[论文解读] Homomorphic Payment Addresses and the Pay-to-Contract Protocol

Ilja Gerhardt, Timo Hanke|arXiv (Cornell University)|Dec 13, 2012

Cryptography and Data Security参考文献 2被引用 11

一句话总结

本文提出了一种新型的客户-商家交易支付协议，通过利用商家公钥和合同标识符，使客户能够确定性地生成同态支付地址，从而消除对签名或加密通信的需求。该协议确保资金与收据的原子性交换，即使商家基础设施被攻破，安全性依然得到保障，其核心基于比特币公共区块链中ElGamal类型密码系统的同态特性。

ABSTRACT

We propose an electronic payment protocol for typical customer-merchant relations which does not require a trusted (signed) payment descriptor to be sent from the merchant to the customer. Instead, the destination "account" number for the payment is solely created on the customer side. This eliminates the need for any encrypted or authenticated communication in the protocol and is secure even if the merchant's online infrastructure is compromised. Moreover, the payment transaction itself serves as a timestamped receipt for the customer. It proves what has been paid for and who received the funds, again without relying on any merchant signatures. In particular, funds and receipt are exchanged in a single atomic action. The asymmetric nature of the customer-merchant relation is crucial. The protocol is specifically designed with bitcoin in mind as the underlying payment system. Thereby, it has the useful benefit that all transactions are public. However, the only essential requirement on the payment system is that "accounts" are arbitrary user-created keypairs of a cryptosystem whose keypairs enjoy a homomorphic property. All ElGamal-type cryptosystems have this feature. For use with bitcoin we propose the design of a deterministic bitcoin wallet whose addresses can be indexed by clear text strings.

研究动机与目标

• 解决标准比特币支付协议中的安全漏洞，即商家服务器被攻破后可通过篡改支付地址来重定向付款。
• 消除客户与商家在交易设置过程中对认证或加密通信的依赖。
• 使支付交易本身成为可密码验证的收据，证明付款金额和收款方。
• 允许商家保持伪匿名状态，并隐藏其基础设施，使用分布式文件系统进行信号传递。
• 设计一种适用于比特币的实用扩展，支持带标签的确定性钱包和通过公钥基础设施实现的安全商家伪名。

提出的方法

• 客户使用基于商家公钥和合同标识符的同态密钥对构造方法生成支付地址，确保在不泄露私钥的情况下实现确定性推导。
• 协议利用ElGamal类型密码系统的同态特性，使客户能够计算出将交易与特定合同或商品绑定的支付地址。
• 使用单向信号机制，商家通过从支付交易中派生的密钥从分布式文件系统中检索合同，实现离线赎回。
• 支付交易包含两个输出：一个发送至客户派生的地址，另一个发送至商家的地址，从而实现资金与收据的原子性转移。
• 协议假设使用可信路径设备（如硬件钱包）来签署交易，即使客户主设备被攻破，也能确保私钥安全。
• 通过扩展钱包功能以支持带标签的确定性地址，并通过PKI或信任网络验证商家伪名，实现与比特币的集成。

实验结果

研究问题

• RQ1 能否设计一种支付协议，使客户在无需商家提供任何认证或加密通信的情况下生成支付地址？
• RQ2 如何使支付交易同时作为密码可验证的收据，证明收款方和付款目的？
• RQ3 需要何种密码学特性，以确保被攻破的商家无法重定向付款或伪造收据？
• RQ4 商家能否完全匿名化，隐藏其基础设施，同时仍能实现安全且可追溯的交易？
• RQ5 比特币客户端需要进行何种修改，以支持确定性、带标签的钱包和安全的商家伪名？

主要发现

• 该协议成功消除了客户与商家之间对签名或加密通信的需求，转而依赖于基于商家公钥和合同标识符的确定性地址生成。
• 支付交易本身即为带时间戳的、密码绑定的收据，无需商家签名即可证明收款方和付款目的。
• 即使商家的在线基础设施被完全攻破，资金也无法被重定向，因为支付地址仅由客户使用同态密钥对特性计算得出。
• 该协议实现了真正的商家伪匿名性，商家可通过分布式文件系统运行，完全隐藏其基础设施信息。
• 该协议与比特币向后兼容，仅需对现有系统进行微小扩展，如支持带标签的确定性钱包，以及通过PKI或信任网络验证商家伪名的机制。
• 该协议的安全性基于ElGamal类型密码系统的同态特性，而这些特性同样存在于secp256k1上的ECDSA中，因此该协议天然兼容比特币。