買比特幣 買比特幣
Ctrl+D 買比特幣
ads
首頁 > FTX > Info

加密貨幣:如何利用門限簽名來生成隨機信標?_區塊鏈

Author:

Time:1900/1/1 0:00:00

作者:?ALEXANDERSKIDANOV

翻譯&校對:?IANLIU?&阿劍

來源:以太坊愛好者

回顧2015,DFinity項目提出了令整個社區都為之興奮的隨機信標方案——使用BLS門限簽名產生隨機輸出,同時保證輸出的無偏性及不可預測性。然而,時至2020年的今天,構建無偏且不可預測的隨機信標仍然困難重重,還在研究的項目少之又少。

其實門限簽名只是構建隨機信標的可行方法之一,我們前面發表過一篇概覽文章,介紹其他可能的解決方法,其中包含本文要重點提到的一種。其他細節——隨機信標是什么?什么是無偏性及不可預測性?除了門限簽名還有什么方法——這些問題都能在上述概覽中得到解答。

經過了多次設計迭代,我們最終提出類似DFinity的方案,這也是我們進一步深入理解隨機信標的大好契機。

本文將以淺顯的形式,講述門限簽名生成隨機數的一系列協議。

密碼學基礎知識

為了更好地了解本文中提到的隨機信標,我們需要掌握一些基礎密碼學知識。首先,我們必須區分兩個概念:1.在本文中以小寫字母表示標量,或者說普通常量;2.用大寫字母表示橢圓曲線上的點。

我們不需要對橢圓曲線點了解得很透徹,只要掌握下面兩點:

Uniswap基金會:將在未來幾周討論如何部署超437萬枚ARB:金色財經報道,Uniswap 基金會表示將把 Arbitrum 分配的 4,378,188 枚 ARB 發送到 Arbitrum 上 Uniswap 基金會擁有的多重簽名地址(90xF4E08 開頭),接下來幾周將啟動關于如何部署這些資金的社區討論。[2023/4/18 14:11:14]

1、橢圓曲線點可以相加,也可以跟標量相乘,然后得到另一個橢圓曲線點。

2、即使知道G和xG的值,也不可能計算出x的值。

在本文中,我們還將用到k-1階多項式p(x);關于p(x),你不用想太多,只要把它當成一個方程就好,而且:只要你知道在k個不同的x下p(x)的值,你就能推導出所有x的p(x)值。

以此類推,對于同一個函數p(x)和基點G,如果你知道p(x)G代入k個不同的x值后的值,就可以推導出所有x所對應的p(x)G值。

只要明白了有關橢圓曲線點的這些屬性,就能深度理解隨機信標的工作原理了。

隨機信標

假設1:系統中有n個參與者,至少需要其中的k位才能產生隨機數。就算控制其中的k-1人,你也不能預知隨機信標的輸出結果、無法操縱結果。

美國國會研究人員:立法者需考慮數字貨幣立法將如何影響美元:金色財經報道,美國國會研究服務局在其題為“美元作為世界主要儲備貨幣”的報告中稱,不斷增長的加密貨幣空間的影響并沒有引起任何與美元地位有關的重大擔憂。報告承認,盡管“加密貨幣仍然是一個小而動蕩的利基市場”,但中央銀行數字貨幣(CBDC)正在興起。報告指出,迄今為止,尚無證據表明美元已脫離主要儲備貨幣。但是,國會不妨考慮一下包括制裁和數字貨幣在內的一系列政策領域的立法將如何影響美元。[2020/12/22 16:03:19]

假設2:現在有個k-1階多項式p(x),參與者1知道p(1)的值、參與者2知道p(2)的值、……、參與者n知道p(n)的值;大家約好使用G作為橢圓曲線基點,所有參與者都知道p(x)G代入所有x的值。我們將p(i)視為參與者i的“私人份額”,而p(i)G是其“公開份額”

