比特大陆蚂蚁矿机S7

侧链:私密交易

申屠青春 发布在 技术指南 2 7450

私密交易

本文译自元素链官网:http://elementsproject.org 上的链接:

https://people.xiph.org/~greg/confidential_values.txt   2015/06/11

译者:申屠青春 深圳大学ATR国防科技重点实验室博士 新浪微博 @我看比特币

注意:本文可随意转发,请留下译者信息,如果觉得本文对你有用,请给译者捐赠,以便翻译更多比特币的核心资料。捐赠地址:1AvjkJrChQDDJ8RhVZ9XYyc422ikUyJA12

译者前言

比特币在国内已经众所周知,但是技术研究并未有效开展,大部分人处于知道和了解程度,一个重要原因是大多数比特币核心资料都是英文,很少有人能静心看完如此繁杂的英文资料。本人拟在研究其英文技术的同时,对一些重要资料进行翻译,让更多的圈内人对比特币有更多的理解。

本文涉及侧链技术,是元素链Alpha版本的中的重要特性“私密交易”的技术说明文章。

正文

1私密交易

元素链中有一个最有用的新特性就是私密交易,一个用来提高比特币隐私性和安全性的密码学工具。该特性仅允许交易的参与者(或他们指定的人)知道交易金额。

比特币区块链的安全性由统一验证来保证:每个参与者独立和自动化验证每个交易的合法性,无需信任第三方。另一个不利的影响就是所有交易数据必须公开,才能进行公开验证,这点对于传统金融机构的正常需求来说的确显得很奇怪。

财务隐私不充分对商家和个人来说,都会有严重的安全和隐私问题。没有充分的隐私保护,盗贼和诈骗者会着重关注高价值目标,商业竞争者会知道商业细节,谈判地位会被泄漏。因为公开信息需要花费交易,缺乏隐私机制使得其他人免费得到相关信息。隐私不充分还会导致可替换性受损—一些币比其他币更易接受—进一步破坏比特币作为货币的职能。

比特币使用地址部分解决隐私问题,如果人们不知道哪个用户拥有某些地址,隐私能得到保证。但是只要你和其他人交易,你就知道了对方至少一个地址。从这个地址开始,你可以追踪到其他相关联地址,并且评估交易金额和留存金额。举例说:假定你的老板用比特币支付你工资,你后来用这些比特币来支付你的房租和食品。你的房东和超市都知道了你的收入,当你的收入提高时,他们有可能提高给你的价格,或者把你当成盗窃的目标。

目前已经有些技术来进一步提升比特币隐私性(如CoinJoin,以联合支付方式来合并交易),但是这些技术的应用不多,因为有可能追踪到金额。

还有另外一些在竞争链中提出的密码学技术来提升隐私,但是他们都破坏了“剪枝”(比特币创世文章第7部分),使得用户需要一个永远增长的数据库来验证新交易,因为这些系统不知道币是否已经被花费。大多数密码学隐私系统的性能较差,高负载或需要很强密码学假设(而且不易懂)。

私密交易使得交易金额更隐私,同时能让公众网络来验证留存的区块链交易,做到这些无需在比特币系统中新增新的密码学假设,并且系统开销可控。

由于加法同态承诺的密码学技术,CT(私密交易)是可行的,另一方面,CT还启用了附加的隐私“备忘”数据(如发票号或撤款地址)交换,且通过回收大多数CT密码学证明的开销,使得交易大小不会增加。

 

2私密交易背后的技术

以下工作由Adam Back首次在Bitcointalk上的帖子“bitcoins with homomorphic value(同态值比特币)”:[https://bitcointalk.org/index.php?topic=305791.0]中提出。为了创建CT,我们实现了几个新密码系统,发明了环签名的一般化和几个新优化方法,使得结果更高效。

2.1佩德森的承诺

CT的基础密码学工具是佩德森的承诺。

承诺场景让你把一段数据作为私密保存,但是要承诺它,使得你后来不能改变该数据。一个简单的承诺场景用哈希函数构建如下:

承诺 = SHA256(盲化因子||数据)

如果你仅告诉别人承诺,别人没法确定你承诺了什么数据(对哈希表的属性给定某些假设)。但你后来揭露了盲化因子和数据,别人可以运行该哈希函数来验证是否与你以前的承诺相匹配。盲化因子必须存在,否则别人可以试图猜测数据。如果你的数据比较少而简单,猜测成功可能性比较大。

佩德森承诺与以上场景中的承诺类似,但是附加一个特性:承诺可以相加,多个承诺的总和等于数据总和的承诺(盲化因子的集合即盲化因子总和):

C(BF1, data1) + C(BF2, data2) == C(BF1 + BF2, data1 + data2)

