El Protocolo Blindado, de extremo a extremo

Investigación original de Annkkitaaa

Ensamblando cada pieza en una transacción privada de Zcash

Serie: Zcash desde Primeros Principios . Artículo 6 . El Protocolo Blindado (final) Audiencia: personas nuevas que hayan leído los Artículos 0 al 5. Aquí es donde todo se conecta. Lo que te llevarás: un modelo mental completo y correcto de una transacción blindada de Zcash, con cada concepto de la serie en su lugar adecuado y cada ciclo del Artículo 0 cerrado.

Comenzamos, en el Artículo 0, con una paradoja y una historia sobre sobres sellados en un tablero público. Luego pasamos cinco artículos construyendo las piezas: campos finitos, curvas elípticas, compromisos, árboles de Merkle y pruebas de conocimiento cero. Ahora las unimos y observamos cómo funciona un pago privado real, de principio a fin.

1. ¿Por qué debería importarte?

Individualmente, cada pieza que has aprendido es ingeniosa. Pero la magia de Zcash está en cómo encajan entre sí. Un nullifier por sí solo no da privacidad. Un compromiso por sí solo no evita la falsificación. Una prueba por sí sola no prueba nada útil. Es el ensamblaje lo que convierte cinco componentes en dinero que es simultáneamente privado y confiable.

Este artículo es ese ensamblaje. Al final, la frase "la red verifica una transacción que no puede ver" se sentirá no como una paradoja, sino como una consecuencia obvia de piezas que ya entiendes.

2. El reparto, reensamblado

Aquí está toda la serie en una sola página, mapeada desde la historia del Artículo 0 hasta la maquinaria real.

3. De dónde vienen las claves

Todo lo que un usuario puede hacer fluye desde un único secreto, la spending key, a través de una jerarquía unidireccional (cada flecha es una derivación irreversible, cortesía de las trapdoors de los Artículos 2 y 3):

Hay dos cosas dignas de notar, ambas consecuencias de artículos anteriores:

• La separación te permite entregar una viewing key (por ejemplo, a un auditor) que revela tus transacciones sin otorgar el poder de gastar. La privacidad es selectiva, no un todo o nada.
• Cada derivación es unidireccional: poseer una viewing key nunca permite a nadie recuperar la spending key, exactamente la trapdoor de curva elíptica del Artículo 2 cumpliendo su función.

4. Gastar una note: las cuatro afirmaciones

Para gastar una note de forma privada, debes convencer a la red de cuatro cosas a la vez sin revelar la note, su valor, su posición ni tu identidad. Cada afirmación es satisfecha por un componente que ya conoces.

La prueba no revela ninguno de los hechos subyacentes (qué note, de quién es la clave, qué valor). Solo revela que las cuatro afirmaciones se cumplen. Ese es todo el truco del Zcash blindado, expresado en un diagrama.

5. El truco del balance de valor (la recompensa que reservamos)

Allá por los Artículos 2 y 3 señalamos que los compromisos Pedersen se suman: el compromiso de v_1 más el compromiso de v_2 es un compromiso de v_1 + v_2. Aquí es donde eso rinde frutos.

Cada note de entrada y de salida lleva un compromiso de valor: un compromiso Pedersen v.G + r.H que oculta su cantidad v. Como estos se suman, la red puede calcular:

(suma de los compromisos de valor de entrada) − (suma de los compromisos de valor de salida)

Si la transacción está balanceada (no se crea ni se destruye dinero), las partes v se cancelan exactamente, dejando solo un compromiso de valor cero, cegado por la aleatoriedad sobrante. El remitente prueba que conoce esa aleatoriedad sobrante produciendo una pequeña firma llamada binding signature. Una binding signature válida solo es posible cuando los valores realmente cuadran, y aun así no se reveló ni una sola cantidad.

Esta es la ilustración más limpia de toda la serie de por qué necesitábamos compromisos homomórficos basados en curvas. La regla de "el dinero que entra es igual al dinero que sale" se hace cumplir sumando sobres sellados y comprobando que el resultado selle a cero.

6. Una transacción completa, observada de extremo a extremo

Ensamblemos a Alice pagándole a Bob. Usaremos la clara estructura "lado de gasto / lado de salida" de Sapling como modelo didáctico.

Una transacción blindada agrupa dos tipos de descripciones:

Más una binding signature sobre todo el conjunto, que hace cumplir el balance de valor (Sección 5).

Sigue el rastro de la privacidad: la red comprobó el anchor, comprobó que el nullifier era nuevo, verificó la prueba y verificó el balance. Aceptó un pago válido sin haber aprendido ninguna cantidad, ninguna dirección y tampoco qué note se gastó. Mientras tanto, el nullifier de la note gastada (su muerte) y el nuevo compromiso de Bob (el nacimiento de su note) se encuentran en dos estructuras públicas distintas sin ningún vínculo visible entre ambos, el vínculo cortado del Artículo 0.

