La privacy delle transazioni è una componente integrante delle criptovalute e una delle più importanti per molti utenti.
Mentre Bitcoin è spesso caratterizzato come un mezzo anonimo di trasferimento di valore dai media mainstream, la verità è che Bitcoin è solo pseudo anonimo.
Il libro mastro Bitcoin è completamente trasparente e sebbene le identità degli utenti siano nascoste dietro indirizzi alfanumerici, ci sono modi per tracciare e fare correlazioni tra indirizzi e identità. L’offuscamento delle identità fornisce un certo grado di anonimato per gli utenti, tuttavia, gli importi trasferiti in ogni transazione sono visibili, lasciando un certo grado di riservatezza mancante.
Come soluzione a questo problema, alcune criptovalute incentrate sulla privacy hanno adottato l’uso di transazioni riservate (CT), che offuscano l’importo trasferito nelle transazioni utilizzando impegni (in particolare impegni Pedersen) all’importo.
Senza la trasparenza pubblica dei valori trasferiti quando vengono attuate le TC, la verifica della validità delle transazioni richiede l’uso di prove dell’intervallo per garantire che la somma degli input delle transazioni sia maggiore della somma delle uscite delle transazioni e che tutti i valori delle operazioni siano positivi.
Queste prove di intervallo sono allegate a ogni transazione e si traducono in dimensioni di transazione molto più grandi che possono portare a transazioni con output multipli che richiedono più prove di intervallo, aumentando ulteriormente le dimensioni delle transazioni e degradando la verifica e l’efficienza di archiviazione. Inserisci Bulletproofs.
Indice dei contenuti:
Bulletproofs
Bulletproofs è stato proposto dall’Applied Cryptography Group (ACG) di Stanford nel dicembre 2017 in un documento accademico con contributi dell’University College di Londra e Blockstream.
Le prove di proiettile sono “un nuovo argomento a conoscenza zero del sistema di conoscenza, per dimostrare che un valore segreto impegnato si trova in un dato intervallo”. Il nome a prova di proiettile è accreditato a Shashank Agrawal per averli descritti come “corti come un proiettile, con ipotesi di sicurezza a prova di proiettile“.
Elogiati come un progresso efficiente e utile nella verifica degli impegni dei CT, i bulletproof sono prove a conoscenza zero brevi e non interattive che non richiedono una configurazione affidabile. Sono effettivamente una forma molto più efficiente e sicura di prove di portata che utilizzano metodi di correzione a conoscenza zero come visto in zk-SNARKS e STARKs, ma non richiedono la configurazione attendibile come richiesto con zk-SNARKS e non sono grandi come STARK. La loro applicazione può essere utile in una varietà di sistemi e situazioni diverse, di cui molti sono delineati direttamente nel documento accademico.
I bulletproof sono particolarmente adatti per la natura distribuita e senza fiducia delle blockchain e possono creare sostanziali risparmi sui costi a lungo termine, enormi risparmi di spazio, commissioni più basse e tempi di verifica più rapidi rispetto alle attuali implementazioni di prove di portata. Prima di immergersi in come funzionano i bulletproof, però, è importante capire prima due termini, prove di gamma e prove a conoscenza zero.
Prove di portata
Fondamentalmente, le prove dell’intervallo sono una forma di convalida dell’impegno che consente a chiunque di verificare che un impegno rappresenti un importo all’interno di un intervallo specificato, senza rivelare nient’altro sul suo valore (noto come valore segreto).
Ad esempio, una semplice prova di intervallo può essere utilizzata per convalidare che l’età di qualcuno è compresa tra 28 e 52 anni senza rivelare effettivamente l’età esatta della persona.
Ciò ha importanti ramificazioni per la convalida delle transazioni riservate. All’interno di una criptovaluta focalizzata sull’anonimato come Monero, viene utilizzata per verificare che un importo di pagamento sia positivo, senza rivelare effettivamente l’importo trasferito nella transazione.
