クリプトノート v2.0

저자 Nicolas van Saberhagen · 2013

여기에 제시된 논문은 Nicolas van Saberhagen의 CryptoNote v2.0 백서(2013)로, Monero가 구축된 암호학적 기반을 설명합니다. 이는 Monero 전용 백서가 아니며, Monero는 2014년 CryptoNote 참조 구현체(Bytecoin)의 포크로 출시되어 이후 원본 프로토콜을 훨씬 넘어 진화했습니다.

🇺🇸 English (원문)

🇯🇵 日本語 (번역)

소개

“Bitcoin” [1]은 p2p 전자 화폐 개념을 성공적으로 구현했습니다. 둘 다 전문가와 일반 대중은 다음과 같은 편리한 조합을 높이 평가하게 되었습니다. 공개 거래 및 proof-of-work을 신뢰 모델로 사용합니다. 오늘날 전자화폐 사용자층은 꾸준한 속도로 성장하고 있습니다. 고객은 낮은 수수료와 익명성 제공에 매력을 느낍니다. 전자 현금과 상인은 예측되고 분산된 배출을 중요하게 생각합니다. Bitcoin은(는) 전자화폐가 종이화폐만큼 간단하고 편리할 수 있다는 사실을 효과적으로 입증했습니다. 신용 카드. 불행하게도 Bitcoin에는 몇 가지 결함이 있습니다. 예를 들어, 시스템의 분산 성격은 유연성이 없기 때문에 거의 모든 네트워크 사용자가 클라이언트를 업데이트할 때까지 새로운 기능을 구현하지 못합니다. 빠르게 고칠 수 없는 몇 가지 중요한 결함으로 인해 Bitcoin의 광범위한 전파. 이러한 유연하지 못한 모델에서는 새 프로젝트를 출시하는 것이 더 효율적입니다. 원래 프로젝트를 영구적으로 수정하는 대신 본 논문에서는 Bitcoin의 주요 결함에 대한 해결책을 연구하고 제안합니다. 우리는 믿는다 우리가 제안하는 솔루션을 고려한 시스템이 건전한 경쟁으로 이어질 것이라고 믿습니다. 다양한 전자 현금 시스템 중에서. 우리만의 전자화폐 '크립토노트'도 제안합니다. 전자 현금의 차세대 혁신을 강조하는 이름입니다.

導入

「Bitcoin」 [1] は、p2p 電子キャッシュの概念の実装に成功しました。両方専門家も一般の人々も、これらの便利な組み合わせを高く評価するようになりました。パブリックトランザクションと信頼モデルとしての proof-of-work。現在、電子マネーのユーザーベースは着実なペースで成長しています。顧客は低料金と匿名性の提供に魅力を感じています電子現金によるものであり、加盟店は予測された分散型排出量を重視しています。 Bitcoin は電子マネーは紙幣と同じくらい簡単で、紙幣と同じくらい便利であることが効果的に証明されました。クレジットカード。残念ながら、Bitcoin にはいくつかの欠陥があります。たとえば、システムの分散型性質は柔軟性が高く、ほぼすべてのネットワークユーザーがクライアントを更新するまで新しい機能を実装できません。修正できないいくつかの重大な欠陥は、Bitcoin の攻撃を迅速に阻止します。広範な伝播。このような柔軟性のないモデルでは、新しいプロジェクトを展開する方が効率的です。元のプロジェクトを永続的に修正するのではなく、この文書では、Bitcoin の主な欠陥に対する解決策を研究し、提案します。私たちは信じています私たちが提案するソリューションを考慮したシステムが健全な競争につながることを保証しますさまざまな電子マネーシステム間で。独自の電子マネー「CryptoNote」も提案しています。電子マネーの次の進歩を強調する名前です。

Bitcoin 단점 및 가능한 솔루션

