Hi 游客

更多精彩,请登录!

比特池塘 区块链前沿 正文

一文读懂比特币Schnorr签名

落日余晖97
121 0 0
公私密钥对是加密货币安全性的基石,从安全的网页浏览到加密货币金融业务。公私密钥对是不对称的,这意味着给定一串数字(私钥),可以导出另一串(公钥)。但是,反之就不可行。正是这种不对称性允许人们公开分享公钥,公开也能确信没有人可以推导出私钥(私钥需要秘密且安全地保管)。
+ B& q4 b' [* }  [& G7 M6 ^0 X/ e! s非对称密钥对主要用于两种应用:
- A9 B" w! l6 l2 i· 在身份验证中,你需要证明自己掌握私钥;
* {9 _# q+ k5 t2 m% n· 在加密过程中,信息可以编码,只有拥有私钥的人才能解密和阅读消息。; u" c/ c% ^% P# g% W
在本篇数字签名的介绍中,我们将讨论一类特定的钥匙:从椭圆曲线派生的钥匙,还有其他非对称方案,其中最重要的是基于素数乘积的方案,包括RSA密钥[1]。2 N! n5 Y( H+ O" b9 E
我们假设你了解椭圆曲线加密(Elliptic Curve Cryptography)的基础知识,如果不了解的话没关系可以到原文的前一章节了解。
: F2 `( }2 Z9 j+ L6 x" ~2 N$ ?! I·进入正题
# b8 M( W% D4 B$ Y0 ~. Y这是对数字签名的交互式介绍,使用Rust代码来演示本文提及的一些想法,因此你可以看到它们是如何运作的,本文介绍的代码使用的是libsecp256k-rs子库。
+ j7 Y8 E. X3 I) s( A, i* _这个名字有点拗口,但secp256k1是椭圆曲线的名称,它用于保护很多加密货币交易,包括比特币。6 c. L( ]8 V/ S& F* }! V; n
这个特殊的库提供了一些很不错的功能,我们重写了加法和乘法运算符,以便Rust代码看起来更像数学公式,这使我们更容易试验想要实施的想法。
& I+ U$ m* H" O, T友情提示!不要在编写代码过程中使用此库,它没有经过验证,如果需要的话可以用这个子库替代。- Q% z) Q/ A; S1 I' ~0 x/ v
·Schnorr签名的基础知识
5 z8 v1 x- d) r$ i, }·公钥和私钥& Q. Q; R6 p4 a+ E
我们要做的第一件事是从椭圆曲线创建公钥和私钥。
8 u, {  _. ~) x" }8 C- O在secp256k1中,私钥只是0到2256之间的标量整数值,数量之多相当于整个宇宙的原子数,所以有无穷无尽的可能性。: B8 b3 @7 W$ d* W1 }4 n
secp256k1曲线上有一个特殊点,名为G,它充当“原点”。公钥是通过将曲线上的G加到自身,乘以“Ka”,这是标量乘法的定义,写成:
8 y6 X* ?* o- I' T6 R3 t2 J. BPa=KaG
9 f' T6 j$ n0 Y举个例子,当以未压缩格式编写时,1的公钥是0479BE667 ... C47D08FFB10D4B8,以下代码演示了这一点:
& L' T/ u  f' C& l1 u
9 Z4 @' ]' ~8 X7 b5 [·创建签名8 D3 j4 O4 B& x" u7 f! ~
采用方式& P8 k0 p# Z6 ^, ]  a. c
当为标量使用正确选择的随机值时,反转ECC数学乘法(即除法)几乎是不可行的([5],[6])。这个属性称为离散日志问题(Discrete Log Problem),作为许多加密货币和数字签名背后的原理使用。有效的数字签名是证明签名提供人知悉与消息相关联的公钥/私钥的证据,或者已解决离散日志问题的证据。
9 v  e- x9 Q6 w# o$ L. g创建签名的方法始终遵循以下方法: 1. 生成秘密一次性数字r(称为随机数)。 2. 从r创建公钥R,其中(R=rG)。 3. 将以下内容发送给你的收件人Bob——你的消息(m),R和你的公钥(P=kG)。
# m5 R* k! |- B7 h- g) @2 y/ y通过哈希上述所有公共信息的组合来创建实际签名以创建问题,e:/ r* [7 Q* x: r0 m* D2 w7 W( P$ Y
e=H(R||P||m)/ T8 j' V, n- a
选择哈希函数,使e与私钥具有相同的范围,在我们的例子中,我们想要返回的信息是256位数字,所以SHA256是个不错的选择。
& F' ~- F: p7 o6 b现在使用你的私人信息构建签名:s=r+ke
