[论文解读] Bitcoin Covenants: Three Ways to Control the Future

Jacob Swambo, Spencer Hommel+2 more|arXiv (Cornell University)|Jun 30, 2020

Blockchain Technology Applications and Security参考文献 19被引用 4

一句话总结

本文提出了三种在不修改比特币共识规则的前提下实现比特币契约的实用方法——删除密钥契约、恢复密钥契约和基于脚本的契约。研究证明，删除密钥契约通过预签名交易和安全密钥删除机制，可提供强大的安全性；而恢复密钥契约与基于脚本的契约则通过软分叉升级实现非交互式强制执行，显著提升了托管与支付协议的实用性。

ABSTRACT

A bitcoin covenant is a mechanism to enforce conditions on how the control of coins will be transferred in the future. This work introduces deleted-key covenants; using pre-signed transactions with secure key deletion. With this, a general class of covenants are possible without introducing new security risks to bitcoin. There is a range of security models for the key deletion process, but this is subject to a security-convenience trade-off and requires interactivity in a multi-party context. On the other hand, this work makes a compelling case for what can be gained through a soft-fork upgrade to the signature hash system [Dec17] which enables recovered-key covenants through elliptic curve key recovery. This has similar properties to script-based covenant mechanisms proposed previously [Rub20]. Key factors are discussed and compared for the three covenant mechanisms, including; the enforcement process, methods for proving accessibility of funds and whether or not they are bound by a covenant, methods for dynamic fee allocation, the underlying cryptographic assumptions, and their feasibility in single-party, hierarchical and adversarial multi-party contexts. Despite the relative downsides of deleted-key covenants, they are a practical tool for custody protocol design. The comparison shows precisely how soft-fork proposals improve the practicality of bitcoin covenants, through non-interactive enforcement and tighter cryptographic assumptions, to enhance custody protocols and enable some adversarial applications such as payment protocols.

研究动机与目标

• 设计一类无需修改比特币共识规则即可强制执行未来支出条件的比特币契约。
• 分析删除密钥契约中安全性与便利性之间的权衡，特别是密钥删除流程的影响。
• 评估软分叉支持的契约（恢复密钥与基于脚本的契约）在更广泛协议应用中的可行性与优势。
• 比较各类契约在安全模型、密码学假设及实际部署环境中的差异。
• 评估契约在自托管、联合托管及对抗性多方环境中的实用性，尤其针对金融与托管协议。

提出的方法

• 提出基于预签名交易与安全密钥删除的删除密钥契约，依赖多重签名机制强制执行删除流程。
• 通过一种新型 SIGHASH 类型引入恢复密钥契约，实现签名对先前输出的动态绑定，从而支持非交互式契约强制执行。
• 分析基于脚本的契约作为互补方法，利用现有比特币脚本实现条件支出规则。
• 基于签名设备数量与删除流程，评估删除密钥契约的安全模型，涵盖从单点到分布式信任模型。
• 通过展示中间交易可被修改而不破坏依赖关系，证明在契约链中动态费用分配的安全性与有效性。
• 使用形式化分析比较三类契约在密码学假设、激活流程与可审计性方面的异同。

实验结果

研究问题

• RQ1 能否在不改变比特币共识规则的前提下构建一类通用的比特币契约？其中涉及的安全权衡是什么？
• RQ2 删除密钥契约的安全性在多大程度上依赖于密钥删除流程？这对可审计性与对抗性环境有何影响？
• RQ3 恢复密钥与基于脚本的契约相较于删除密钥契约，在非交互性、密码学假设与实际部署方面具有哪些优势？
• RQ4 契约机制在多大程度上能改进比特币中托管与支付协议的设计？
• RQ5 部署软分叉支持的契约机制面临哪些系统性与社会性挑战？与不可升级的替代方案相比如何？

主要发现

• 删除密钥契约通过预签名交易与安全密钥删除提供强安全性，但需要交互式强制执行，限制了其在对抗性或可审计环境中的应用。
• 恢复密钥契约支持非交互式强制执行与契约绑定的证明，规避了密钥删除的权衡，适用于所有部署模型，实用性更优。
• 基于脚本的契约在实用性上与恢复密钥契约相当，两者均可实现动态费用分配与安全的链式组合。
• 所提出的基于 SIGHASH 的软分叉升级通过允许签名绑定至不同先前输出，使恢复密钥契约成为可能，简化了链下协议并增强了安全性。
• 在恢复密钥与基于脚本的契约链中，动态费用分配是安全且有效的，因为中间交易可被修改而不会使依赖交易失效。
• 尽管存在局限性，删除密钥契约在自托管与联合托管协议中仍具高度实用性，因其可强制执行顺序支出规则、时间锁与速率限制。