Il protocollo schermato, dall'inizio alla fine

Ricerca originale di Annkkitaaa

Assemblare ogni pezzo in un'unica transazione di Zcash privata

Serie: Zcash from First Principles . Articolo 6 . Il protocollo schermato (finale) Pubblico: i nuovi arrivati che hanno letto gli Articoli da 0 a 5. È qui che tutto si collega. Cosa porterai con te: un modello mentale completo e corretto di una transazione di Zcash schermata, con ogni concetto della serie al suo posto, e ogni filo aperto nell'Articolo 0 finalmente chiuso.

Abbiamo iniziato, nell'Articolo 0, con un paradosso e una storia di buste sigillate su una bacheca pubblica. Poi abbiamo trascorso cinque articoli a costruire le parti: campi finiti, curve ellittiche, impegni (commitment), alberi di Merkle e prove a conoscenza zero. Ora le mettiamo insieme e osserviamo un vero pagamento privato funzionare, dall'inizio alla fine.

1. Perché dovrebbe interessarti?

Preso singolarmente, ogni pezzo che hai imparato è ingegnoso. Ma la magia di Zcash sta nel modo in cui questi pezzi si incastrano tra loro. Un nullifier da solo non garantisce privacy. Un commitment da solo non impedisce la contraffazione. Una prova da sola non prova nulla di utile. È l'assemblaggio che trasforma cinque componenti in denaro al contempo privato e affidabile.

Questo articolo è l'assemblaggio. Alla fine, la frase "la rete verifica una transazione che non può vedere" non sembrerà più un paradosso, ma una conseguenza ovvia di parti che già comprendi.

2. Il cast, ricomposto

Ecco l'intera serie in una sola pagina, mappata dalla storia dell'Articolo 0 al meccanismo reale.

3. Da dove vengono le chiavi

Tutto ciò che un utente può fare scaturisce da un singolo segreto, la chiave di spesa, attraverso una gerarchia unidirezionale (ogni freccia è una derivazione irreversibile, grazie alle trappole degli articoli 2 e 3):

Due cose degne di nota, entrambe conseguenze degli articoli precedenti:

• La separazione ti consente di consegnare delle chiavi di visualizzazione (per esempio, a un revisore) che rivelano le tue transazioni senza concedere il potere di spendere. La privacy è selettiva, non tutto-o-niente.
• Ogni derivazione è unidirezionale: possedere delle chiavi di visualizzazione non permette mai a nessuno di recuperare le chiavi di spesa, è proprio la trappola della curva ellittica dell'articolo 2 a svolgere il suo compito.

4. Spendere una nota: le quattro affermazioni

Per spendere una nota in modo privato, devi convincere la rete di quattro cose contemporaneamente senza rivelare la nota, il suo valore, la sua posizione o la tua identità. Ogni affermazione è soddisfatta da un componente che già conosci.

La prova non rivela nessuno dei fatti sottostanti (quale nota, di chi è la chiave, quale valore). Rivela solo che tutte e quattro le affermazioni sono vere. Questo è l'intero trucco di Zcash schermato, enunciato in un solo diagramma.

5. Il trucco del bilancio dei valori (il colpo che ci eravamo riservati)

Negli Articoli 2 e 3 avevamo notato che i commitment di Pedersen si sommano: il commitment a v_1 più il commitment a v_2 è un commitment a v_1 + v_2. Ecco dove questo ripaga.

Ogni nota di input e di output porta con sé un commitment di valore: un commitment di Pedersen v.G + r.H che nasconde il suo importo v. Poiché questi si sommano, la rete può calcolare:

(sum of input value commitments) − (sum of output value commitments)

Se la transazione è bilanciata (nessun denaro creato o distrutto), le parti v si annullano esattamente, lasciando solo un commitment a valore zero, offuscato dalla casualità residua. Il mittente prova di conoscere quella casualità residua producendo una piccola firma chiamata binding signature. Una binding signature valida è possibile solo quando i valori sono realmente bilanciati, eppure non è stato rivelato un solo importo.

Questa è l'illustrazione più chiara di tutta la serie del perché avessimo bisogno di commitment omomorfici basati sulle curve. La regola "denaro in entrata uguale a denaro in uscita" è imposta sommando insieme le buste sigillate e verificando che il risultato si sigilli a zero.

6. Una transazione completa, osservata da cima a fondo

Assembliamo Alice che paga Bob. Useremo la chiara struttura "lato spesa / lato output" di Sapling come modello didattico.

Una transazione schermata raggruppa due tipi di descrizioni:

Più una binding signature sull'intero bundle, che impone il bilancio dei valori (Sezione 5).

Segui la privacy: la rete ha controllato l'anchor, ha verificato che il nullifier fosse nuovo, ha verificato la prova e ha verificato il bilancio. Ha accettato un pagamento valido senza aver appreso alcun importo, alcun indirizzo, né quale nota sia stata spesa. Nel frattempo il nullifier della nota spesa (la sua morte) e il nuovo commitment di Bob (la nascita della sua nota) si trovano in due strutture pubbliche diverse, senza alcun legame visibile tra loro, il legame reciso dell'Articolo 0.

