Korumalı Protokol, Uçtan Uca

Annkkitaaa tarafından orijinal araştırma

Her parçayı tek bir özel Zcash işlemi içinde bir araya getirmek

Seri: İlk İlkelerden Zcash . Makale 6 . Korumalı Protokol (final) Hedef kitle: 0'dan 5'e kadar olan Makaleleri okumuş yeni başlayanlar. Her şeyin birbirine bağlandığı yer burası. Bu yazıdan kazanacağınız şey: korumalı bir Zcash işleminin eksiksiz ve doğru bir zihinsel modeli; serideki her kavramın doğru yerine oturduğu ve Makale 0'daki her döngünün kapandığı bir çerçeve.

Makale 0'da bir paradoks ve herkese açık bir tahtadaki mühürlü zarflarla ilgili bir hikâyeyle başlamıştık. Ardından beş makale boyunca parçaları inşa ettik: sonlu alanlar, eliptik eğriler, commitments, Merkle ağaçları ve sıfır bilgi ispatları. Şimdi bunları bir araya getirip gerçek bir özel ödemenin baştan sona nasıl çalıştığını göreceğiz.

1. Neden bunu önemsemelisiniz?

Tek tek bakıldığında öğrendiğiniz her parça zekice. Ancak Zcash'in büyüsü, bunların birbirine nasıl kenetlendiğinde ortaya çıkar. Tek başına bir nullifier gizlilik sağlamaz. Tek başına bir commitment sahteciliği önlemez. Tek başına bir ispat da faydalı hiçbir şeyi kanıtlamaz. Beş bileşeni aynı anda hem özel hem de güvenilir para hâline getiren şey, bu birleşimdir.

Bu makale o birleşimi anlatıyor. Sonunda, "ağ göremediği bir işlemi doğrular" cümlesi artık bir paradoks gibi değil, zaten anladığınız parçaların apaçık bir sonucu gibi gelecek.

2. Kadro, yeniden bir arada

İşte tek sayfada tüm seri; Makale 0'daki hikâyeden gerçek mekanizmaya eşlenmiş hâli.

3. Anahtarlar nereden gelir

Bir kullanıcının yapabildiği her şey, tek bir sırdan, yani spending key'den, tek yönlü bir hiyerarşi üzerinden türetilir (her ok, Makale 2 ve 3'teki trapdoor'lar sayesinde geri döndürülemez bir türetmedir):

Daha önceki makalelerin sonuçları olan ve dikkat etmeye değer iki nokta var:

• Bu ayrım, size harcama yetkisi vermeden işlemlerinizi gösteren bir viewing key'i (örneğin bir denetçiye) paylaşabilmenizi sağlar. Gizlilik ya hep ya hiç değildir; seçici olabilir.
• Her türetme tek yönlüdür: bir viewing key'e sahip olmak, hiç kimsenin spending key'i geri elde etmesine izin vermez; tam da Makale 2'deki eliptik eğri trapdoor'unun görevini yapması gibi.

4. Bir note'u harcamak: dört iddia

Bir note'u özel biçimde harcamak için, ağa aynı anda dört şeyi ikna edici şekilde göstermeniz gerekir; bunu yaparken note'u, değerini, konumunu veya kimliğinizi açıklamazsınız. Her iddia, zaten bildiğiniz bir bileşenle karşılanır.

İspat, altta yatan gerçeklerin hiçbirini açıklamaz (hangi note, kimin anahtarı, hangi değer). Yalnızca dört iddianın da doğru olduğunu açıklar. Korumalı Zcash'in tüm hilesi, tek bir diyagramda tam olarak budur.

5. Değer dengesi hilesi (sona sakladığımız ödül)

Makale 2 ve 3'te Pedersen commitments'ın toplanabildiğini belirtmiştik: v_1 için olan commitment ile v_2 için olan commitment'ın toplamı, v_1 + v_2 için bir commitment'tır. İşte bunun karşılığı burada ortaya çıkıyor.

Her giriş ve çıkış note'u bir value commitment taşır: miktarı v olanı gizleyen bir Pedersen commitment'ı, yani v.G + r.H. Bunlar toplanabildiği için ağ şunu hesaplayabilir:

(giriş value commitments toplamı) − (çıkış value commitments toplamı)

İşlem dengedeyse (hiç para yaratılmamış ya da yok edilmemişse), v kısımları tam olarak birbirini götürür ve geriye yalnızca kalan rastgelelikle körlenmiş, sıfır değere ait bir commitment kalır. Gönderen, o kalan rastgeleliği bildiğini, binding signature denen küçük bir imza üreterek kanıtlar. Geçerli bir binding signature, yalnızca değerler gerçekten dengedeyse mümkündür; yine de tek bir miktar bile açıklanmaz.

Bu, tüm seride neden homomorfik, eğri tabanlı commitments'a ihtiyaç duyduğumuzun en temiz örneğidir. "İçeri giren para = dışarı çıkan para" kuralı, mühürlü zarfları birbirine ekleyerek ve sonucun sıfıra mühürlendiğini kontrol ederek uygulanır.

6. Uçtan uca izlenen eksiksiz bir işlem

Alice'in Bob'a ödeme yapmasını bir araya getirelim. Eğitim modeli olarak Sapling'in net "harcama tarafı / çıkış tarafı" yapısını kullanacağız.

Korumalı bir işlem, iki tür açıklamayı bir araya getirir:

Bunlara ek olarak, değer dengesini zorunlu kılan, tüm paket üzerinde tek bir binding signature bulunur (Bölüm 5).