要設計好的隨機信標,最困難的部分,就是要找到這么一個多項式,使得每個參與者都能知道自己的私人份額,但是無法知道他人的私人份額——這也被稱為分布式密鑰生成。DKG會放在下個章節討論,現在就先假設存在這么個多項式,而所有人都知道各自的私人份額。

我們接著討論,如何使用這套假設在區塊鏈協議中產生一個隨機信標?假設網絡產生一個區塊,區塊哈希為h。現在參與者們想用h作為種子以生成隨機數,首先用約定好的函數,將h轉換為某條橢圓曲線上的一個點:

動態 | 烏克蘭國會收到一項關于應如何對與加密有關的收入征稅的草案:據Coindesk消息,一項草案規定了烏克蘭應如何對與加密有關的收入征稅,該草案已提交給該國議會Verkhovna Rada。該法案是由烏克蘭數字轉型部、區塊鏈4ukraine派系議會協會和更好的監管交付辦公室(BRDO)組織起草的。這份由13名議會成員撰寫的文件旨在修訂烏克蘭的稅法,并引入與加密資產相關的主要概念。該法案將此類資產定義為“一種特殊類型的有價值財產,以數字形式創建、記賬并通過電子方式處理”,比如加密貨幣、代幣以及草案中未指定的其他類型。總部位于烏克蘭的加密貨幣交易所Kuna的創始人,烏克蘭區塊鏈協會主席Michael Chobanian表示,他相信這項法律將奏效,但該行業還面臨其他障礙,需要解決。[2019/11/20]

H=scalarToPoint(h)

對于參與者i來說,因為他知道p(i)和H,所以可以自行計算出H_i=p(i)H。對外公布H_i并不會導致參與者i的私人份額p(i)暴露,因此在每個區塊中都能重用同樣的私人份額,因此DKG只需要進行一次。

根據前面提到的第三點特性,當至少有k位參與者公布他們各自的H_i=p(i)H之后,其他人就能知道代入任何一個x之后,H_x=p(x)H是什么。然后所有參與者都可以在自己本地計算H_0=p(0)H,并以這個結果的哈希值作為隨機信標的輸出;請注意,因為沒有參與者知道p(0),所以唯一能得到p(0)H的方法就是對p(x)H進行內插法計算,要完成內插計算需要知道至少k個p(i)H的值。如果公布的人不足k位,則其他人無法推出p(0)H的值。

聲音 | Brendan 發推特表達如何實現成功:據 IMEOS 報道,Block.one CEO Brendan Blumer 發推特表示,成功通常是有具備充分理由讓社區聽從你,并實際提供他們(社區)想要的東西來實現。[2018/10/1]

基于此技術構建的信標延續了這些我們所需的特性:如果攻擊者只掌控了少于k-1位參與者,則他無法操控隨機信標的輸出;其他k位參與者才能計算出最終輸出,他們的子集或其他更多的參與者,都能得出相同的輸出。

我們還忽略了一件事。為了使用插值法計算p(0)H,必須保證參與者i所公開的H_i真的等于p(i)H。但是因為除了參與者i,其他參與者都不知道p(i)是什么,所以沒法直接驗證參與者i公布的H_i是否的確等于p(i)H;如果不要求為H_i附上密碼學證明,攻擊者可以直接聲稱某個H_i的值,而其他人沒有辦法辨別真偽。

有至少兩種密碼學證明辦法,可以用來判別H_i的真偽。我們會在聊完DKG之后介紹。

陳偉星再次回懟朱嘯虎,ofo最大的機會是如何區塊鏈化:今日,陳偉星再次針對朱嘯虎的言論進行回應:金融是一個系統工程,全世界的資產泡沫促使了貧富懸殊。任何新技術的發展,都需要一個完善的過程,每一個問題,都是創造者為世界做出貢獻的大機會。優秀的方案是競爭出來的,從劣質到優質,走向美好的結果。ofo最大的機會是如何區塊鏈化,而不是朱嘯虎以為的賠錢還虛報的訂單,我們要的是解決世界重大問題的機會,去揮灑我們激情的青春。[2018/2/24]

