1
! W1 X  l) e; Q- Y6 I
- z  g: ?# h' l: j: V. v数字签名算法 - Ed25519
) F8 V* u* B1 P2 R  z: I- T* u" Y1 S( Q% K
一、背景  d, S5 V) X) F9 ?9 ]: Q# \
( i4 Y6 ~: {# l( z: {5 B" X
数字签名的目的是创造和我们合同上签字一样的不可抵赖性，其核心属性是：通过签名的消息可以明确知道其发起人，因为只有唯一的签名者的私钥才能计算出有效的签名，这也就意味着该消息确实是签名方生成的，这种证明在一些国家具有法律上的意义，比如美国的电子签名法案，德国的签名法等。
4 b% `; c" n/ d  r0 ^* \( U3 m: P; k8 _: E: \
私钥签名，然后公布公钥、消息和签名数据让大家去验证，在这些步骤中公私钥对扮演着最重要的角色，它们总是成对出现，而且就像量子纠缠一样互不分离。公私钥一般是通过一个特殊的单向函数和一个随机数生成，这种单向函数往往正向求解（ f(x) = y） 是多项式难度，而逆向求解（ f-1(y) = x）是指数级难度。
4 T; |" N2 Y# K% v  u; v- {7 I' ]: v( @- u3 C
假设x是私钥，y是公钥，那么从私钥推导出公钥在现代计算机体系上需要大到没有任何单位能承受的消耗，所以在目前来看是非常安全的，但是如果量子计算机在未来真的能研究出来的话，那么现在这些广泛基于RSA，DLP（离散对数问题），和从DL上扩展来的ECC（椭圆曲线密码学）的非对称加密机制都是不安全的，如何做到quantum safe，这大约是个和研究量子计算机一样漫长的岁月。% a+ ~" E' U  i! ]/ g

, _! Q' T5 s1 T+ Y  t签名算法在区块链系统中处于最基础的位置，账户地址、交易的产生都与之紧密相关，所以在签名算法的选择上，我们必须兼顾安全和性能，其中安全是首要的，中本聪当时选择的是ECDSA over secp256k1，secp256k1是SECG定义的一个Koblitz曲线，在他使用前几乎无人问津，它设计透明，而不像NIST选中的secp256r1（也就是现在主流常用的P256）曲线中有一些诡异的参数，这些参数被广泛地认为是NSA植入的后门，后来的一系列事件也确实证明了中本聪的选择是非常具有前瞻性的，于是以太坊、EOS等也都跟进了中本聪的想法，但是随着Ed25519专利期限制解除，包括比特币的核心开发者们和Vitalik Buterin都讨论过是否迁移到Ed25519，链接中可见他们的态度都比较暧昧地倾向于使用Ed25519，但可能由于迁移成本太大所以未能成行，而ripple则是在14年就果断迁移了过去。8 S) J; {. |& j$ P+ O# N8 F

. [9 p; d+ \. J$ k2 d! m参考链接：
$ ?5 G) `/ F4 }; H" V9 U. Z. l8 E) `9 V0 X
https://www.ams.org/notices/201402/rnoti-p190.pdf
8 U2 b1 C6 i- J7 e/ `0 H& ~) L& D; l5 }8 S  b; `* v' W
https://bitcointalk.org/index.ph ... g1134832#msg1134832! }$ u/ R# ^# W1 Y7 f0 v
: K  O1 R1 d+ f$ l$ R2 R5 F' Q
https://blog.ethereum.org/2015/07/05/on-abstraction/1 d$ i0 r; w& q

- k4 H, v3 |6 f二、安全性考量) \6 y' }- v4 X# q7 ^$ y& C4 j

& ?4 W0 ~: P; UEd25519在安全性上经过大量独立的知名安全专家评测后被认为是"safe"，而secp256k1是"unsafe"。! V% j6 |& z& a& p  [7 F. O1 D. L. J

/ K" t$ U+ j# K9 ^  h9 ]参考链接：, j. R( Y! }( P5 X- U0 X3 {
$ q9 @3 }5 w! T2 y" H  z9 o9 p5 \
https://safecurves.cr.yp.to/
: U5 i: q7 ~( Z& m+ E  t; i# g- a; n- u5 }8 m" _
三、性能考量) R1 [  z3 F/ A
) i& S8 @: Q0 ?! r
Vite为了满足了工业级应用对高吞吐、低延迟和扩展性的要求，设计了许多优化的方案，比如提出了"交易分解"这个概念，其含义是会把一个交易拆成类似于"请求"和"响应"这样的一对交易，那么再结合我们如此高的TPS，可以预见在Vite的公链系统中对交易的验证和确认是非常频繁发生的，也就是说整体系统的性能表现对签名和验签算法的速度高低会相当敏感。% ~4 _' i" _! U' s5 E' \" D