0 B/ F' }7 P  E9 D- s" e4 ABob现在也可以计算e,因为他已经知道m、R、P,但是他不知道你的私钥或随机数。! N7 c6 T- w% D5 ]3 N& i1 o
注意:创建这样的签名被称为Schnorr签名,我们稍后会继续讨论,还有其他创建s的方法,比如在比特币中使用的ECDSA [2]。" p$ Z4 u$ P: j7 f
看这个例子:sG=(r+ke)G) q$ Z: |# b& ]% O" @1 l
将右侧相乘:sG=rG+(kG)e
) R" Q& o* T6 Q: F替代R=rG和P=kG,可以得到:sG=R+Pe7 D. W! `- C9 Y1 Z. }8 E
所以Bob必须计算对应于签名(s.G)的公钥,并检查它是否与等式(R+Pe)右侧相等,这些消息对于Bob来说都已知。
& k( x! O$ x( q3 m
0 c& |0 y" a0 ~; d+ F2 e3 H8 |·随机数Nonce的必要性,为什么标准签名中需要随机数?4 Y! o  b, f; v" s# m
假设我们仅仅只是签署了一条消息m:
# N7 E6 o+ G, ve=H(P||m)& ]  L1 Y1 B+ I9 \* \
签名为s=ek
  o& V" V7 G! R/ w+ v我们可以照常检验签名是否有效?* l  a5 {6 N" B
目前为止都正常,但是现在任何人都可以阅读你的私钥,因为s是标量,所以k=s/e并不难,至于随机数,必须求解k=(s-r)/e,但r是未知的,所以只要r是随机选择的,这就不是一个可行的计算。2 D; {/ Q1 _& J0 O' G
我们可以证明,没有随机数确实是非常不安全的:: i$ x5 U7 @# C- t5 }
5 b! `$ C- `+ v' f6 P6 Q- e
·ECDH是什么?
) l6 a- |% A# F8 I& L想要实现安全通信的各方要如何生成用于加密消息的共享密钥?一种方法称为椭圆曲线Diffie-Hellmam交换(Elliptic Curve Diffie-Hellmam exchange),这是一种简单的方法。2 _5 m) v. N0 `6 l$ B
ECDH用于许多地方,包括通道协商期间的闪电网络[3]。
% W2 B0 I" w7 V. W+ d" Y这是它的工作原理,Alice和Bob想要安全地沟通,一种简单的方法是使用彼此的公钥并进行计算:
9 B/ v% K/ i) |) c/ z4 P  o+ w
( V0 }$ j) W2 ~2 l  ~1 m2 s$ |出于安全原因,通常会为每个会话随机选择私钥(这涉及到“临时密钥”这一术语的使用),但是我们遇到的问题是不确定对方是否与他们声称的身份相符(可能是中间人攻击[4])。- k2 U8 `' d: y9 n$ w
可以采用其他身份验证步骤来解决此问题,这里不再详述。6 r$ a9 A1 q+ n' V
* ]/ L7 N! o/ J1 B  ^
·Schnorr签名
  M2 K( G7 c/ d. y; {) }如果你经常关注加密货币新闻,就会知道比特币Schnorr签名是多热门的话题。& {1 f7 R8 ^0 V! m9 z
但实际上,这已经算是旧闻了,Schnorr签名被当作是随机预言模型中最简单的安全数字签名方案,它很有效并且生成短签名,获得美国专利4995082,该专利于2008年2月到期[7]。
& O: q( S$ I' Z+ ?
5 g6 X& }4 h  ^$ Y·为什么Schnorr签名能引起关注?8 E0 B4 v( e7 v* T% b0 Z8 m
Schnorr签名如此迷人而危险的原因在于简洁性。 Schnorr签名是线性的,因此具有一些优良属性。
+ k0 h9 R' L2 g" h3 u椭圆曲线具有乘法性质,因此,如果有两个对应点X,Y和相应的标量x,y,则:4 U% ^$ F" r1 \. [3 ^  Z# t0 U
(x+y)G=xG+yG=X+Y
" E$ K8 v7 F9 }( I1 J/ \" U9 `Schnorr签名的形式为s=r+ek,这种结构也是线性的,因此它非常适合椭圆曲线数学的线性。, g/ ?5 m: R" Q3 r" m1 @! i% p
在上一节中已经介绍了线性,当我们验证签名时,Schnorr签名的线性使其非常具有吸引力,其中包括: 1. 签名聚合; 2. 原子交换; 3.“无脚本”脚本7 S& W7 Y! Q8 I* \, I; V" V