分布式密鑰生成

根據前面章節對隨機信標的介紹,我們需要n位參與者共同使用某個k-1階多項式p(x),使得每個參與者i知道自己的p(i),而其他人無法得知。下一步,需要所有參與者都知道:給定G時,所有的x所對應的p(x)g值。

在本章節,我們假設每個人都有自己的私鑰x_i,而且其他人都知道x_i對應的公鑰X_i。

那么運行DKG的一種方式如下:

1、每個參與者i在本地運行k-1階多項式p_i(x)的計算。接著用公鑰X_j將每個p_i(j)加密,并發送給對應的參與者j。如此一來,只有參與者j能解密出p_i(j);參與者i還要公布所有p_i(j)G,j∈1~k。

2、所有參與者要對一個至少由k個多項式組成的集合達成共識。因為有些參與者可能掉線,所以他們不可能等到n個驗證者都作出如此承諾再進行下一步;只要至少k個驗證者都作出“收到至少k個這樣的多項式”的承諾之后,他們就可以使用某種形式的共識算法對他們所收到多項式的子集Z達成共識。

3、所有參與者共同驗證加密的p_i(j)與公開的p_i(j)G是否對應,并從Z中移除不合格的多項式。

4、對于集合Z中的每個多項式p_i(x),每個參與者j自行計算p_i(j)的總和作為私人份額p(j);同樣的,對于集合Z中的每個p_i(x)G?,參與者可以計算p_i(x)G的總和作為公開份額p(x)G。

因為p(x)是每個獨立的p_i(x)的總和,每個p_i(x)都是k-1階多項式,所以要觀察p(x)是否也是k-1階多項式。其次要注意,每個參與者j只知道p(j)的值,但不知道其他p(x)的值。實際上,為了知道p(x)的值,TA需要知道所有的p_i(x),只要至少一個被承諾多項式的值屬于未知,TA就不可能知道p(x)。

上述步驟組成了完整的DKG過程。步驟1、2、4相對直觀,但第3步就比較復雜了。

具體來解釋第三步——我們需要找個方法,證明每個加密的p_i(j)與公開的p_i(j)G存在對應關系。如果沒有這種驗證,攻擊者i可以向參與者j胡亂發送消息,而不是發送正確的加密p_i(j),導致參與者j無法進一步計算自己的私人份額。

雖然有辦法可以制作出加密份額的形式正確性密碼學證明。但是,這樣的證明數據過大,并且要向全網公布這樣的證明,時間復雜度可能高達O(nk),證明的size是嚴重的瓶頸。

在NEAR協議中,我們不去證明p_i(j)與公開的p_i(j)G的關系,而是在DKG過程中給予每個參與者充分的時間,去證明“他們收到的p_i(j)與公開廣播的p_i(j)G對不上”。協議中假設每個參與者在窗口期內至少會上線一次,而他們提交的挑戰就能進入區塊鏈。對于區塊生產者來說,這兩個假設都很合理,因為要做區塊生產者,一般來說在整個epoch中都要在線;如果大多數區塊生產者密謀不接收這條消息,其實整個系統就已經不安全,攻擊者其實有更好的方式攻擊整個系統。

假如某個區塊生產者收到無效的公開份額,而且沒有及時在DKG過程中提出挑戰,則該礦工也無法在該時段中參與隨機數生成。請注意,只要其他k個誠實的參與者都能正確計算出份額,協議仍將正常運作。

證明

還剩下最后一個問題:我們如何以不透露p(i)為前提,證明自己公布的H_i等于p(i)H?

