البروتوكول المُدرَّع، من البداية إلى النهاية

بحث أصلي من Annkkitaaa

تجميع كل قطعة في معاملة Zcash خاصة واحدة

السلسلة: Zcash من المبادئ الأولى . المقالة 6 . البروتوكول المُدرَّع (الخاتمة) الجمهور: القادمون الجدد الذين قرؤوا المقالات من 0 إلى 5. هنا تتصل كل الأشياء ببعضها. ما الذي ستخرج به: نموذج ذهني كامل وصحيح لمعاملة Zcash مُدرَّعة، مع كل مفهوم من السلسلة في موضعه الصحيح، وإغلاق كل حلقة من المقالة 0.

بدأنا، في المقالة 0، بمفارقة وقصة عن أظرف مختومة على لوحة عامة. ثم أمضينا خمس مقالات نبني الأجزاء: الحقول المنتهية، والمنحنيات الإهليلجية، والالتزامات، وأشجار Merkle، وبراهين انعدام المعرفة. والآن سنجمعها معًا ونشاهد دفعة خاصة حقيقية تعمل من البداية إلى النهاية.

1. لماذا ينبغي أن تهتم؟

كل قطعة تعلمتها على حدة ذكية بحد ذاتها. لكن سحر Zcash يكمن في كيفية تداخلها. فـ nullifier وحده لا يمنح الخصوصية. والالتزام وحده لا يمنع التزوير. والبرهان وحده لا يثبت شيئًا مفيدًا. إن التجميع هو ما يحول خمسة مكونات إلى مال يكون خاصًا وجديرًا بالثقة في الوقت نفسه.

هذه المقالة هي عملية التجميع. وبحلول النهاية، ستبدو الجملة "تتحقق الشبكة من معاملة لا تستطيع رؤيتها" ليست مفارقة، بل نتيجة بديهية لأجزاء تفهمها بالفعل.

2. الشخصيات، بعد إعادة تجميعها

إليك السلسلة كاملة في صفحة واحدة، مع ربط قصة المقالة 0 بالآليات الحقيقية.

3. من أين تأتي المفاتيح

كل ما يستطيع المستخدم فعله يتدفق من سر واحد، هو مفتاح الإنفاق، عبر هرمية أحادية الاتجاه (كل سهم هو اشتقاق غير قابل للعكس، بفضل الأبواب trapdoors في المقالتين 2 و3):

هناك أمران جديران بالملاحظة، وكلاهما نتيجة للمقالات السابقة:

• يتيح هذا الانقسام لك أن تمنح مفتاح عرض (مثلًا، لمدقق حسابات) يكشف معاملاتك من دون منحه القدرة على الإنفاق. الخصوصية انتقائية، وليست إما كل شيء أو لا شيء.
• كل اشتقاق أحادي الاتجاه: امتلاك مفتاح عرض لا يتيح لأحد أبدًا استعادة مفتاح الإنفاق، وهذا بالضبط هو باب المنحنى الإهليلجي trapdoor من المقالة 2 وهو يؤدي وظيفته.

4. إنفاق note: الادعاءات الأربعة

لكي تنفق note بشكل خاص، يجب أن تقنع الشبكة بأربعة أمور دفعة واحدة من دون كشف note أو قيمتها أو موضعها أو هويتك. ويُلبَّى كل ادعاء بواسطة مكوّن تعرفه بالفعل.

لا يكشف البرهان أيًّا من الحقائق الأساسية (أي note، مفتاح مَن، أي قيمة). إنه يكشف فقط أن الادعاءات الأربعة كلها صحيحة. وهذه هي الحيلة الكاملة في Zcash المُدرَّع، معبَّرًا عنها في مخطط واحد.

5. حيلة توازن القيمة (العائد الذي ادخرناه)

في المقالتين 2 و3 لاحظنا أن التزامات Pedersen تُجمع: فالالتزام بـ v_1 مضافًا إلى الالتزام بـ v_2 هو التزام بـ v_1 + v_2. وهنا يظهر مردود ذلك.