7. Cerrando cada ciclo del Artículo 0

El Artículo 0 abrió deliberadamente preguntas. Aquí están todas, cerradas.

La paradoja de la primera página, verificar lo que no puedes ver, ahora está completamente disuelta. La red verifica afirmaciones sobre datos ocultos, nunca los datos mismos.

8. Sapling vs Orchard, de un solo aliento

Enseñamos con la estructura de Sapling porque su división es la más clara. El diseño actual, Orchard, refina estas ideas en lugar de reemplazarlas:

Cada concepto de este artículo se traslada directamente; Orchard principalmente agrupa gasto y salida y sustituye el sistema de prueba por uno sin ceremonia. Los cinco pilares no cambian.

9. Una aclaración honesta

Esta es la imagen más completa de la serie, pero sigue siendo un modelo. Comprimimos las codificaciones exactas en campo de una note, las fórmulas precisas de derivación de claves, la rerandomización de las claves de gasto, las direcciones diversificadas, los campos memo, el manejo de comisiones, la diferencia entre compromisos de valor y compromisos de notes en todo detalle, y el papel preciso de cada firma. También presentamos un flujo canónico; las transacciones reales pueden llevar muchos gastos y salidas a la vez y pueden mezclar partes transparentes y blindadas. La fuente autorizada es la Especificación del Protocolo de Zcash. Lo que ahora tienes es la forma correcta; la especificación completa cada medida.

10. Resumen

• Una transacción blindada entrelaza los cinco componentes: una note (el valor), su compromiso en el árbol de compromisos de notes, un nullifier para evitar dobles gastos, compromisos de valor para el balance, y un zk-SNARK que lo une todo.
• Gastar prueba cuatro afirmaciones a la vez: la note existe, estás autorizado, su nullifier es correcto y el valor cuadra, en conocimiento cero, sin revelar ninguno de los hechos subyacentes.
• El balance de valor se hace cumplir sumando compromisos homomórficos y comprobando que sellen a cero, mediante la binding signature, sin revelar ninguna cantidad.
• Los poderes de un usuario fluyen desde una sola spending key a través de una jerarquía unidireccional, lo que habilita viewing keys que revelan sin conceder poder de gasto.
• La red verifica afirmaciones sobre datos ocultos, disolviendo la paradoja entre verificar y privacidad del Artículo 0. Cada ciclo abierto allí queda ahora cerrado.
• Orchard refina Sapling (Actions unificadas, Halo 2 sin trusted setup, curvas Pasta, Sinsemilla) sin cambiar los cinco pilares.

Glosario

Preguntas frecuentes

¿La red llega a ver alguna vez la cantidad o quién pagó a quién? No. Verifica la prueba, la novedad del nullifier, el anchor y la binding signature. Todos los valores privados permanecen ocultos.

¿Qué me impide gastar una note dos veces? El nullifier. Gastar la publica; la red rechaza cualquier nullifier que ya esté en el conjunto de nullifiers. La misma note siempre produce el mismo nullifier.

¿Cómo puede comprobarse el balance si las cantidades están ocultas? Los compromisos de valor se suman homomórficamente; los compromisos de una transacción balanceada se cancelan hasta un compromiso de cero, lo que la binding signature prueba.

¿Puedo demostrar mis transacciones a un auditor sin ceder el control? Sí. Entrega una viewing key. Revela tu actividad blindada, pero no puede autorizar gastos, gracias a la jerarquía unidireccional de claves.

¿Sapling está obsoleto ahora que existe Orchard? Ambos han existido en la red; Orchard es el diseño actual. Los conceptos son compartidos, así que entender uno te da el otro.

Pon a prueba tu intuición

Un amigo dice: "Como la prueba oculta la cantidad, un ladrón podría simplemente afirmar que sus salidas valen más que sus entradas e imprimir dinero gratis". Usando la Sección 5, explica en dos frases por qué esto falla. (Respuesta abajo.)

La serie, completa

Ahora has viajado desde una única paradoja hasta un pago privado completo:

A partir de aquí, el siguiente arco natural profundiza más: el funcionamiento interno de Groth16 y Halo 2, las ceremonias de trusted setup, los circuitos de Sapling y Orchard en detalle, la derivación de claves y las direcciones diversificadas, y la evolución del protocolo a través de las actualizaciones de red. Pero la base ya está colocada, y cada uno de esos temas ya tiene un lugar al que conectarse.

Parte de la serie Zcash desde Primeros Principios para ZecHub. Licencia CC BY-SA 4.0.