2 Bitcoin 단점 및 몇 가지 가능한 해결 방법 2.1 거래 추적성 개인 정보 보호와 익명성은 전자 현금의 가장 중요한 측면입니다. P2P 결제 제3자의 시선에서 숨기려고 하는 것은 전통적인 방식과 비교할 때 뚜렷한 차이가 있습니다. 은행. 특히 T. Okamoto와 K. Ohta는 이상적인 전자화폐의 6가지 기준을 설명했는데, 여기에는 "개인정보 보호: 사용자와 구매 간의 관계는 추적할 수 없어야 합니다"가 포함되어 있습니다. 누구라도” [30]. 해당 설명에서 우리는 완전히 익명인 두 가지 속성을 도출했습니다. 전자 현금 모델은 Okamoto가 명시한 요구 사항을 준수하기 위해 충족해야 합니다. 그리고 오타: 추적 불가능성: 각 수신 트랜잭션에 대해 가능한 모든 발신자가 동등할 가능성이 있습니다. 연결 해제성: 두 개의 나가는 트랜잭션에 대해 해당 트랜잭션이 다음으로 전송되었음을 증명하는 것은 불가능합니다. 같은 사람. 안타깝게도 Bitcoin은 추적 불가능 요구 사항을 충족하지 않습니다. 네트워크 참여자 간에 발생하는 모든 거래는 공개되므로 모든 거래는 공개될 수 있습니다. 1 크립토노트 v 2.0 니콜라스 반 세이버하겐 2013년 10월 17일 1 소개 “Bitcoin” [1]은 p2p 전자 화폐 개념을 성공적으로 구현했습니다. 둘 다 전문가와 일반 대중은 다음과 같은 편리한 조합을 높이 평가하게 되었습니다. 공개 거래 및 proof-of-work을 신뢰 모델로 사용합니다. 오늘날 전자화폐 사용자층은 꾸준한 속도로 성장하고 있습니다. 고객은 낮은 수수료와 익명성 제공에 매력을 느낍니다. 전자 현금과 상인은 예측되고 분산된 배출을 중요하게 생각합니다. Bitcoin은(는) 전자화폐가 종이화폐만큼 간단하고 편리할 수 있다는 사실을 효과적으로 입증했습니다. 신용 카드. 불행하게도 Bitcoin에는 몇 가지 결함이 있습니다. 예를 들어, 시스템의 분산 성격은 유연성이 없기 때문에 거의 모든 네트워크 사용자가 클라이언트를 업데이트할 때까지 새로운 기능을 구현하지 못합니다. 빠르게 고칠 수 없는 몇 가지 심각한 결함으로 인해 Bitcoin의 광범위한 전파. 이러한 유연하지 못한 모델에서는 새 프로젝트를 출시하는 것이 더 효율적입니다. 원래 프로젝트를 영구적으로 수정하는 대신 본 논문에서는 Bitcoin의 주요 결함에 대한 해결 방법을 연구하고 제안합니다. 우리는 믿는다 우리가 제안하는 솔루션을 고려한 시스템이 건전한 경쟁으로 이어질 것이라고 믿습니다. 다양한 전자 현금 시스템 중에서. 우리만의 전자화폐 '크립토노트'도 제안합니다. 전자 현금의 차세대 혁신을 강조하는 이름입니다. 2 Bitcoin 단점 및 몇 가지 가능한 해결 방법 2.1 거래 추적성 개인 정보 보호와 익명성은 전자 현금의 가장 중요한 측면입니다. P2P 결제 제3자의 시선에서 숨기려고 하는 것은 전통적인 방식과 비교할 때 뚜렷한 차이가 있습니다. 은행. 특히 T. Okamoto와 K. Ohta는 이상적인 전자화폐의 6가지 기준을 설명했는데, 여기에는 "개인정보 보호: 사용자와 구매 간의 관계는 추적할 수 없어야 합니다"가 포함되어 있습니다. 누구든지” [30]. 해당 설명에서 우리는 완전히 익명인 두 가지 속성을 도출했습니다. 전자 현금 모델은 Okamoto가 명시한 요구 사항을 준수하기 위해 충족해야 합니다. 그리고 오타: 추적 불가능성: 각 수신 트랜잭션에 대해 가능한 모든 발신자가 동등할 가능성이 있습니다. 