C(BF1, data1) - C(BF1, data1) == 0

换句话说,加法律和交换律适用于承诺。

If data_n = {1,1,2} and BF_n = {5,10,15} then: C(BF1, data1) + C(BF2, data2) - C(BF3, data3) == 0

我们用椭圆曲线点来构建具体的佩德森承诺(读者无需理解椭圆曲线密码学体系,当成黑盒行为来了解就可以了)。

通常,ECC公钥由私钥x乘以基点G生成。

PUB = xG

结果通常保存为33字节的数组。

ECC公钥遵守以前描述过的加法同态性:

PUB1 + PUB2 = (x1 + x2 ( mod n ))G

(以上特性被BIP32分层确定性钱包用来允许第三方生成新的比特币地址)

佩德森承诺的额外基点(我们叫H点)生成办法,因而没人知道H对G的离散对数(反之亦然),意思是说没人知道x,且xG = H。我们使用G哈希来选择H:

H = to_point(SHA256(ENCODE(G)))

这里to_point把输入当成椭圆曲线上某个点的x值,并且计算出y值。

给定两个基点我们能构建如下承诺场景:

承诺 = xG +aH

这里x是私密盲化因子,a是我们要承诺的金额,你可以用加法交换律验证加法同态承诺场景中的相关关系。

佩德森承诺是信息理论上的隐私,你看到的所有承诺,总能找到一些盲化因子,可以和任意金额一起匹配该承诺。如果你的盲化因子真的随机的话,甚至连具有无穷计算力的攻击者都不能分辨你承诺的金额。这些承诺对于假冒承诺来说是计算安全的,你实际上不能计算出任意映射。如果你做到,这就意味着你能找到两个基点相对于彼此的离散对数,意味着承诺群的安全性受到损害。

2.2佩德森承诺应用

利用该工具,我们替换比特币交易中的8字节整数金额为32字节佩德森承诺.

如果一个交易的发起人认真选择他们的盲化因子,以便正确相加,然后网络还能通过承诺相加为0来验证该交易。

(In1 + In2 + In3 + plaintext_input_amount*H...) -

(Out1 + Out2 + Out3 + ... fees*H) == 0

以上公式需要明确的交易费用,在实际交易中,这点没有问题。

生成承诺和承诺验证非常简单,不幸的是,如果没有附加的措施这个场景是不安全的。

问题在于该群是循环群,加法要 mod P(一个256位的质数,用于定义群的秩),结果大数的加法会“溢出”,从而像个负数金额,因而当有些输出金额为负时,承诺加起来为0的特点依然存在,导致可凭空创造5个比特币。

(1 + 1) - (-5 + 7) == 0

以上式子可以被解释成“有人花了2个比特币,得到-5个比特币和7个比特币”。

为了防止产生这种情况,交易中有多输出的时候,我们必须证明每个承诺输出金额都在允许范围(如[0,2^64])内且没有溢出。

我们可以公开金额和盲化因子,以便网络能检查,但是这样一来就损失了所有隐私。因而,我们要证明承诺的金额在允许范围内,除此之外不透露任何信息:我们需要额外密码学系统来证明佩德森承诺的范围,我们使用类似于Schoenmakers二元分解的技术,但是进行了许多优化(包括不使用二元)。

我们从基本的EC签名开始,如果生成了一个签名,签名的“消息”是公钥的哈希,该签名证明签名者知道私钥,即公钥对于某些基点的离散对数。

对于一个类似“公钥”的P = xG + aH ,因为基点H的存在,没有人知道P对于基点G的离散对数,因为没人知道x 使得xG = H,除非a为0。如果a为0,则P = xG ,离散对数恰好是x,有人会为该公钥签名。

把承诺当成公钥,对承诺的哈希值签名,通过这种方法,某个佩德森承诺可以被证明是对0值的承诺。在签名中使用公钥用于防止把签名设置成任意值并且破解出承诺。签名使用的私钥正是盲化因子。

更进一步,假定我想证明C是对金额1的承诺,但不告诉你盲化因子,你能做的就是计算:

C' = C - 1H

然后向我要公钥C’的签名(相对于基点G的签名),如果我能做到,则C一定是对金额1的承诺(否则我就破解了EC离散对数的安全性)。

2.3环签名

为了避免给出金额,我们还需要另一个密码学技术:环签名。环签名是当存在两个(或多个)公钥的签名场景,签名证明签名者知道至少一个公钥的离散对数。

使用环签名,我们可以构建另一个场景,我证明一个承诺是对金额0或金额1的承诺,我们叫这种场景为“或证明”。

首先,我给你C,你计算C’:

