt kan manipuleras av orakeln.<\/p>\n

<\/p>\n

Men det visade sig att det faktiskt \u00e4r m\u00f6jligt att g\u00f6ra den determinant.<\/p>\n

<\/p>\n

Jag hade stora f\u00f6rhoppningar p\u00e5<\/p>\n

<\/p>\n

verifierbar slumpfunktion (VRF) \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c\u0443\u044e \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u0443\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u044e (VRF)<\/a><\/noindex>, men efter att ha studerat materien var det n\u00f6dv\u00e4ndigt att ge upp denna variant. \u00c4ven om VRF erbjuder en deterministisk variant av signaturen och dess bevis, finns det en konstig del i algoritmen som \u00f6ppnar en svart mal f\u00f6r manipulationer av oraklet. Det vill s\u00e4ga, vid ber\u00e4kningen av v\u00e4rdet k (avsnitt 5.1<\/a><\/noindex>) anv\u00e4nds en privat nyckel som f\u00f6rblir ok\u00e4nd f\u00f6r anv\u00e4ndaren, vilket inneb\u00e4r att anv\u00e4ndaren inte kan verifiera korrektheten i ber\u00e4kningen av k, vilket g\u00f6r att oraklet kan anv\u00e4nda vilket v\u00e4rde k som helst och samtidigt f\u00f6ra en databas med \u00f6verensst\u00e4mmelser mellan k och de signerade uppgifterna, s\u00e5 att de alltid kan \u00e5terber\u00e4kna ett korrekt resultat ur VRF:s perspektiv. Ser ni en dragning baserad p\u00e5 VRF utan att avsl\u00f6ja den privata nyckeln, kan ni g\u00e4rna p\u00e5peka: antingen m\u00e5ste nyckeln avsl\u00f6jas, eller s\u00e5 m\u00e5ste den uteslutas fr\u00e5n ber\u00e4kningen av k, d\u00e5 kommer den privata nyckeln automatiskt att avsl\u00f6jas vid den f\u00f6rsta signaturen. Sammanfattningsvis, som redan sagts, en underlig schema f\u00f6r ett slumpm\u00e4ssigt orakel.<\/p>\n

<\/p>\n

Efter lite \u00f6verl\u00e4ggningar och med st\u00f6d fr\u00e5n lokala analytiker f\u00f6ddes ett arbetsschema f\u00f6r VECRO.<\/p>\n

<\/p>\n

VECRO \u00e4r en f\u00f6rkortning av Verifiable Elliptic Curve Random Oracle, vilket p\u00e5 ryska betyder verifierbart slumpm\u00e4ssigt orakel baserat p\u00e5 elliptiska kurvor.<\/p>\n

<\/p>\n

Det visade sig vara ganska enkelt, f\u00f6r att uppn\u00e5 determinism m\u00e5ste v\u00e4rdet R fastst\u00e4llas innan det signerade meddelandet upptr\u00e4der. Om R \u00e4r fastst\u00e4llt och \u00e4r en del av det signerade meddelandet, vilket dessutom garanterar att R \u00e4r fastst\u00e4llt i sj\u00e4lva det signerade meddelandet, s\u00e5 best\u00e4ms v\u00e4rdet S entydigt av anv\u00e4ndarens meddelande och kan d\u00e4rf\u00f6r anv\u00e4ndas som en k\u00e4lla f\u00f6r pseudorandomnummer.<\/p>\n

<\/p>\n

I ett s\u00e5dant schema \u00e4r det oviktigt hur R fastst\u00e4lls, det ligger inom oraklets ansvar. Viktigt \u00e4r att S entydigt definieras av anv\u00e4ndaren, men dess v\u00e4rde \u00e4r ok\u00e4nt tills oraklet publicerar det. Precis som vi ville!<\/p>\n

<\/p>\n

N\u00e4r man talar om det fastst\u00e4llda R, observera att \u00e5teranv\u00e4nda R<\/a><\/noindex> Att skriva under olika meddelanden avsl\u00f6jar entydigt den privata nyckeln i EdDSA-schemat. F\u00f6r \u00e4garen av oraklet blir det extremt viktigt att utesluta m\u00f6jligheten till \u00e5teranv\u00e4ndning av R f\u00f6r att signera olika anv\u00e4ndarmeddelanden. Det vill s\u00e4ga, vid alla manipulationer eller samverkan riskerar oraklet alltid att f\u00f6rlora sin privata nyckel.<\/p>\n