연결 해제성: 두 개의 나가는 트랜잭션에 대해 해당 트랜잭션이 다음으로 전송되었음을 증명하는 것은 불가능합니다. 같은 사람. 안타깝게도 Bitcoin은 추적 불가능 요구 사항을 충족하지 않습니다. 네트워크 참여자 간에 발생하는 모든 거래는 공개되므로 모든 거래는 공개될 수 있습니다. 1 3 Bitcoin "추적 불가능"이 확실히 실패했습니다. 내가 당신에게 BTC를 보낼 때, 그것이 전송되는 지갑 blockchain에 취소할 수 없는 스탬프가 찍혀 있습니다. 그 자금을 누가 보냈는지에 대해서는 의문의 여지가 없습니다. 왜냐하면 개인 키를 아는 사람만이 이를 보낼 수 있기 때문입니다.고유한 출처와 최종 수신자를 명확하게 추적합니다. 두 참가자가 서로 교환하더라도 간접적인 방법으로 자금을 조달할 때 적절하게 설계된 경로 탐색 방법을 통해 출처와 출처를 밝힐 수 있습니다. 최종 수신자. 또한 Bitcoin이 두 번째 속성을 충족하지 않는 것으로 의심됩니다. 일부 연구자 ([33, 35, 29, 31]) 주의 깊은 blockchain 분석을 통해 다음과 같은 연관성이 드러날 수 있다고 말했습니다. Bitcoin 네트워크 사용자 및 해당 거래. 여러 가지 방법이 있지만 [25]에서 숨겨진 개인 정보가 많이 추출될 수 있다고 의심됩니다. 공개 데이터베이스. Bitcoin은 위에 설명된 두 가지 속성을 충족하지 못하므로 다음과 같은 결론을 내릴 수 있습니다. 익명이 아닌 유사 익명 전자 현금 시스템입니다. 사용자의 개발 속도가 빨랐습니다. 이러한 단점을 해결하기 위한 솔루션입니다. 두 가지 직접적인 솔루션은 "세탁 서비스" [2]와 분산 방법의 개발 [3, 4]. 두 솔루션 모두 혼합이라는 아이디어를 기반으로 합니다. 여러 공개 거래를 중개 주소를 통해 전송합니다. 차례로 신뢰할 수 있는 제3자가 필요하다는 단점이 있습니다. 최근에는 I. Miers et al.에 의해 보다 창의적인 계획이 제안되었습니다. [28]: "제로코인". 제로코인 사용자가 다음을 수행할 수 있도록 하는 암호화 단방향 누산기와 영지식 증명을 활용합니다. 비트코인을 제로코인으로 "전환"하고 대신 익명의 소유권 증명을 사용하여 사용합니다. 명시적인 공개 키 기반 디지털 서명. 그러나 그러한 지식 증명에는 상수가 있습니다. 하지만 불편한 크기 - 약 30kb(오늘의 Bitcoin 제한 기준)로 인해 제안이 이루어집니다. 비실용적이다. 저자들은 이 프로토콜이 대다수의 사람들에 의해 받아들여질 가능성이 낮다는 점을 인정합니다. Bitcoin 사용자 [5]. 2.2 proof-of-work 함수 Bitcoin 제작자 Satoshi Nakamoto는 다수결 의사 결정 알고리즘을 "oneCPU-one-vote"로 설명하고 proof-of-work에 CPU 제한 가격 책정 기능(이중 SHA-256)을 사용했습니다. 계획. 사용자는 단일 거래 내역 주문 [1]에 투표하므로 합리성과 이 프로세스의 일관성은 전체 시스템에 중요한 조건입니다. 이 모델의 보안에는 두 가지 단점이 있습니다. 첫째, 네트워크의 51%가 필요합니다. 채굴 능력은 정직한 사용자의 통제하에 있습니다. 둘째, 시스템의 진행(버그 수정, 보안 수정 등)을 위해서는 대다수의 사용자가 이를 지지하고 동의해야 합니다. 