C' = C - 1H

然后我提供{C,C’}上的环签名。

如果C是对金额1的承诺,则我不知道它的离散对数,但是C’成为金额0的承诺,我知道它的离散对数(就是盲化因子)。如果C是对金额0的承诺,我知道它的离散对数;C’是对金额1的承诺时,我不知道离散对数。如果这是一个对任意其他金额的承诺,没有一个结果为金额0,因而我没法签名。

以上机制对任何数字对有效,只需把金额进行合适的预处理再放到环中,或者超过2个数字。

假定我想证明C在范围[0,32)之中,现在我们有一个或证明,想像我发送给你一个承诺集合,每个承诺都有个或证明:

C1 is 0 or 1 C2 is 0 or 2 C3 is 0 or 4 C4 is 0 or 8 C5 is 0 or 16

如果我为C1-C5选择了正确的盲化因子,能使得C1 + C2 + C3 + C4 + C5 == C。我建立了一些有效的二进制数,和一个只能在区间[ 0,32)内的5位数。

众多优化手段可以让证明过程更有效:

首先我提出一个新的、更有效的环签名公式,Borromean环签名,它仅要求每个公钥32字节,再加上能被其他不同环所共享的32字节。与以前提出的构建方式相比,该环签名能提供两倍效率。

https://github.com/Blockstream/borromean_paper/raw/master/borromean_draft_0.01_34241bb.pdf

CT金额并非直接表述金额,而是使用十进制浮点数来表示,每个数字要与以10为基数的指数相乘,这意味着如果在基数10之前有较少重要数字,你能用小容量证据来证明大金额。比如:11.2345和0.0112345可以有相同大小的证明,即使两个数相差一千倍。

还有一个非隐私的发送“最小金额”,如果用户愿意泄露一些最小金额信息(最小金额信息将对外公开),允许更小的证据覆盖更大范围的金额,并且当使用指数时还允许最小重要数字非0。用交易中第一个金额减少最小的金额,然后证明该值非负。

浮点尾数用4进制编码而不用二进制,因为可以减少要发送的承诺的数值,使得签名数据大小与二进制相当。

对最后的尾数数字的承诺可以跳过,从前向后对已经证明的值创建承诺,其他数字也一样。

最后,通过在证明中小心使用非随机化签名,对于币的接收者(由于带接收者公钥的ECDH密钥协议,他与发送共享一个私密)来说,“重绕”证据并且用它提取发送者发送的消息是可能的,该消息大小为证据大小的80%。我们使用该原理向接收者提供金额和盲化因子,但是也可以用来负载参考编号或撤款地址等信息。

2.4实现情况

其结果是,32位金额的证明有2564字节长,同时传输2048字节的消息。一个32位长的证据可以1e-8的精度覆盖最高42.94967296BTC,以1e-7的精度覆盖429.4967296BTC等等。我的代码可在一台i7-4770R的电脑上实现每秒验证1300个32位证明,还可以进行多种优化。

该实现支持任意尾数大小或指数大小,通过发送者掌握的参数,性能和大小以尾数位数的线性相关;支持奇数位(通过为最后一个数字切换到以2为基数)。

在元素链中,范围证明仅在多私密金额输出(包括费用)时需要,合并多私密金额到一个输出的交易不需要范围证明,因为所有的输入金额都是正确的。

扫描密钥用于验证可重绕的范围证明的共享私钥,通过共享扫描密钥,该方法与监视钱包完全兼容,使用者可和审计者共享这些密钥,让他们看到交易金额。

证据可支持最小金额,如果仅有一个私密输出甚至已经支付费用后,允许跳过范围证明,或者允许节点跳过或使用诈骗证据来延缓验证大范围证据,未来工作将用到以上事实。

这里表述的系统不依赖任何基础的新同态密码学假设,只有对secp256k1椭圆曲线的离散对数难题的难度假设,以及随机预言假设,就像比特币的正常签名一样。

当范围证明的大小非常规时,与其他替代方案(如零币)相比,它们更不占空间并且更快速验证。它们所占的大部分空间可以回收,用于用户之间的附加数据通讯,这是一个经常性要求但很难在公共传播网络中验证的特性。与签名相似,范围证明可分离地放在区块链的支链上,以便客户不用关注(如:以前的区块)去避免接收这些区块。

最重要的是,这个场景与区块链剪枝兼容,不会让比特币的验证状态永远增长;同时还和CoinJoin,CoinSwap兼容,允许交易链隐私,以及修正了这些技术在隐私上的严重缺陷(交易金额泄漏隐私)

与其他建议不一样,本系统不只是技术预测,也不是纯密码学研究,而是已经与比特币系统整合。

私密交易在元素链中启用,并且作为常规交易的默认形式。

版权声明: by nc" sa 作者保留权利。文章为作者独立观点,不代表巴比特立场。

评论:2

您需要登录后才可以回复 登录|注册