[論文レビュー] Privacy on the Blockchain: Unique Ring Signatures

Rebekah Mercer|arXiv (Cornell University)|Dec 4, 2016

Blockchain Technology Applications and Security参考文献 4被引用数 26

ひとこと要約

本論文は、secp256k1楕円曲線を用いてブロックチェーンシステムと互換性を持つ最初のユニークリング署名（URS）の実装を提示しており、イーサリアムおよびビットコイン上でプライバシー保護型取引を可能にしている。安全で効率的なURS方式を導入し、整合性のとれた否認可能性を提供し、一般的な攻撃に対して耐性を持つ。ランダムオракルモデル下での正しさとセキュリティについて形式的検証が行われた。

ABSTRACT

Ring signatures are cryptographic protocols designed to allow any member of a group to produce a signature on behalf of the group, without revealing the individual signer's identity. This offers group members a level of anonymity not attainable through generic digital signature schemes. We call this property 'plausible deniability', or anonymity with respect to an anonymity set. We concentrate in particular on implementing privacy on the blockchain, introducing a unique ring signature scheme that works with existing blockchain systems. We implement a unique ring signature (URS) scheme using secp256k1, creating the first implementation compatible with blockchain libraries in this way, so as for easy implementation as an Ethereum smart contract. We review the privacy and security properties offered by the scheme we have constructed, and compare its efficiency with other commonly suggested approaches to privacy on the blockchain.

研究の動機と目的

• ビットコインやイーサリアムのようなパブリックブロックチェーンにおけるネイティブなプライバシーの欠如に起因する課題を解決すること。ここでは、すべての取引が公開されているためである。
• 整合性のとれた否認可能性を提供し、特定者特定攻撃に耐性を持つユニークリング署名（URS）方式を設計および実装すること。
• 特にイーサリアムスマートコントラクト向けに広く使用されているsecp256k1曲線を採用することで、既存のブロックチェーンライブラリとの互換性を確保すること。
• スカラ乗算における群の位数ではなく体の位数 modulo での演算という、URSセキュリティに不可欠な重大な実装誤りを明確にし、是正すること。
• zk-SNARKs や CryptoNote と同様の既存のプライバシー強化手法と比較して、本方式のプライバシー、セキュリティ、効率性、使いやすさを評価すること。

提案手法

• 非インタラクティブゼロ知識（NIZK）証明を用いて署名者を公開鍵のリングに束縛するが、本人を特定しない Franklin-Zhang のユニークリング署名構成を採用した。
• secp256k1楕円曲線上でURS方式を実装し、ビットコインおよびイーサリアムで広く使われているECDSAライブラリとの互換性を確保した。
• スカラ算術に関する重大な問題に取り組み、すべての指数が群の位数（体の位数ではなく）modulo で還元されることを保証した。これは、過去の実装で一般的に見られる脆弱性を是正したものである。
• 文献に従った方法を用いて、特にBarreto-Naehrig曲線に適した手法を含め、楕円曲線への決定的ハッシュ化を実装した。これらの手法はsecp256k1に適応された。
• ユーザーが資金を寄付し、リンク不能な入力を持つ出力を得られるスマートコントラクトベースのミキシングプロトコルを設計した。これにより、取引の匿名性が向上した。
• 署名サイズ、検証時間、計算コストの観点から、zk-SNARKs やリンク可能なリング署名といった代替手法と比較して、本方式の性能を評価した。

実験結果

リサーチクエスチョン

• RQ1 secp256k1曲線上で、セキュアかつ効率的なユニークリング署名方式を実装できるか。これは、ビットコインおよびイーサリアムで標準的に使われている。
• RQ2 URS方式の実装における主な落とし穴、特にスカラ算術に関するものとは何か。そして、それらをどのように是正すればセキュリティが保証されるか。
• RQ3 zk-SNARKs やCryptoNoteベースのシステムといった既存のブロックチェーンプライバシー保護手法と比較して、本方式の効率性とプライバシーはどの程度か。
• RQ4 URS方式をイーサリアム上にスマートコントラクトとしてデプロイ可能か。その際、パフォーマンスとセキュリティを維持できるか。
• RQ5 実世界のブロックチェーン展開におけるURSの実用的制限は何か。そして、プロトコル設計によってそれらをどのように緩和できるか。

主な発見

• 本論文は、secp256k1を用いた最初のブロックチェーン互換ユニークリング署名方式を成功裏に実装し、イーサリアムおよびビットコインエコシステムへの統合を可能にした。
• 重大な実装欠陥が特定され、是正された。点乗算に使用するすべてのスカラは、体の位数ではなく群の位数 modulo で還元されなければならない。これにより、セキュリティ侵害を防げる。
• 整合性のとれた否認可能性により、リングに属する誰もが署名者である可能性を有し、実際に誰が署名したかを特定できないという強力なプライバシー保証が得られた。
• 署名サイズおよび検証時間は、zk-SNARKベースの手法と比較して顕著に小さく、リソース制限のある環境においてもより効率的であることが判明した。
• 実装はイーサリアム上でのスマートコントラクトとしての実現可能性を示し、ミキシングプロトコルへの実用的デプロイに適したパフォーマンス特性を示した。
• 著者らは、双線形ペアリングに基づく非線形URS方式が、高い計算コストと複雑さのため、依然として研究課題のままであると同定した。