回想一下,每個參與者都知道H、G、p(i)G的值。在給定p(i)G和G的情況下回推p(i)的運算被稱為離散對數問題,又簡稱為dlog。那么每個參與者想做的都是:既能向他人證明?dlog(p(i)G,G)=dlog(H_i,H),又不會透露p(i)。的確存在這么一種方法構建上述證明,其中之一就是——Schnorr協議;通過Schnorr協議,參與者能在發布H_i時附上H_i的正確性證明。

回想一下,隨機信標連的輸出是H_0的內插值。對于沒有參與生成隨機信標輸出的人來說,除了H_0,還需要哪些信息來驗證這個值的正確性?因為每個人都能自行在本地計算中加入G_0,所以只要證明?dlog(G_0,G)=dlog(H_0,H)?就行了。但因為信標的特性,我們無法得知p(0),也就無法通過Schnorr協議生成這樣的證明。所以如果你要向其他人證明H_0的正確性,就必須保留所有H_i的值及其相應的證明。

不過,好消息是,如果有些計算類似于橢圓曲線點乘法,則只需驗證?H_0×G=G_0×H?即可證明H_0的計算正確無誤。

如果所選的橢圓曲線支持橢圓曲線配對運算,則這種證明是可行的。在這種情況下,任何知道G,H和G_0的人都可以核實H_0;而且H_0也可視作一個集體的多重簽名,證明區塊n的正確性得到至少k位參與者的檢查認證。

目前我們還未在NEAR中使用橢圓曲線配對運算,但未來我們可能會使用,然后利用上文討論的小技巧取代我們當前使用的單一簽名方法。另一方面,DFinity使用BLS簽名,可以利用配對運算來實現上述簽名。

原文鏈接:https://nearprotocol.com/blog/randomness-threshold-signatures/

Tags:區塊鏈DLO加密貨幣ARB區塊鏈存證流程圖YieldLockripple幣是數字加密貨幣嗎CRYPTO CARBON ENERGY

FTX
USDT:期貨連環爆,礦工已蒙圈,我們總結了這些背后的原因_比特幣

“比特幣跌幅超過20%,歷史上只發生過幾次。而上一次暴跌,還要追溯到2020年3月12日,我的記憶很深刻,那感覺,仿佛就在昨天。”這是今天最火的段子之一.

1900/1/1 0:00:00
區塊鏈:Jeffrey Wernick:華爾街是債務的奴隸,而比特幣是自由的_區塊鏈技術通俗講解知乎

來源:Cointelegraph中文3月11日,Cointelegraph中文線上脫口秀系列欄目Focus首秀.

1900/1/1 0:00:00
WEB:從哈希函數出發,一文告訴你哈希思想與哈希表構造到底是什么_SOL

作者:代號 來源:CSDN博客 編者注:原標題為《從哈希函數、哈希沖突、開散列出發,一文告訴你哈希思想與哈希表構造到底是什么》Hash,一般翻譯做散列、雜湊,或音譯為哈希.

1900/1/1 0:00:00
比特幣:比特幣與黃金的相關性日益下降,其“安全港”屬性是否已一去不返?_MoonRetriever

比特幣一直被認為是比傳統股票更好的投資選擇,一度被投資者稱為“安全港”。無論比特幣是否具有“安全港”屬性,其表現與2008年金融危機期間黃金的表現非常相似.

1900/1/1 0:00:00
INK:鏈上數據顯示BTC算力持續下降,美國無限量QE能否刺激其反彈?_比特幣行情最新價格美元miui

從19年開始,關于“減半行情”的討論不絕于耳,人們都希望牛市在期待已久的2020年開啟。然而,受疫情影響,全球經濟受挫,“減產年”的開端并不樂觀.

1900/1/1 0:00:00
EFI:科普 | 將DeFi 進行到底——去中心化借貸概述、發展與未來_BTCDEFI

以下文章由Conflux×Odaily星球日報聯合出品,星球日報資深記者@王也擔任主筆。 烤星·DeFi課堂 上周,加密貨幣市場遭遇“黑色星期四”,比特幣發出送命題,日內跌超40%,礦工、交易所.

1900/1/1 0:00:00
ads