[论文解读] Privacy on the Blockchain: Unique Ring Signatures

Rebekah Mercer|arXiv (Cornell University)|Dec 4, 2016

Blockchain Technology Applications and Security参考文献 4被引用 26

一句话总结

本文首次实现了与区块链系统兼容的唯一环签名（URS）方案，基于 secp256k1 椭圆曲线，使以太坊和比特币能够支持隐私保护型交易。该工作提出了一种安全、高效的 URS 方案，具备合理否认能力，并能抵御常见攻击，其正确性与安全性已在随机预言模型下通过形式化验证。

ABSTRACT

Ring signatures are cryptographic protocols designed to allow any member of a group to produce a signature on behalf of the group, without revealing the individual signer's identity. This offers group members a level of anonymity not attainable through generic digital signature schemes. We call this property 'plausible deniability', or anonymity with respect to an anonymity set. We concentrate in particular on implementing privacy on the blockchain, introducing a unique ring signature scheme that works with existing blockchain systems. We implement a unique ring signature (URS) scheme using secp256k1, creating the first implementation compatible with blockchain libraries in this way, so as for easy implementation as an Ethereum smart contract. We review the privacy and security properties offered by the scheme we have constructed, and compare its efficiency with other commonly suggested approaches to privacy on the blockchain.

研究动机与目标

• 为解决比特币和以太坊等公共区块链中所有交易均公开可见的问题，提升原生隐私保护能力。
• 设计并实现一种提供合理否认能力、能抵御匿名追踪攻击的唯一环签名（URS）方案。
• 通过采用广泛部署的 secp256k1 曲线，确保与现有区块链库（特别是以太坊智能合约）的兼容性。
• 澄清并修正了在群阶模数而非域阶模数下进行标量乘法的实现错误，该问题对 URS 安全性至关重要。
• 与 zk-SNARK 和 CryptoNote 等现有隐私增强方案相比，评估本方案在隐私性、安全性、效率与可用性方面的表现。

提出的方法

• 采用 Franklin-Zhang 唯一环签名构造，利用非交互式零知识证明（NIZK）将签名者绑定至公钥集合，而无需暴露身份。
• 在 secp256k1 椭圆曲线上实现 URS 方案，确保与比特币和以太坊中广泛使用的 ECDSA 库兼容。
• 通过确保所有指数在群阶模数（而非域阶模数）下约化，解决了标量算术中的关键问题，修正了先前实现中的常见漏洞。
• 采用文献中的方法，通过确定性哈希将数据映射至椭圆曲线，包括适用于 BLS 曲线的技术，并适配至 secp256k1。
• 设计了一种基于智能合约的混币协议，用户可贡献资金并获得输入不可链接的输出，从而增强交易匿名性。
• 从签名大小、验证时间与计算成本等方面评估方案性能，并与 zk-SNARK 和可链接环签名等替代方案进行比较。

实验结果

研究问题

• RQ1 能否在比特币与以太坊中广泛使用的 secp256k1 曲线上，安全且高效地实现唯一环签名方案？
• RQ2 URS 方案中的关键实现陷阱是什么，特别是标量算术方面，如何修正以确保安全性？
• RQ3 与现有区块链隐私保护方案（如 zk-SNARK 和基于 CryptoNote 的系统）相比，所提出的 URS 方案在效率与隐私性方面表现如何？
• RQ4 URS 方案能否作为智能合约在以太坊上部署，同时保持性能与安全性？
• RQ5 URS 在真实区块链部署中的实际限制有哪些，可通过协议设计如何缓解？

主要发现

• 本文成功实现了首个基于 secp256k1 的区块链兼容唯一环签名方案，使以太坊与比特币生态系统能够实现集成。
• 识别并修正了一个关键实现缺陷：所有用于点乘法的标量必须在群阶模数下约化，而非域阶模数，否则将导致安全漏洞。
• 该方案通过合理否认机制提供强有力的隐私保障，确保环中任意成员均可能为实际签名者，无法确定真实签名者。
• 签名大小与验证时间显著小于基于 zk-SNARK 的方案，使其在资源受限环境中更具效率。
• 实现表明该方案可在以太坊上作为智能合约部署，性能特征适合在混币协议中实际应用。
• 作者指出，基于双线性对的次线性 URS 方案仍为开放研究挑战，因其计算成本高且实现复杂。