/ p2 o; G: h- ]·Na?ve签名聚合- I: x8 f+ R$ F. y! P
让我们看看,Schnorr签名的线性属性如何用于构造多重签名。
8 g& Z0 P0 V7 Z( U+ }Alice和Bob想要签署一些东西(比如Tari交易)而不必相互信任,也就是说,他们需要证明其各自密钥的所有权,并且只有在Alice和Bob都提供其签名部分时,聚合签名才有效。
- [- y! ]2 \+ F' W9 k假设私钥表示为ki,公钥表示为Pi。 如果我们要求Alice和Bob各自提供一个随机数,可以尝试:( h9 a" N6 d% Z" Z' ~
所以Alice和Bob可以自己提供R,任何人都可以从R的总和公钥中构建两个两个签名,这的确可行:/ y5 S8 F$ u! k/ y, H; ?. t
0 R/ }7 M; n, t9 m7 X3 H) ?0 C
但是这个框架并不安全!2 A+ B; g1 M& `/ }4 U2 o

- U( y1 }7 z+ n; _$ d; u8 ]# Y: U5 ~·密钥消除攻击
5 t( J, D0 z/ P依旧是上述场景,但这一次,在Alice公布以后,Bob提前知道了Alice的公钥和随机数。
* s# j( k! ]7 j9 i. k# N现在Bob说谎并说他的公钥是P'b=Pb-Pa,公共随机数是R'b=Rb-Ra。. n! O# G, p7 o1 C
Bob并不知道伪造值的私钥,但是也没多大影响。
+ n% t7 m5 m3 K8 ~根据聚合方案,每个人都假设Sagg=Ra+R'b+e(Pa+P'b)。
7 U; W( x, `: O0 L9 A3 z1 M但Bob可以自己创建这个签名:
* k& p  e' T) {, x4 m* I+ s6 s$ A" b% f, v3 B