변경 사항(사용자가 지갑 소프트웨어를 업데이트할 때 발생) [6].마지막으로 동일한 투표 메커니즘은 [7] 일부 기능 구현에 대한 집단 여론 조사에도 사용됩니다. 이를 통해 우리는 proof-of-work에 의해 충족되어야 하는 속성을 추측할 수 있습니다. 가격 책정 기능. 그러한 기능은 네트워크 참가자가 중요한 정보를 가질 수 있도록 해서는 안 됩니다. 다른 참가자에 비해 이점이 있습니다. 일반 하드웨어와 높은 하드웨어 간의 패리티가 필요합니다. 맞춤형 장치 비용. 최근 예제 [8]에서 SHA-256 함수가 사용된 것을 볼 수 있습니다. Bitcoin 아키텍처에서는 마이닝이 더욱 효율적으로 진행됨에 따라 이 속성을 보유하지 않습니다. GPU 및 ASIC 장치를 고급 CPU와 비교합니다. 따라서 Bitcoin은 투표권 간의 큰 격차에 유리한 조건을 만듭니다. GPU 및 ASIC 소유자가 소유하고 있기 때문에 "1-CPU-1-투표" 원칙을 위반하므로 참가자 CPU 소유자와 비교할 때 훨씬 더 큰 투표권. 의 고전적인 예이다. 파레토 원칙은 시스템 참가자의 20%가 투표의 80% 이상을 통제한다는 것입니다. 그러한 불평등은 네트워크 보안과 관련이 없다고 주장할 수도 있습니다. 다수의 투표를 통제하는 소수의 참가자이지만 이들의 정직성은 중요한 참가자. 그러나 그러한 주장은 다소 결함이 있다. 참여자의 정직성보다는 값싼 전문 하드웨어가 등장할 가능성 위협을 가합니다. 이를 설명하기 위해 다음 예를 들어보겠습니다. 악의적인 가정을 해보자 개인은 값싼 채굴을 통해 자신의 광산 농장을 건설함으로써 상당한 채굴력을 얻습니다. 2 고유한 출처와 최종 수신자를 명확하게 추적합니다. 두 참가자가 서로 교환하더라도 간접적인 방법으로 자금을 조달할 때 적절하게 설계된 경로 탐색 방법을 통해 출처와 출처를 밝힐 수 있습니다. 최종 수신자. 또한 Bitcoin이 두 번째 속성을 충족하지 않는 것으로 의심됩니다. 일부 연구자 ([33, 35, 29, 31]) 주의 깊은 blockchain 분석을 통해 Bitcoin 네트워크 사용자 및 거래. 여러 가지 방법이 있지만 디[25]이 발행된 경우, 숨겨진 개인정보가 다수 추출될 수 있다고 의심됩니다. 공개 데이터베이스. Bitcoin은 위에 설명된 두 가지 속성을 충족하지 못하므로 다음과 같은 결론을 내릴 수 있습니다. 익명이 아닌 유사 익명 전자 현금 시스템입니다. 사용자의 개발 속도가 빨랐습니다. 이러한 단점을 해결하기 위한 솔루션입니다. 두 가지 직접적인 솔루션은 "세탁 서비스" [2]와 분산 방법의 개발 [3, 4]. 두 솔루션 모두 혼합이라는 아이디어를 기반으로 합니다. 여러 공개 거래를 중개 주소를 통해 전송합니다. 차례로 신뢰할 수 있는 제3자가 필요하다는 단점이 있습니다. 최근에는 I. Miers et al.에 의해 보다 창의적인 계획이 제안되었습니다. [28]: "제로코인". 제로코인 사용자가 다음을 수행할 수 있도록 하는 암호화 단방향 누산기와 영지식 증명을 활용합니다. 비트코인을 제로코인으로 "전환"하고 대신 익명의 소유권 증명을 사용하여 사용합니다. 명시적인 공개 키 기반 디지털 서명. 그러나 그러한 지식 증명에는 상수가 있습니다. 하지만 불편한 크기 - 약 30kb(현재의 Bitcoin 제한 기준)로 제안이 이루어집니다. 비실용적이다. 