[論文レビュー] JugglingSwap: Scriptless Atomic Cross-Chain Swaps

Omer Shlomovits, Oded Leiba|arXiv (Cornell University)|Jul 28, 2020

Cryptography and Data Security参考文献 35被引用数 9

ひとこと要約

JugglingSwapは、異なる署名方式や楕円曲線パラメータを持つブロックチェーン間で信頼なし、自己管理型の交換を可能にするスクリプトレスなアトミッククロスチェーンスワッププロトコルを導入する。『Juggling』と呼ばれる新規の公開鍵検証可能暗号化方式を用いて、秘密鍵の一部を段階的に解放することで、従来のスクリプトレスプロトコルが共通の楕円曲線パラメータを必要とするのに対し、閾値署名と検証可能秘密分散を用いてセキュリティとフェアネスを維持しながら、それ以上の相互運用性を実現する。

ABSTRACT

The blockchain space is changing constantly. New chains are being implemented frequently with different use cases in mind. As more and more types of crypto assets are getting real world value there is an increasing need for blockchain interoperability. Exchange services today are still dominated by central parties which require custody of funds. This trust imposes costs and security risks as frequent breaches testify. Atomic cross-chain swaps (ACCS) allow mutual distrusting parties to securely exchange crypto assets in a peer-to-peer manner while preserving self-custody. Fundamental ACCS protocols leveraged the scripting capabilities of blockchains to conditionalize the transfer of funds between trading parties. Recent work showed that such protocols can be realized in a scriptless setting. This has many benefits to blockchains throughput, efficiency of swap protocols and also to fungibility and privacy. The proposed protocols are limited to assets transferable by either Schnorr signatures or ECDSA that are assuming the same elliptic curve parameters. In this work we present JugglingSwap, a scriptless atomic cross-chain swap protocol with a higher degree of interoperability. We weaken the assumptions about blockchains that can be included in the ACCS protocol, and only require that (1) a threshold variant exists to the underlying digital signature scheme and (2) it is based on the elliptic curve discrete logarithm problem (ECDLP). The fair exchange is achieved by a gradual release of secrets. To achieve this we use a new building block we call Juggling: a public key verifiable encryption scheme to transfer segments of secret shares between parties, which can also be of separate interest. Juggling is then tailored to a specific private key management system design with threshold signatures security.

研究の動機と目的

• 既存のスクリプトレスアトミッククロスチェーンスワッププロトコルの相互運用性の制限を解消すること。これらは共通の楕円曲線パラメータおよび署名方式（例：Schnorr または ECDSA）を必要としている。
• 異なるデジタル署名方式や楕円曲線を使用するブロックチェーン間でのアトミックスワップを可能にすることで、クロスチェーン相互運用性の範囲を拡大すること。
• 信頼できる第三者やオンチェーンスクリプトに依存せずに、相互に信頼できる交換メカニズムを設計すること。
• 安全で検証可能かつ段階的な秘密鍵共有の移転を可能にする新しい暗号Primitive「Juggling」を設計すること。

提案手法

• プロトコルは、『Juggling』と呼ばれる新規の公開鍵検証可能暗号化方式を用いて、参加者間で秘密鍵の一部を段階的かつ検証可能に安全に転送する。
• 秘密鍵の一部は、離散対数問題が困難である楕円曲線上で動作する閾値鍵生成プロトコル（例：{3,3}-Thresh-Key-Gen）を用いて生成される。
• 各参加者は共有アドレスのための鍵の一部を寄付し、全参加者が協力しなければ完全な鍵は再構成されない。
• プロトコルは、両当事者が段階的に自身の鍵の一部を公開する必要があり、公開検証可能暗号化により悪意ある行動を検出・証明可能であるため、フェアネスが保証される。
• ECDSA、EdDSA、またはその他のECDLPに基づく方式を用いるブロックチェーン間で相互運用性をサポートするが、その前提として閾値署名方式が存在する必要がある。
• 実装では暗号層にRust、通信層にJavaScriptを用い、曲線および署名方式を抽象化することで拡張性を確保している。

実験結果

リサーチクエスチョン

• RQ1 異なる楕円曲線パラメータや署名方式を有するブロックチェーン間で、共通のパラメータを必要とせずにアトミッククロスチェーンスワップを実現できるか？
• RQ2 ブロックチェーンの基盤となる署名メカニズムが異なる状況下で、スクリプトレス環境においてどのようにフェアな交換を達成できるか？
• RQ3 オンチェーンスクリプトに代わる検証可能で段階的な秘密分散メカニズムを構築できるか？ これにより、多様なブロックチェーン間での相互運用性が実現可能か？
• RQ4 分散型で信頼なしのスワッププロトコルにおいて、セキュリティと検証可能性を確保するために必要な暗号Primitiveは何か？
• RQ5 どのようにして閾値署名と検証可能暗号化を組み合わせ、信頼できる第三者に依存せず、安全で自己管理型のスワップを実現できるか？

主な発見

• JugglingSwapは、異なる楕円曲線や署名方式を用いるブロックチェーン間でアトミッククロスチェーンスワップを可能にし、例えばビットコイン（ECDSA/Secp256k1）とイーサリアム（ECDSA/Secp256k1）、あるいはEdDSAベースのチェーン（例：アルゴランドやテゾス）間のスワップを実現する。
• プロトコルは共通の曲線パラメータや署名方式を必要とせず、従来のスクリプトレスアトミックスワッププロトコルの主な制限を克服する。
• Jugglingプリミティブの使用により、秘密鍵の一部が段階的かつ検証可能に解放され、フェアネスが保証され、悪意ある行動の検出が可能になる。
• 各ブロックチェーンで2つの標準トランザクションのみを必要とし、スクリプトベースのHTLCと比較してオンチェーンの負荷が低減され、効率性が向上する。
• 閾値鍵生成および検証メカニズムが正しく実装されていれば、1人の参加者またはプロバイダが悪意を持っていてもセキュリティが維持される。
• 実装はSecp256k1およびcurve25519を対象としており、ECDSAおよびSchnorr署名をサポートしており、他の曲線や署名方式への拡張も可能である。