[論文レビュー] A Blind-Mixing Scheme for Bitcoin based on an Elliptic Curve Cryptography Blind Digital Signature Algorithm

QingChun ShenTu, Jianping Yu|arXiv (Cornell University)|Oct 20, 2015

Blockchain Technology Applications and Security参考文献 10被引用数 25

ひとこと要約

本稿では、楕円曲線暗号（ECC）を用いたブロードジッパー署名を用いて、マixerが入力アドレスと出力アドレスを関連付けられないようにすることで、ユーザーの匿名性を向上させる集中型Bitcoinコインミキシング方式であるBlind-Mixingを提案する。この方式は、RSAベースの代替手法と比較して10.5倍高速なブロードジッパー署名計算を達成し、BlindCoin や RSA コインミキシングで見られるデアノニマイゼーションや偽の請求の脆弱性に対しても耐性を持つ。

ABSTRACT

To strengthen the anonymity of Bitcoin, several centralized coin-mixing providers (mixers) such as BitcoinFog.com, BitLaundry.com, and Blockchain.info assist users to mix Bitcoins through CoinJoin transactions with multiple inputs and multiple outputs to uncover the relationship between them. However, these mixers know the output address of each user, such that they cannot provide true anonymity. This paper proposes a centralized coin-mixing algorithm based on an elliptic curve blind signature scheme (denoted as Blind-Mixing) that obstructs mixers from linking an input address with an output address. Comparisons among three blind signature based algorithms, Blind-Mixing, BlindCoin, and RSA Coin-Mixing, are conducted. It is determined that BlindCoin may be deanonymized because of its use of a public log. In RSA Coin-Mixing, a user's Bitcoins may be falsely claimed by another. In addition, the blind signature scheme of Blind-Mixing executes 10.5 times faster than that of RSA Coin-Mixing.

研究の動機と目的

• 既存の集中型Bitcoinミキサーが入力アドレスと出力アドレスを関連付けるという匿名性の制限を解消すること。
• マixerがどの入力がどの出力に対応するかを特定できないコインミキシングプロトコルを設計すること。
• BlindCoin や RSA コインミキシングといった従来のブロードジッパー署名ベースのミキシング方式よりも、性能とセキュリティを向上させること。
• RSAベースのミキシングプロトコルに見られる資金に対する偽の請求のリスクを排除すること。
• より高速で効率的なブロードジッパー署名操作を実現するため、楕円曲線暗号を活用すること。

提案手法

• 本方式は、ユーザーが入力トランザクションをブロードジッピングした後にマixerに提出できるよう、楕円曲線暗号（ECC）に基づくブロードジッパー署名アルゴリズムを用いる。
• ユーザーはブロードジッピングされた入力をマixerに提出し、マixerはブロードジッパー署名プロトコルを用いて署名する。これにより、マixerは入力と出力の関連付けを特定できない。
• 署名済みのブロードジッピングされた入力を受領した後、ユーザーはそれらをアンブロードジッピングして、元の入力アドレスを明らかにせずに有効なトランザクション出力を生成する。
• プロトコルは、マixerが侵害された場合でも、ブロードジッパーの暗号的性質により、どの入力がどの出力に対応するかを追跡できないことを保証する。
• システムは、デアノニマイゼーションと偽の請求の両方を防止するように設計されており、RSAベースおよびBlindCoin方式と比較したベンチマークによって性能を測定している。
• 実装では標準的なECCパラメータが使用され、Bitcoinのトランザクション構造に統合されており、複数の入力と出力を含むCoinJoin風のトランザクションをサポートする。

実験結果

リサーチクエスチョン

• RQ1 マixerがどの入力アドレスとも対応する出力アドレスを関連付けられないような集中型ミキシングプロトコルを設計できるか。
• RQ2 Bitcoinミキシングの文脈において、ECCベースのブロードジッパー署名方式はRSAベースおよび既存のブロードジッパー署名プロトコルと比較して、性能にどの程度優れているか。
• RQ3 公開ログが存在するため、BlindCoinのようなシステムにデアノニマイゼーション攻撃が可能であるという脆弱性を、提案された方式は回避できるか。
• RQ4 RSAベースのミキシングプロトコルに見られる資金に対する偽の請求のリスクを排除できるか。
• RQ5 ブロードジッパー署名ベースのBitcoinミキシング方式において、ECCをRSAよりも使用することで、計算効率にどの程度の向上が得られるか。

主な発見

• 提案されたBlind-Mixing方式は、マixerが入力アドレスと出力アドレスを関連付けられないことを実現し、既存の集中型ミキサーとは異なり真正の匿名性を達成する。
• Blind-Mixingにおけるブロードジッパー署名計算は、RSA Coin-Mixingと比較して10.5倍高速であり、性能向上が顕著に顕在される。
• BlindCoinは、公開ログが存在するため、トランザクションの相関が可能であり、デアノニマイゼーション攻撃に対して脆弱である。
• RSA Coin-Mixingでは、攻撃者が他のユーザーのコインを偽って請求する可能性があるという脆弱性がある。
• 提案された方式は、デアノニマイゼーションや偽の請求に対するセキュリティ面で、BlindCoinおよびRSA Coin-Mixingを上回るとともに、効率性においても優れた性能を示す。