7. Chiudere ogni filo aperto nell'Articolo 0

L'Articolo 0 ha aperto deliberatamente delle domande. Eccole tutte, chiuse.

Il paradosso della prima pagina, verificare ciò che non puoi vedere, è ora completamente dissolto. La rete verifica affermazioni su dati nascosti, mai i dati stessi.

8. Sapling vs Orchard, in un soffio

Abbiamo insegnato con la struttura di Sapling perché la sua separazione è la più chiara. Il design attuale, Orchard, raffina queste idee anziché sostituirle:

Ogni concetto di questo articolo si trasferisce direttamente; Orchard principalmente raggruppa spesa-e-output insieme e sostituisce con un sistema di prova senza cerimonia. I cinque pilastri rimangono invariati.

9. Una dichiarazione onesta

Questo è il quadro più completo della serie, ma resta pur sempre un modello. Abbiamo compresso le esatte codifiche di campo di una nota, le precise formule di derivazione delle chiavi, la ri-randomizzazione delle chiavi di spesa, gli indirizzi diversificati, i campi memo, la gestione delle commissioni, la differenza tra commitment di valore e commitment di note in tutti i dettagli, e il ruolo preciso di ciascuna firma. Abbiamo inoltre presentato un solo flusso canonico; le transazioni reali possono trasportare molte spese e output insieme e possono mescolare parti transparent e schermate. La fonte autorevole è la Specifica del Protocollo Zcash. Ciò che ora possiedi è la forma corretta; la specifica riempie ogni misura.

10. Riepilogo

• Una transazione schermata incastra tutti e cinque i componenti: una nota (il valore), il suo commitment nell'albero dei commitment delle note, un nullifier per impedire la doppia spesa, commitment di valore per il bilancio, e uno zk-SNARK che lega tutto insieme.
• Spendere prova quattro affermazioni in una volta sola, che la nota esiste, che sei autorizzato, che il suo nullifier è corretto e che il valore è bilanciato, a conoscenza zero, senza rivelare nessuno dei fatti sottostanti.
• Il bilancio dei valori è imposto sommando commitment omomorfici e verificando che si sigillino a zero, tramite la binding signature, senza che alcun importo venga divulgato.
• I poteri di un utente scaturiscono da un'unica chiave di spesa attraverso una gerarchia unidirezionale, abilitando chiavi di visualizzazione che rivelano senza concedere il potere di spesa.
• La rete verifica affermazioni su dati nascosti, dissolvendo il paradosso verifica-vs-privacy dell'Articolo 0. Ogni filo lì aperto è ora chiuso.
• Orchard raffina Sapling (Action unificate, Halo 2 senza trusted setup, curve Pasta, Sinsemilla) senza modificare i cinque pilastri.

Glossario

FAQ

La rete vede mai l'importo o chi ha pagato chi? No. Verifica la prova, la freschezza del nullifier, l'anchor e la binding signature. Tutti i valori privati restano nascosti.

Cosa mi impedisce di spendere una nota due volte? Il nullifier. Spendere lo pubblica; la rete rifiuta qualsiasi nullifier già presente nell'insieme dei nullifier. La stessa nota produce sempre lo stesso nullifier.

Come si può verificare il bilancio se gli importi sono nascosti? I commitment di valore si sommano in modo omomorfico; i commitment di una transazione bilanciata si annullano in un commitment a zero, cosa che la binding signature prova.

Posso provare le mie transazioni a un revisore senza cedere il controllo? Sì. Consegna una chiave di visualizzazione. Rivela la tua attività schermata ma non può autorizzare spese, grazie alla gerarchia unidirezionale delle chiavi.

Sapling è ormai obsoleto adesso che esiste Orchard? Entrambi sono esistiti sulla rete; Orchard è il design attuale. I concetti sono condivisi, quindi comprenderne uno ti dà l'altro.

Metti alla prova la tua intuizione

Un amico dice: "Poiché la prova nasconde l'importo, un ladro potrebbe semplicemente dichiarare che i suoi output valgono più dei suoi input e stampare denaro gratis." Usando la Sezione 5, spiega in due frasi perché questo fallisce. (Risposta sotto.)

La serie, completa

Hai ora viaggiato da un singolo paradosso fino a un pagamento privato completo:

Da qui, l'arco naturale successivo va più in profondità: il funzionamento interno di Groth16 e Halo 2, le cerimonie di trusted setup, i circuiti di Sapling e Orchard nel dettaglio, la derivazione delle chiavi e gli indirizzi diversificati, e l'evoluzione del protocollo attraverso i network upgrade. Ma le fondamenta sono ora poste, e ognuno di quegli argomenti ha un posto a cui agganciarsi.

Parte della serie Zcash from First Principles per ZecHub. Licenza CC BY-SA 4.0.