3 L  L5 V, E6 ]: Q& p* [; T·更好的聚合方法* B# A! h' Q& f' g4 r/ X
在密钥取消攻击中,Bob不知道发布的R和P值的私钥,我们可以要求他签署一则消息证明他确实知道私钥,让Bob攻击失败。& s3 P9 H: K, b/ G& D
这是有效的,但它需要在各方之间进行另一轮消息传递,这不利于良好的用户体验。
  t& n% u' D1 _! f更好的方法是包含以下一个或多个功能的方法: · 它只需证明在普通的公钥模型中是安全的,而不必证实和密钥有关消息,因为我们可以要求Bob在na?ve模式中证明。 · 它应该满足常规的Schnorr方程,即可以用R+eX形式的表达式验证得到的签名。 · 它允许交互式聚合签名(IAS),签名者需要配合。 · 它允许非交互式聚合签名(NAS),其中聚合可以由任何人完成。 · 它允许每个签名者签署相同的消息,m。 · 它允许每个签名者签署自己的消息,mi。
$ l& E! g  D7 A: ~; C4 ^
( |: @5 l* V  [  z: o·多重签名6 R3 \6 u$ T7 a, g3 x) K! R+ t9 e% \$ s
多重签名是最近提出的([8],[9])简单签名聚合方案,它满足前一节中的所有属性。0 k4 \9 {& R- g
·多重签名演示# H6 Y8 x( r+ K1 v
我们将在这里演示交互式多重签名方案,每个签名者签署相同的消息,该计划的工作原理如下: 1. 如前所述,每个签名者都有一个公私密钥对。 2. 每个签名者都对他们的公共随机数共享一个承诺(在本演示中跳过此步骤),此步骤对防止某些类型的恶意密钥攻击是必要的[10]。 3. 每个签名者都发布他们的随机数,Ri的公钥。 4. 每个人都计算相同的“共享公钥”,X如下:
+ T) I& s( _+ }" M+ v- }请注意,在上述公钥排序中,应遵循某些既定规则,例如按字典顺序序列化密钥。 1. 每个人也计算共享的随机数,R=∑Ri。 2. 问题,e是H(R||X||m)。 3. 每位签名者都需要对签名提供贡献:
6 v1 ^% ^( G+ I% ?5 m注意,标准Schnorr签名的唯一出发点是包含因子ai。3 c  R* {8 N2 w  ~! {1 p
聚合总签名一般是总和,s=∑si。8 V# F3 Y6 e5 A( ^
通过以下方式确认验证:sG=R+eX/ ~- Z9 r* \. T
证明:
4 {9 U/ @* K: j4 E5 w让我们用三重签名来演示:
3 p$ @- D! S9 F- x
% ^; ?1 A: T$ I# ]: ?! o4 e3 c" f: E% u. }
·安全演示( f* O+ A5 k! S+ m
作为最后的演示,让我们展示一下多重签名如何从na?ve签名方案中抵御消除攻击。与密钥消除攻击部分想法相同,Bob在他的随机数和公钥中提供了假值:
/ \3 |- N; J6 {" W0 C/ Z, S这导致Alice和Bob共同进行了以下计算:
" K. Z. H5 U# R6 ~Bob随后在多重签名后构建单边签名:; V: ], V4 {1 O8 G
我们现在假设ks不需要成为Bob的私钥,但是他可以使用他已知的信息来推导,要使其成为有效签名,必须验证R+eX,因此:$ v3 u: f. `; ]: s0 }
在之前的攻击中,Bob从类似计算中获得了所需的所有算式右侧信息,在多重签名中,Bob必须以某种方式知道Alice的私钥和伪造的私钥(这些条款不再取消)才能创建单边签名,因此他的消除攻击失败。
/ A+ v8 S5 ?" [0 g6 [5 a  d
4 l* s, E  D+ h8 O& p·重放攻击
1 B8 }" ^, L$ X" Y" `% ^* S- i& p每个签名仪式都要选择一个新的随机数,这一点至关重要,最好的方法是使用加密安全(伪)随机数生成器(CSPRNG)。
1 `8 b9 R2 @/ L但即使是这种情况,攻击者可以通过将签名仪式“倒带”到产生部分签名的时间点来诱骗我们签署新消息,此时,攻击者提供了一个不同的消息,e'=H(...||m')来进行签名,而不会引起任何怀疑,每一方会再次计算他们的部分签名:
9 Y0 Z/ ?9 {' [1 ^+ B1 M7 ]8 Z攻击者仍然可以访问第一组签名,只需要简单地做减法:
) _* w3 w- g& }最终等式右侧的所有消息都被攻击者获取,因此他可以轻易地提取每个人的私钥,这种攻击很难防御。一种方法是增加终止和重启签名仪式的难度,如果多重签名仪式被中断,那么需要再次从第一步开始,这相当符合人体工程学,在出现更强大的解决方案之前,它可能是目前最好的解决方案!
BitMere.com 比特池塘系信息发布平台,比特池塘仅提供信息存储空间服务。
声明:该文观点仅代表作者本人,本文不代表比特池塘立场,且不构成建议,请谨慎对待。
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

成为第一个吐槽的人

落日余晖97 初中生
  • 粉丝

    0

  • 关注

    0

  • 主题

    22