저자들은 이 프로토콜이 대다수의 사람들에 의해 받아들여질 가능성이 낮다는 점을 인정합니다. Bitcoin 사용자 [5]. 2.2 proof-of-work 함수 Bitcoin 제작자 Satoshi Nakamoto는 다수결 의사 결정 알고리즘을 "oneCPU-one-vote"로 설명하고 proof-of-work에 CPU 제한 가격 책정 기능(이중 SHA-256)을 사용했습니다. 계획. 사용자는 단일 거래 내역 주문 [1]에 투표하므로 합리성과 이 프로세스의 일관성은 전체 시스템에 중요한 조건입니다. 이 모델의 보안에는 두 가지 단점이 있습니다. 첫째, 네트워크의 51%가 필요합니다. 채굴 능력은 정직한 사용자의 통제하에 있습니다. 둘째, 시스템의 진행(버그 수정, 보안 수정 등)을 위해서는 대다수의 사용자가 이를 지지하고 동의해야 합니다. 변경 사항(사용자가 지갑 소프트웨어를 업데이트할 때 발생) [6].마지막으로 동일한 투표 메커니즘은 [7] 일부 기능 구현에 대한 집단 여론 조사에도 사용됩니다. 이를 통해 우리는 proof-of-work에 의해 충족되어야 하는 속성을 추측할 수 있습니다. 가격 책정 기능. 그러한 기능은 네트워크 참가자가 중요한 정보를 가질 수 있도록 해서는 안 됩니다. 다른 참가자에 비해 이점이 있습니다. 일반 하드웨어와 높은 하드웨어 간의 패리티가 필요합니다. 맞춤형 장치 비용. 최근 예제 [8]에서 SHA-256 함수가 사용된 것을 볼 수 있습니다. Bitcoin 아키텍처에서는 마이닝이 더욱 효율적으로 진행됨에 따라 이 속성을 보유하지 않습니다. GPU 및 ASIC 장치를 고급 CPU와 비교합니다. 따라서 Bitcoin은 투표권 간의 큰 격차에 유리한 조건을 만듭니다. GPU 및 ASIC 소유자가 소유하고 있기 때문에 "1-CPU-1-투표" 원칙을 위반하므로 참가자 CPU 소유자와 비교할 때 훨씬 더 큰 투표권. 의 고전적인 예이다. 파레토 원칙은 시스템 참가자의 20%가 투표의 80% 이상을 통제한다는 것입니다. 그러한 불평등은 네트워크 보안과 관련이 없다고 주장할 수도 있습니다. 다수의 투표를 통제하는 소수의 참가자이지만 이들의 정직성은 중요한 참가자. 그러나 그러한 주장은 다소 결함이 있다. 참여자의 정직성보다는 값싼 전문 하드웨어가 등장할 가능성 위협을 가합니다. 이를 설명하기 위해 다음 예를 들어보겠습니다. 악의적인 가정을 해보자 개인은 값싼 채굴을 통해 자신의 광산 농장을 건설함으로써 상당한 채굴력을 얻습니다. 2 4 아마도 모든 사용자가 항상 새 주소를 생성하여 자신의 익명성을 확보하는 데 도움이 된다면 받은 모든 지불에 대해(터무니없지만 기술적으로는 "올바른" 방법임) 그리고 모든 사용자가 절대 자금을 보내지 말라고 주장하여 다른 모든 사람의 익명성을 도왔다면 동일한 BTC 주소로 두 번 전송하면 Bitcoin은 여전히 상황에 따라만 통과합니다. 연결 불가 테스트. 왜? 소비자 데이터는 항상 사람들에 대한 놀라운 양을 파악하는 데 사용될 수 있습니다. 예를 들어 http://www.applieddatalabs.com/content/target-knows-it-shows을 참조하세요. 이제 20년 후의 미래를 상상해 보세요. 또한 Target이 몰랐을 수도 있다고 상상해 보세요. Target에서의 구매 습관에 대해 이야기했지만 그들은 모든 항목에 대해 blockchain을 채굴하고 있었습니다. 