كل input وoutput من نوع note يحمل التزام قيمة: التزام Pedersen من الشكل v.G + r.H يُخفي المقدار v. وبما أن هذه الالتزامات تُجمع، تستطيع الشبكة أن تحسب:

(sum of input value commitments) − (sum of output value commitments)

إذا كانت المعاملة متوازنة (لم يُنشأ مال ولم يُدمَّر)، فإن أجزاء v تُلغى تمامًا، ولا يتبقى إلا التزام بـ قيمة صفرية، مع تمويهها بعشوائية متبقية. ويُثبت المُرسِل أنه يعرف تلك العشوائية المتبقية عبر إنتاج توقيع صغير يُسمى binding signature. ولا يكون binding signature صالحًا ممكنًا إلا عندما تتوازن القيم فعلًا، ومع ذلك لم يُكشف أي مقدار واحد.

هذا أوضح تجسيد في السلسلة كلها لـ سبب حاجتنا إلى التزامات متجانسة الشكل وقائمة على المنحنيات. فقاعدة "المال الداخل يساوي المال الخارج" تُفرض عبر جمع الأظرف المختومة معًا والتحقق من أن النتيجة تُختَم إلى الصفر.

6. معاملة كاملة، مُراقَبة من البداية إلى النهاية

لنجمّع Alice وهي تدفع إلى Bob. سنستخدم البنية الواضحة في Sapling "جانب الإنفاق / جانب الإخراج" كنموذج تعليمي.

تجمع المعاملة المُدرَّعة نوعين من الأوصاف:

بالإضافة إلى binding signature واحد على الحزمة كلها، يفرض توازن القيمة (القسم 5).

تتبّع الخصوصية: لقد تحققت الشبكة من anchor، وتحققت من أن nullifier جديد، وتحققت من البرهان، وتحققت من التوازن. لقد قبلت دفعة صالحة من دون أن تتعلم أي مقدار، أو أي عنوان، أو أي note قد أُنفقت. وفي الوقت نفسه، يجلس nullifier الخاص بـ note المُنفقة (موتها) وcommitment الجديد الخاص بـ Bob (ولادة note الخاصة به) في بنيتين عامتين مختلفتين من دون أي رابط مرئي بينهما، وهو الرابط المقطوع من المقالة 0.

7. إغلاق كل الحلقات المفتوحة منذ المقالة 0

المقالة 0 فتحت أسئلة عن قصد. وهنا هي كلها، وقد أُغلقت.

المفارقة منذ الصفحة الأولى، تحقّق مما لا يمكنك رؤيته، قد زالت الآن بالكامل. الشبكة تتحقق من ادعاءات حول بيانات مخفية، وليس من البيانات نفسها أبدًا.

8. Sapling مقابل Orchard، في نَفَس واحد

شرحنا باستخدام بنية Sapling لأن تقسيمها هو الأوضح. أما التصميم الحالي، Orchard، فهو يُحسّن هذه الأفكار بدلًا من استبدالها:

كل مفهوم في هذه المقالة ينتقل مباشرة؛ Orchard يضمّ أساسًا عمليتَي spend وoutput معًا ويستبدل نظام الإثبات بآخر لا يحتاج إلى مراسم. الركائز الخمس لم تتغير.

9. إخلاء مسؤولية صادق

هذه هي الصورة الأكثر اكتمالًا في السلسلة، لكنها ما تزال نموذجًا. لقد اختصرنا الترميزات الحقلية الدقيقة للملاحظة، وصيغ اشتقاق المفاتيح الدقيقة، وإعادة تعشية مفاتيح spend، والعناوين المتنوّعة، وحقول المذكرات، ومعالجة الرسوم، والفرق بين التزامات القيمة والتزامات الملاحظات بكل تفاصيله، والدور الدقيق لكل توقيع. كما عرضنا تدفقًا معياريًا واحدًا؛ أما المعاملات الحقيقية فقد تحمل العديد من عمليات spend وoutput معًا، وقد تمزج بين الأجزاء الشفافة والمحمية. المصدر المعتمد هو Zcash Protocol Specification. ما أصبح بين يديك الآن هو الشكل الصحيح؛ أما المواصفة فتملأ كل القياسات بالتفصيل.