Gizliliğin izini sürün: ağ anchor'ı kontrol etti, nullifier'ın yeni olduğunu kontrol etti, ispatı doğruladı ve dengeyi doğruladı. Miktarı öğrenmeden, adres öğrenmeden ve hangi note'un harcandığını bilmeden, geçerli bir ödemeyi kabul etti. Bu sırada harcanan note'un nullifier'ı (ölümü) ve Bob'un yeni commitment'ı (note'unun doğumu), görünür bir bağ olmadan iki farklı açık yapıda durur; Makale 0'daki koparılmış bağlantı budur.

7. Makale 0'daki her döngüyü kapatmak

Makale 0 kasıtlı olarak sorular açmıştı. İşte şimdi onların hepsi kapanıyor.

İlk sayfadaki paradoks, göremediğini doğrulamak, artık tamamen çözülmüştür. Ağ, verinin kendisini değil, gizli veri hakkında iddiaları doğrular.

8. Sapling ve Orchard, tek nefeste

Öğretim için Sapling yapısını kullandık çünkü ayrımı en net olan odur. Güncel tasarım olan Orchard, bu fikirleri değiştirmekten çok inceltir:

Bu makaledeki her kavram doğrudan taşınır; Orchard esas olarak harcama ve çıkışı birleştirir ve trusted setup gerektirmeyen bir ispat sistemi kullanır. Beş sütun değişmeden kalır.

9. Dürüst bir not

Bu, serideki en eksiksiz resimdir, ama yine de bir modeldir. Bir note'un tam alan kodlamalarını, kesin anahtar türetme formüllerini, harcama anahtarlarının yeniden rastgeleleştirilmesini, çeşitlendirilmiş adresleri, memo alanlarını, ücret işlenişini, value commitments ile note commitments arasındaki farkı tüm ayrıntısıyla ve her imzanın tam rolünü sıkıştırarak anlattık. Ayrıca tek bir kanonik akış sunduk; gerçek işlemler aynı anda birçok harcama ve çıkış taşıyabilir, hatta şeffaf ve korumalı parçaları karıştırabilir. Yetkili kaynak Zcash Protokol Spesifikasyonu'dur. Elinizdeki şey artık doğru şekildir; tüm ölçüleri spesifikasyon doldurur.

10. Özet

• Korumalı bir işlem, beş bileşenin tamamını birbirine kenetler: bir note (değer), onun note commitment tree içindeki commitment'ı, çift harcamayı önleyen bir nullifier, denge için value commitments ve hepsini bir araya bağlayan bir zk-SNARK.
• Harcama, aynı anda dört iddiayı kanıtlar: note vardır, onu harcamaya yetkiniz vardır, onun nullifier'ı doğrudur ve değer dengededir; bunu sıfır bilgiyle yapar ve alttaki gerçeklerin hiçbirini açığa vurmaz.
• Değer dengesi, homomorfik commitments'ın toplanması ve binding signature aracılığıyla sıfıra mühürlendiklerinin kontrol edilmesiyle uygulanır; hiçbir miktar açıklanmaz.
• Bir kullanıcının yetkileri tek bir spending key'den tek yönlü bir hiyerarşi üzerinden akar; bu da harcama yetkisi vermeden görünürlük sağlayan viewing keys'i mümkün kılar.
• Ağ, verinin kendisini değil, gizli veri hakkındaki iddiaları doğrular; böylece Makale 0'daki doğrulama-gizlilik paradoksu çözülür. Orada açılan her döngü artık kapanmıştır.
• Orchard, Sapling'i inceltir (birleşik Actions, trusted setup olmadan Halo 2, Pasta eğrileri, Sinsemilla) ama beş sütunu değiştirmez.

Sözlük

SSS

Ağ miktarı ya da kimin kime ödeme yaptığını hiç görür mü? Hayır. İspatı, nullifier'ın yeni oluşunu, anchor'ı ve binding signature'ı doğrular. Tüm özel değerler gizli kalır.

Bir note'u iki kez harcamamı ne engeller? nullifier. Harcama onu yayımlar; ağ, nullifier kümesinde zaten bulunan herhangi bir nullifier'ı reddeder. Aynı note her zaman aynı nullifier'ı üretir.

Miktarlar gizliyse denge nasıl kontrol edilir? Value commitments homomorfik olarak toplanır; dengeli bir işlemin commitments'ı sıfır için bir commitment'a dönüşecek şekilde birbirini götürür ve bunu binding signature kanıtlar.

Kontrolü bırakmadan işlemlerimi bir denetçiye kanıtlayabilir miyim? Evet. Bir viewing key verin. Bu, tek yönlü anahtar hiyerarşisi sayesinde korumalı etkinliğinizi gösterir ama harcamaları yetkilendiremez.

Orchard varken Sapling artık demode mi? İkisi de ağ üzerinde var olmuştur; güncel tasarım Orchard'dır. Kavramlar ortak olduğundan birini anlamak ötekini de anlamanızı sağlar.

Sezgini test et

Bir arkadaşınız şöyle diyor: "İspat miktarı gizlediğine göre, bir hırsız çıkışlarının girişlerinden daha değerli olduğunu iddia edip bedava para basabilir." Bölüm 5'i kullanarak, bunun neden başarısız olduğunu iki cümlede açıklayın. (Yanıt aşağıda.)

Serinin tamamı

Artık tek bir paradokstan tam bir özel ödemeye kadar geldiniz:

Buradan sonra doğal bir sonraki hat daha derine gider: Groth16 ve Halo 2'nin iç işleyişi, trusted-setup törenleri, Sapling ve Orchard devrelerinin ayrıntıları, anahtar türetme ve çeşitlendirilmiş adresler ve protokolün ağ yükseltmeleri boyunca geçirdiği evrim. Ama temel artık yerinde ve bu konuların her birinin bağlanacağı bir yuvası var.

İlk İlkelerden Zcash serisinin ZecHub için hazırlanmış bir parçasıdır. CC BY-SA 4.0 lisanslıdır.