Più specificamente, in un sistema basato sull’output delle transazioni, dimostra che gli input impegnati sono maggiori della somma degli output impegnati senza rivelare effettivamente né gli input committed né gli output.
Secondo il documento di Stanford dell’epoca, “Tutte le attuali implementazioni di transazioni riservate utilizzano prove di intervallo su valori impegnati, in cui la dimensione della prova è lineare in n.”
La parte chiave per quanto riguarda i proiettili è il “lineare in n”, il che significa che le prove di gamma scalano linearmente in termini di dimensioni con il numero di uscite e bit nell’intervallo della dimostrazione.
Il risultato è che nei CT, le prove dell’intervallo occupano la maggior parte delle dimensioni di una transazione. Prima dei bulletproof, questa era una grande preoccupazione in quanto le dimensioni di una blockchain di una criptovaluta focalizzata sull’anonimato che impiega CT, come Monero, crescono molto più velocemente di una tipica criptovaluta che non utilizza CT.
Alla fine, la dimensione di una blockchain che utilizza CT diventerebbe molto poco pratica per molti utenti che non hanno lo spazio su disco necessario per scaricare l’intera blockchain, influenzando indirettamente il decentramento dei nodi completi.
Prove a conoscenza zero
Se stai leggendo questo, probabilmente hai già sentito parlare di prove a conoscenza zero nel regno delle criptovalute in quanto rappresentano un concetto molto interessante che si basa su una matematica intimidatoria. Il concetto è difficile da afferrare, ma la loro implementazione combinata con il fatto che le istituzioni accademiche stanno avanzando ulteriormente il concetto, applicato alle criptovalute, è un segnale molto incoraggiante per l’industria.
Essenzialmente, una prova a conoscenza zero è un metodo in crittografia in cui una parte può dimostrare a un’altra parte di conoscere il valore di una variabile y senza trasmettere altre informazioni oltre al fatto che conoscono il valore di y.
Tradizionalmente, ciò implica che il verificatore e il prover abbiano una qualche forma di interazione tra di loro. Tuttavia, le prove a proiettile sono argomenti di conoscenza a conoscenza zero non interattivi, che sono una variante specifica delle prove a conoscenza zero in cui non è necessaria alcuna interazione tra il dimostratore e il verificatore.
Ciò consente di dimostrare che un valore impegnato si trova in un intervallo specifico basandosi sull’ipotesi del logaritmo discreto e utilizzando l’euristica Fiat-Shamir per renderli non interattivi.
Quindi cosa sono i bulletproof?
Torniamo ai proiettili. Come appena accennato, i bulletproof si basano sull’ipotesi del logaritmo discreto per la sicurezza e utilizzano l’euristica Fiat-Shamir per diventare non interattivi.
Ciò porta ad un aumento delle dimensioni a prova di proiettile solo logaritmicamente con il numero di uscite e le dimensioni della prova dell’intervallo. Il risultato è che la dimensione delle transazioni che implementano i CT può essere sostanzialmente ridotta.
Non solo le prove bulletproof possono aiutare a ridurre le dimensioni delle transazioni che utilizzano CT, ma consentono al prover di aggregare più prove di intervallo per transazioni con più output in un’unica prova breve.
Invece di transazioni con output multipli che richiedono una prova di intervallo per ogni output, possono essere tutte aggregate in una. Inoltre, la convalida delle prove Bulletproofs è più efficiente non solo nelle dimensioni, ma anche nel tempo.
Al di fuori di zk-SNARKS, che verificano più velocemente dei bulletproof, il tempo per verificare un bulletproof è inferiore rispetto alle prove di portata esistenti, portando a una convalida blockchain più rapida.
È importante sottolineare che le prove Bulletproofs non richiedono una configurazione attendibile. Una configurazione attendibile è una controversa configurazione una tantum che è necessaria quando si utilizza la prova a conoscenza zero zk-SNARKS.