+ n% s% W* P. ~( n  n5 W( b根据现在的数据Ed25519的性能数倍快于ECDSA over secp256k1 (参考ripple的benchmark)，我相信这对我们系统的性能提升会带来很大的帮助。不仅如此，Ed25519的签名长度也略小于ECDSA，这给就网络传输和存储系统减轻了不小的压力。! p0 X  O# V$ n2 X. O+ }* J3 [

5 c( S+ A4 e$ `5 s9 t7 e参考链接：
4 {! L( ~; }2 |9 U: J/ H+ \5 m
' R- ~1 @0 ]- S$ j# }8 \7 [https://ripple.com/dev-blog/curves-with-a-twist/
4 F# f- C9 ^8 |! \3 o0 g! y, `  w6 l' R; O7 H( c" m6 ?6 d, D# m
https://bench.cr.yp.to/primitives-sign.html
* m- ?% n$ K1 |: h" p" R! X% q
  \7 Z5 c3 J% H5 {四、改造
* z, O. u0 f. }" z+ |: M
1 N- L5 d& D! }* ^我们把标准Ed25519的SHA2替换成了Blake2b。8 ]& m$ I4 p3 q" Z. \

8 v9 b# i' I! q3 D( O五、不足6 }* }% V) d! p3 s2 f6 t

  A7 \5 R9 l4 [' o1 ^由于密钥空间是非线性的，无法兼容BIP的Hierarchical Deterministic Key Derivation。
* p" @+ p: u2 R# T/ f% M
! f3 P2 b, {$ ?2 ]参考链接：8 X# e% b- @  v" F
4 C# C( x$ c5 }4 j: W: g6 r0 j
https://cardanolaunch.com/assets/Ed25519_BIP.pdf
3 q8 ^0 ^9 h: M6 S5 P+ g2 }0 k  ]/ Y$ z9 S
2' T* o, G2 |8 H. V' ]

3 `4 U! `9 T% ?' |Hash算法 - Blake2b
/ x' `, S4 Q& N8 s
4 X# k6 E- w- w$ q" n' K0 V一、背景  y$ M2 W; d/ J4 ]3 f

& E- v  g5 O* T1 C哈希算法的作用是对一串任意长的消息生成一个短的固定长的摘要，Hash函数也是一个单向函数，但是和非对称加密系统中的单向函数的差别在于，后者的单向函数往往是追求反向求解在实际操作上不可能，但理论上是可能的，或者换句话说公钥含有推导出私钥的完整信息。但是哈希函数则不一样它理论上不能逆向，而实际上却往往可以，理论上来说，一个哈希值可以有无穷多个原像对应它，给一个简单的证明，假设一个哈希函数的输出是n个bit，那么这个Hash函数的所有输出值只有2n  个，而输入是无限制的。$ y- D# m' d1 o6 v9 j! E
8 t* u2 S# r4 X1 o8 d" d  C: ~
那么根据鸽巢原理，如果输入是m * 2n个bit，每一个Hash的输出至少对应m个原像，那么即使 Hash(X1) = Hash(X2)= Y，也没法得到X1=X2的结论。但实际上受限于存储和计算能力，输入的原文的长度不会很大，意味着m的值域很小，所以一旦有一个X满足Hash(X) = Target，X是真实原像的概率非常大。- }" M' `4 {9 \
: @8 h# e) |( |
参考链接：5 d- `$ h& C) f# ]9 |% l
7 h! Z8 \. P, @/ a+ U
https://blake2.net/' X( A% ~7 b) H' `3 j! d

$ N8 Q4 h% h/ v7 VHash函数在我们的系统中，担负着挖矿，数据的防篡改等功能，它和签名算法一样是最基础的组件，所以同样我们在技术选型的时候要着重考量其安全和性能。: o9 x: z' o. I+ I, f

# \/ p7 o8 z) Y6 i+ y% g- S+ c( l( o二、安全性考量
& e8 F! _6 d4 F; V5 Z& S7 O8 S- o0 P5 ?" T2 ~
Blake2的前身是Blake，Blake和keccak当时一起竞争SHA3标准的时候失利了，当时失利的原因是Blake和sha2的实现有点相似，而NIST的目标是一个完全不同于SHA2标准的Hash算法。
7 D( i0 I0 s3 D+ x; E) c5 J0 N, A. f9 [1 [/ Z* ]' s/ A7 Y) ^
“desire for SHA-3 to complement the existing SHA-2 algorithms … BLAKE is rather similar to SHA-2.”& b0 u) [0 q2 e/ e$ P  L

. C7 d( R) c! _6 k事实上在安全性评估上NIST给了Blake相当高的评价，其 report形容Blake。
7 f( K- S1 n) [7 a! q# q' J. j, \5 u1 _3 j4 L% ?& k$ `  ?2 j
参考链接：3 c+ t& ~% C! Z1 r; h1 z4 o$ t3 C