10. الخلاصة

• المعاملة المحمية تُشابك جميع المكوّنات الخمسة: ملاحظة (القيمة)، والتزامها داخل شجرة التزامات الملاحظات، وnullifier لمنع الإنفاق المزدوج، والتزامات القيمة لتحقيق التوازن، وzk-SNARK يربط كل ذلك معًا.
• الإنفاق يثبت أربعة ادعاءات دفعة واحدة: أن الملاحظة موجودة، وأنك مخوَّل، وأن الـ nullifier الخاص بها صحيح، وأن القيمة متوازنة، وذلك ضمن معرفة صفرية، من دون كشف أيٍّ من الحقائق الأساسية.
• توازن القيمة يُفرَض عبر جمع الالتزامات متجانسة الخواص والتحقق من أنها تُغلَق على الصفر، وذلك عبر توقيع الربط، من دون كشف أي مبلغ.
• قدرات المستخدم تنبع من Spending key واحد عبر هرمية أحادية الاتجاه، مما يتيح Viewing Keys تكشف من دون منح قدرة الإنفاق.
• الشبكة تتحقق من ادعاءات حول بيانات مخفية، وبذلك تُزيل مفارقة التحقق مقابل الخصوصية الواردة في المقالة 0. كل حلقة فُتحت هناك قد أُغلقت الآن.
• Orchard يُحسّن Sapling (Actions موحّدة، وHalo 2 من دون إعداد موثوق، ومنحنيات Pasta، وSinsemilla) من دون تغيير الركائز الخمس.

مسرد المصطلحات

الأسئلة الشائعة

هل ترى الشبكة المبلغ أو مَن دفع لمَن؟ لا. إنها تتحقق من الإثبات، وحداثة الـ nullifier، والـ anchor، وتوقيع الربط. جميع القيم الخاصة تبقى مخفية.

ما الذي يمنعني من إنفاق ملاحظة مرتين؟ الـ nullifier. فعند الإنفاق يتم نشره؛ وترفض الشبكة أي nullifier موجود مسبقًا في مجموعة الـ nullifier. والملاحظة نفسها تُنتج دائمًا الـ nullifier نفسه.

كيف يمكن التحقق من التوازن إذا كانت المبالغ مخفية؟ تلتئم التزامات القيمة بشكل متجانس؛ وتُلغِي التزامات المعاملة المتوازنة بعضها بعضًا لتصبح التزامًا بالصفر، وهو ما يثبته توقيع الربط.

هل يمكنني إثبات معاملاتي لمدقّق من دون التخلي عن السيطرة؟ نعم. سلّمه Viewing Key. فهو يكشف نشاطك المحمي لكنه لا يستطيع تخويل عمليات الإنفاق، وذلك بفضل هرمية المفاتيح أحادية الاتجاه.

هل أصبح Sapling قديمًا الآن بعد وجود Orchard؟ كلاهما وُجد على الشبكة؛ وOrchard هو التصميم الحالي. المفاهيم مشتركة، لذا فإن فهم أحدهما يمنحك فهم الآخر.

اختبر حدسك

يقول صديق: "بما أن البرهان يُخفي المبلغ، يمكن للص أن يدّعي ببساطة أن قيمة مخرجاته أكبر من قيمة مدخلاته ويطبع أموالًا مجانية." باستخدام القسم 5، اشرح في جملتين لماذا يفشل هذا. (الإجابة أدناه.)

السلسلة، مكتملة

لقد انتقلت الآن من مفارقة واحدة إلى دفعة خاصة كاملة:

من هنا، يتجه المسار الطبيعي التالي إلى مزيد من العمق: الآليات الداخلية لـ Groth16 وHalo 2، ومراسم الإعداد الموثوق، ودوائر Sapling وOrchard بالتفصيل، واشتقاق المفاتيح والعناوين المتنوعة، وتطور البروتوكول عبر ترقيات الشبكة. لكن الأساس أصبح الآن قائمًا، ولكل واحد من هذه الموضوعات موضع يمكن أن يرتبط به.

جزء من سلسلة Zcash from First Principles لصالح ZecHub. مرخّص بموجب CC BY-SA 4.0.