과거의 코인베이스 지갑으로 개인 구매 12년. 그들은 "야 친구 오늘 밤에 기침약 좀 사가는 게 좋을 것 같은데, 그러지 않을 거야"라고 말할 거예요. 내일은 괜찮아." 다자간 정렬이 올바르게 활용되는 경우에는 그렇지 않을 수 있습니다. 예를 들어 다음을 참조하세요.블로그 게시물: http://blog.ezyang.com/2012/07/secure-multiparty-bitcoin-anonymization/ 나는 그것에 대한 수학을 완전히 확신하지는 못하지만... 한 번에 한 논문씩, 맞죠? 인용이 필요합니다. Zerocoin 프로토콜(독립형)은 부족할 수 있지만 Zerocash는 프로토콜은 1kb 크기의 트랜잭션을 구현한 것 같습니다. 해당 프로젝트는 다음에서 지원됩니다. 물론 미국과 이스라엘 군대도 마찬가지입니다. 그래서 그 견고함을 누가 알겠습니까? 다른 한편으로는 한편, 군대만큼 감독 없이 자금을 지출할 수 있기를 원하는 사람은 없습니다. http://zerocash-project.org/ 잘 모르겠습니다... 예를 들어 http://fc14.ifca.ai/bitcoin/papers/bitcoin14_submission_12.pdf을 참조하세요. 암호화폐 노트에서 암호화폐 개발자 Maurice Planck(가명으로 추정) 인용 포럼: "제로코인, 제로캐시. 이것은 가장 진보된 기술이라는 것을 인정해야 합니다. 응, 견적이야 위의 내용은 이전 버전의 프로토콜을 분석한 것입니다. 내가 아는 바로는 그렇지 않다. 288이지만 384바이트이지만 어쨌든 이것은 좋은 소식입니다. 그들은 SNARK라는 새로운 기술을 사용했는데, 여기에는 몇 가지 단점이 있습니다. 예를 들어, 서명을 생성하는 데 필요한 공개 매개변수의 대규모 초기 데이터베이스(1GB 이상) 트랜잭션을 생성하는 데 상당한 시간이 소요됩니다(1분 이상). 마지막으로 그들은 제가 논쟁의 여지가 있는 아이디어라고 언급한 젊은 암호화폐: https://forum.cryptonote.org/viewtopic.php?f= " - Maurice P. 목요일 2014년 4월 3일 오후 7:56 CPU에서 수행되는 기능으로 GPU, FPGA, ASIC에는 적합하지 않은 기능 계산. proof-of-work에 사용된 "퍼즐"은 가격 책정 함수, 비용 함수 또는 퍼즐 기능.

고유한 출처와 최종 수신자를 명확하게 추적합니다. 두 참가자가 서로 교환하더라도 간접적인 방법으로 자금을 조달할 때 적절하게 설계된 경로 탐색 방법을 통해 출처와 출처를 밝힐 수 있습니다. 최종 수신자. 또한 Bitcoin이 두 번째 속성을 충족하지 않는 것으로 의심됩니다. 일부 연구자 ([33, 35, 29, 31]) 주의 깊은 blockchain 분석을 통해 다음과 같은 연관성이 드러날 수 있다고 말했습니다. Bitcoin 네트워크 사용자 및 해당 거래. 여러 가지 방법이 있지만 [25]에서 숨겨진 개인 정보가 많이 추출될 수 있다고 의심됩니다. 공개 데이터베이스. Bitcoin은 위에 설명된 두 가지 속성을 충족하지 못하므로 다음과 같은 결론을 내릴 수 있습니다. 익명이 아닌 유사 익명 전자 현금 시스템입니다. 사용자의 개발 속도가 빨랐습니다. 이러한 단점을 해결하기 위한 솔루션입니다. 두 가지 직접적인 솔루션은 "세탁 서비스" [2]와 분산 방법의 개발 [3, 4]. 두 솔루션 모두 혼합이라는 아이디어를 기반으로 합니다. 