Il problema è che questa configurazione una tantum richiede che gli utenti debbano fidarsi implicitamente di chi ha creato le chiavi per l’installazione una tantum per distruggerle dopo che sono state completate, altrimenti possono essere utilizzate per creare una quantità illimitata del token nativo, non rilevata. Ovviamente, ci sono serie preoccupazioni con una configurazione affidabile.
Le prove di Bulletproofs sono molto più brevi di altre prove a distanza e “consentono agli input di essere impegni di Pedersen per elementi del testimone“.
Le implicazioni che ne derivano essendo brevi prove a conoscenza zero non interattive consentono di ottimizzare e applicare le prove a prova di proiettile a una varietà di situazioni come il supporto di efficienti protocolli di calcolo multi-parte (MPC) e l’implementazione di contratti intelligenti complessi e rispettosi della privacy.
Applicazioni di Bulletproofs
I bulletproof supportano in modo efficiente un semplice protocollo MPC che “consente a più parti con valori impegnati segreti di generare congiuntamente una singola prova di piccolo intervallo per tutti i loro valori, senza rivelare i loro valori segreti l’una all’altra”.
In sostanza, con una complessa transazione riservata che ha input da più parti, il loro protocollo MPC proposto sarebbe in grado di aggregare tutte le prove richieste in un’unica, breve prova per l’intera transazione.
L’efficienza e i risparmi che ne derivano non possono essere sottovalutati.
Il protocollo Provisions è un’innovazione che consente agli scambi di Bitcoin di dimostrare di essere solventi senza rivelare altre informazioni.
Si tratta di un passo importante per verificare la solvibilità degli scambi altrimenti ritenuti inaffidabili e insolventi senza che gli scambi debbano effettivamente aprire i loro libri contabili al pubblico.
Il protocollo si basa su prove di intervallo “per impedire a uno scambio di inserire account falsi con saldi negativi“. Queste dimensioni di prova sono molto grandi e sono lineari nel numero di clienti.
Le prove bulletproof rappresentano un sostituto naturale per le prove a conoscenza zero non interattive utilizzate nel protocollo Provisions e possono ridurre le dimensioni complessive della prova per lo scambio fino a quasi 300 volte.
I contratti intelligenti altamente espressivi in Ethereum sono pubblici e non forniscono un certo grado di privacy ai parametri dei contratti.
Le prove a conoscenza zero non interattive sono state proposte come meccanismo per la privacy all’interno dei contratti, tuttavia, il calcolo di un contratto è limitato e costoso in tutta la rete blockchain. Gli SNARK sono un’altra potenziale soluzione ma, problematicamente, richiedono una configurazione attendibile. Potete vedere dove sta andando.
Le prove a prova di proiettile, essendo prove brevi che non richiedono una configurazione affidabile, sono ideali per il ruolo di conservazione della privacy all’interno di contratti intelligenti espressivi.
Sebbene come drop-in diretto, i bulletproof non siano economici a questo proposito, in combinazione con un modello di delega di incentivi, la validità di una prova non deve essere eseguita a meno che una parte non contesti la sua verifica.
Le parti che presentano sfide difettose saranno punite e, inoltre, questo progetto può essere supportato con un efficiente calcolo multipartitico.
Conclusione
I bulletproof sono un’innovazione importante e ampiamente applicabile in un importante campo di ricerca di prove a conoscenza zero e altri protocolli utilizzati per proteggere e offuscare gli importi delle transazioni.
Il compromesso intrinseco con le transazioni riservate è stata la loro dimensione maggiore. Con i proiettili, l’opportunità di ridurre significativamente questo compromesso preservando la privacy e la sicurezza è un importante passo avanti.
Poiché viene posta maggiore enfasi sui protocolli sottostanti utilizzati per proteggere le transazioni e fornire l’anonimato, sarà affascinante osservare come il mondo accademico risponde e continua a evolvere le tecnologie all’avanguardia di un campo che è già in prima linea nell’innovazione.