<\/p>\n

Sammanfattningsvis m\u00e5ste oraklet erbjuda anv\u00e4ndarna tv\u00e5 funktioner: initialisering, som fastst\u00e4ller v\u00e4rdet R, och signatur, som returnerar v\u00e4rdet S. Paret R, S utg\u00f6r en vanlig verifierbar signatur av anv\u00e4ndarens meddelande som inneh\u00e5ller det fasta v\u00e4rdet R och slumpm\u00e4ssiga anv\u00e4ndardata.<\/p>\n

<\/p>\n

Man kan inv\u00e4nda att detta schema f\u00f6r blockchain inte \u00e4r annat \u00e4n en vanlig commit-reveal-schema.<\/a><\/noindex>. I stort sett, ja, det \u00e4r det. Men det finns n\u00e5gra nyanser. F\u00f6r det f\u00f6rsta arbetar oraklet alltid med samma nyckel i alla operationer, vilket \u00e4r praktiskt att anv\u00e4nda i kontrakt. F\u00f6r det andra finns det en risk att oraklet f\u00f6rlorar sin privata nyckel vid felaktigt beteende, till exempel om oraklet till\u00e5ter resultatprovtagning, d\u00e5 r\u00e4cker det med att g\u00f6ra tv\u00e5 prover f\u00f6r att ta reda p\u00e5 den privata nyckeln och f\u00e5 fullst\u00e4ndig tillg\u00e5ng till pl\u00e5nboken. F\u00f6r det tredje \u00e4r den natively verifierbara signaturen i blockchain, som \u00e4r k\u00e4llan till slumpm\u00e4ssighet - det \u00e4r vackert.<\/p>\n

<\/p>\n

I ett halv\u00e5r har id\u00e9n om implementering mognat i huvudet, tills motivationen slutligen kom i form av en stipendium fr\u00e5n Waves Labs.<\/a><\/noindex>. Med ett stort stipendium kommer ett stort ansvar, vilket inneb\u00e4r att projektet m\u00e5ste bli av!<\/p>\n

<\/p>\n

Implementering<\/h1>\n

<\/p>\n

S\u00e5, i detta projekt genomf\u00f6rdes VECRO<\/a><\/noindex> p\u00e5 blockchain Waves i f\u00f6rfr\u00e5gan-svar-l\u00e4ge genom \u00f6verf\u00f6ringstransaktioner mellan anv\u00e4ndaren och oraklet. Samtidigt har oraklets konto ett skript som strikt reglerar arbetet i enlighet med den beskrivna logiken. Oraklets transaktioner genomg\u00e5r en kontroll som \u00e5terst\u00e4ller hela kedjan av interaktioner med anv\u00e4ndaren. Vid kontroll av det slutliga v\u00e4rdet deltar alla fyra transaktioner, smarta kontraktet tr\u00e4r dem p\u00e5 en strikt verifierande tr\u00e5d, steg f\u00f6r steg kontrollerar alla v\u00e4rden och l\u00e4mnar inte utrymme f\u00f6r n\u00e5gra manipulationer.<\/p>\n

<\/p>\n

\u00c4n en g\u00e5ng, f\u00f6r att det ska fastna och bli tydligare. Oraklet arbetar inte bara enligt det f\u00f6reslagna schemat. Dess arbete kontrolleras helt p\u00e5 blockchain-niv\u00e5 av det installerade. fast med smartkontrakt<\/a><\/noindex>. Ett steg \u00e5t sidan och transaktionen g\u00e5r helt enkelt inte igenom. S\u00e5 om transaktionen har kommit in i blockkedjan beh\u00f6ver anv\u00e4ndaren inte ens kontrollera n\u00e5got, det har redan granskats av hundratals noder i n\u00e4tverket.<\/p>\n

<\/p>\n

F\u00f6r n\u00e4rvarande \u00e4r en VECRO lanserad i Waves huvudn\u00e4t (du kan ocks\u00e5 lansera din egen, det \u00e4r inte sv\u00e5rt, bara kolla in exempelkonfigurationen<\/a><\/noindex>). Nuvarande kod k\u00f6rs p\u00e5 PHP (p\u00e5 WavesKit<\/a><\/noindex>, som jag n\u00e4mnde tidigare F\u00f6r att anv\u00e4nda oracle-tj\u00e4nsten kr\u00e4vs:<\/a><\/noindex>).<\/p>\n

<\/p>\n

Att fastst\u00e4lla R;<\/p>\n

<\/p>\n