여러 공개 거래를 중개 주소를 통해 전송합니다. 차례로 신뢰할 수 있는 제3자가 필요하다는 단점이 있습니다. 최근에는 I. Miers et al.에 의해 보다 창의적인 계획이 제안되었습니다. [28]: "제로코인". 제로코인 사용자가 다음을 수행할 수 있도록 하는 암호화 단방향 누산기와 영지식 증명을 활용합니다. 비트코인을 제로코인으로 "전환"하고 대신 익명의 소유권 증명을 사용하여 사용합니다. 명시적인 공개 키 기반 디지털 서명. 그러나 그러한 지식 증명에는 상수가 있습니다. 하지만 불편한 크기 - 약 30kb(오늘의 Bitcoin 제한 기준)로 인해 제안이 이루어집니다. 비실용적이다. 저자들은 이 프로토콜이 대다수의 사람들에 의해 받아들여질 가능성이 낮다는 점을 인정합니다. Bitcoin 사용자 [5]. 2.2 proof-of-work 함수 Bitcoin 제작자 Satoshi Nakamoto는 다수결 의사 결정 알고리즘을 "oneCPU-one-vote"로 설명하고 proof-of-work에 CPU 제한 가격 책정 기능(이중 SHA-256)을 사용했습니다. 계획. 사용자는 단일 거래 내역 주문 [1]에 투표하므로 합리성과 이 프로세스의 일관성은 전체 시스템에 중요한 조건입니다. 이 모델의 보안에는 두 가지 단점이 있습니다. 첫째, 네트워크의 51%가 필요합니다. 채굴 능력은 정직한 사용자의 통제하에 있습니다. 둘째, 시스템의 진행(버그 수정, 보안 수정 등)을 위해서는 대다수의 사용자가 이를 지지하고 동의해야 합니다. 변경 사항(사용자가 지갑 소프트웨어를 업데이트할 때 발생) [6].마지막으로 동일한 투표 메커니즘은 [7] 일부 기능 구현에 대한 집단 여론 조사에도 사용됩니다. 이를 통해 우리는 proof-of-work에 의해 충족되어야 하는 속성을 추측할 수 있습니다. 가격 책정 기능. 그러한 기능은 네트워크 참가자가 중요한 정보를 가질 수 있도록 해서는 안 됩니다. 다른 참가자에 비해 이점이 있습니다. 일반 하드웨어와 높은 하드웨어 간의 패리티가 필요합니다. 맞춤형 장치 비용. 최근 예제 [8]에서 SHA-256 함수가 사용된 것을 볼 수 있습니다. Bitcoin 아키텍처에서는 마이닝이 더욱 효율적으로 진행됨에 따라 이 속성을 보유하지 않습니다. GPU 및 ASIC 장치를 고급 CPU와 비교합니다. 따라서 Bitcoin은 투표권 간의 큰 격차에 유리한 조건을 만듭니다. GPU 및 ASIC 소유자가 소유하고 있기 때문에 "1-CPU-1-투표" 원칙을 위반하므로 참가자 CPU 소유자와 비교할 때 훨씬 더 큰 투표권. 의 고전적인 예이다. 파레토 원칙은 시스템 참가자의 20%가 투표의 80% 이상을 통제한다는 것입니다. 그러한 불평등은 네트워크 보안과 관련이 없다고 주장할 수도 있습니다. 다수의 투표를 통제하는 소수의 참가자이지만 이들의 정직성은 중요한 참가자. 그러나 그러한 주장은 다소 결함이 있다. 참여자의 정직성보다는 값싼 전문 하드웨어가 등장할 가능성 위협을 가합니다. 이를 설명하기 위해 다음 예를 들어보겠습니다. 악의적인 가정을 해보자 개인은 값싼 채굴을 통해 자신의 광산 농장을 건설함으로써 상당한 채굴력을 얻습니다. 2 고유한 출처와 최종 수신자를 명확하게 추적합니다. 두 참가자가 서로 교환하더라도 간접적인 방법으로 자금을 조달할 때 적절하게 설계된 경로 탐색 방법을 통해 출처와 출처를 밝힐 수 있습니다. 