# f) x' l9 k4 P/ N! p3 n6 ihttps://nvlpubs.nist.gov/nistpubs/ir/2012/NIST.IR.7896.pdf
. q: C3 c/ k+ K& P+ l1 `' ]& L5 g, W7 R9 h
“BLAKE and Keccak have very large security margins.”. L4 m7 |% V& V! D( C, F
7 u# l" n3 i0 s* c6 L
所以一般而言我们可以认为blake2的安全性和keccak不会有大的区别。
) y  Q8 K) G/ V' m4 Y# z0 ^" H- p2 ~: w) P
三、性能考量
2 g7 O, U3 l/ X9 F0 }: L1 e% S9 w
根据大量的数据Blake2的性能表现在现代的通用CPU(X86 ARM等)上的表现远远领先其它任何Hash算法。, H/ I) u8 {4 S2 n! b, ^( f7 P
: _: I# p* C( [9 n, [
具体性能表现参考链接：& d5 @2 ?1 V! [) X) H

3 U1 X0 x" f- P6 t. c  {* ihttp://bench.cr.yp.to/results-sha3.html( O' V( ~1 M- U3 v
* n& S+ [& x  D8 E0 P
Blake2的另一个特点是用ASIC设计的Blake2算法能达到的峰值并不会很高，这就意味着挖矿的峰值速率相对较低，这也是我们希望的。7 L$ L$ \3 ~5 q5 M/ |) t; p

& h7 q; c# i" z5 Q, Z& N5 @2 b3* b+ D( V4 I3 z; ]+ I7 C4 h

% A3 x& _% u% Y) q密钥派生函数 - scrypt$ f) A7 w9 c3 q5 f5 M

4 B# c# q. W4 h/ J一、背景! b2 S$ v6 ]- E- F; v
2 o4 Z. l- Z) K2 a4 [! k5 v4 G
密钥派生函数(Key Derivation Function) ，简单而言就是使用一个主密钥派生子密钥的函数，比如把一个短的字符串通过KDF的运算扩展成需要的形式，它和Hash函数很类似，最大不同在于它会引入随机量从而防止黑客进行一些查表攻击等（比如彩虹表 rainbow tables）。我们采用的scrypt是一种内存依赖性的KDF，它每一次计算都要占用大量内存资源，消耗很长时间，所以暴力攻击也几乎是不可能的。
8 E8 z, P( f' R8 _3 X* Q$ P/ T
% s% z' B  v! o3 v3 P) I! `KDF在我们的系统中处于非基础性的地位，我们把用户输入的随机短密码经过KDF之后，转换成256bits的密钥，然后使用这个密钥配合AES-256-GCM算法，加密Ed25519私钥，从而安全地在PC上保存我们的私钥。
! v3 p9 {( |1 w' T
# u0 P: Y7 P! D: A, g二、选择原因+ A  o$ p6 t' `! H) `, g2 e
/ ?8 G/ @2 m' V; f, {4 v
从技术角度来看scrypt相比于获得15年的Password Hashing Competition的argon2来说安全性上并没有大的区别，但是由于其诞生更早使用更广泛所以在实践角度看显得更成熟一点，argon2如果再有两到三年年仍然没有被发现大的问题，我们也有可能会使用它。2 z+ f7 S+ D6 q0 t! g  }  O
# _* b4 Y$ A2 q: g3 E, L
4
, i1 F% V% f* V7 B7 v
0 G7 l/ A+ u; L. t' c# t相关名词解释
/ }2 F+ t+ _' x- p4 h& e8 _1 i/ }% K! R- ?* e  m- W
ECDSA(Elliptic Curve Digital Signature Algorithm)是使用椭圆曲线的数字签名算法# S- D% s. L* w( ?
, g, F& ^9 Z! T6 K- W/ `, Q$ T, T2 u
secp256k1是ECDSA算法的一个参数
; }/ Y5 r' F8 A" s" J7 n9 o7 S4 c3 g: G' |) t; Y8 D
* sec是SECG（Standards for Efficient Cryptography Group）推出的Standards for Efficient Cryptogrpahy7 K! j! P- l6 k$ J: o
! F7 [! A8 M! q3 W6 d8 {/ i3 p  |' \
* p的意思是这个椭圆曲线使用 prime field，相对应的& ~8 a$ t' j3 T7 V

! R+ w/ h, i& R. Q# v2 T9 V* 256的意思是 prime的长度是256bits
8 R5 d8 n' [+ Q5 g/ ~; x0 E% y" H" k, N4 A; T
* k 是Koblitz曲线7 V9 P2 O; v  B5 {% [( K4 b% H
9 ?9 h/ f1 i+ A. W( @% J
* 1 意味着它是第一个(事实上也是唯一)标准曲线的类型! B9 w8 M3 }, N0 |
5 B1 j5 e8 ]0 u5 h
Ed25519 是一个使用SHA512/256和Curve25519的EdDSA签名算法