최종 수신자. 또한 Bitcoin이 두 번째 속성을 충족하지 않는 것으로 의심됩니다. 일부 연구자 ([33, 35, 29, 31]) 주의 깊은 blockchain 분석을 통해 다음과 같은 연관성이 드러날 수 있다고 말했습니다. Bitcoin 네트워크 사용자 및 해당 거래. 여러 가지 방법이 있지만 디[25]이 발행된 경우, 숨겨진 개인정보가 다수 추출될 수 있다고 의심됩니다. 공개 데이터베이스. Bitcoin은 위에 설명된 두 가지 속성을 충족하지 못하므로 다음과 같은 결론을 내릴 수 있습니다. 익명이 아닌 유사 익명 전자 현금 시스템입니다. 사용자의 개발 속도가 빨랐습니다. 이러한 단점을 해결하기 위한 솔루션입니다. 두 가지 직접적인 솔루션은 "세탁 서비스" [2]와 분산 방법의 개발 [3, 4]. 두 솔루션 모두 혼합이라는 아이디어를 기반으로 합니다. 여러 공개 거래를 중개 주소를 통해 전송합니다. 차례로 신뢰할 수 있는 제3자가 필요하다는 단점이 있습니다. 최근에는 I. Miers et al.에 의해 보다 창의적인 계획이 제안되었습니다. [28]: "제로코인". 제로코인 사용자가 다음을 수행할 수 있도록 하는 암호화 단방향 누산기와 영지식 증명을 활용합니다. 비트코인을 제로코인으로 "전환"하고 대신 익명의 소유권 증명을 사용하여 사용합니다. 명시적인 공개 키 기반 디지털 서명. 그러나 그러한 지식 증명에는 상수가 있습니다. 하지만 불편한 크기 - 약 30kb(오늘의 Bitcoin 제한 기준)로 인해 제안이 이루어집니다. 비실용적이다. 저자들은 이 프로토콜이 대다수의 사람들에 의해 받아들여질 가능성이 낮다는 점을 인정합니다. Bitcoin 사용자 [5]. 2.2 proof-of-work 함수 Bitcoin 제작자 Satoshi Nakamoto는 다수결 의사 결정 알고리즘을 "oneCPU-one-vote"로 설명하고 proof-of-work에 CPU 제한 가격 책정 기능(이중 SHA-256)을 사용했습니다. 계획. 사용자는 단일 거래 내역 주문 [1]에 투표하므로 합리성과 이 프로세스의 일관성은 전체 시스템에 중요한 조건입니다. 이 모델의 보안에는 두 가지 단점이 있습니다. 첫째, 네트워크의 51%가 필요합니다. 채굴 능력은 정직한 사용자의 통제하에 있습니다. 둘째, 시스템의 진행(버그 수정, 보안 수정 등)을 위해서는 대다수의 사용자가 이를 지지하고 동의해야 합니다. 변경 사항(사용자가 지갑 소프트웨어를 업데이트할 때 발생) [6].마지막으로 동일한 투표 메커니즘은 [7] 일부 기능 구현에 대한 집단 여론 조사에도 사용됩니다. 이를 통해 우리는 proof-of-work에 의해 충족되어야 하는 속성을 추측할 수 있습니다. 가격 책정 기능. 그러한 기능은 네트워크 참가자가 중요한 정보를 가질 수 있도록 해서는 안 됩니다. 다른 참가자에 비해 이점이 있습니다. 일반 하드웨어와 높은 하드웨어 간의 패리티가 필요합니다. 맞춤형 장치 비용. 최근 예제 [8]에서 SHA-256 함수가 사용된 것을 볼 수 있습니다. Bitcoin 아키텍처에서는 마이닝이 더욱 효율적으로 진행됨에 따라 이 속성을 보유하지 않습니다. GPU 및 ASIC 장치를 고급 CPU와 비교합니다. 따라서 Bitcoin은 투표권 간의 큰 격차에 유리한 조건을 만듭니다. GPU 및 ASIC 소유자가 소유하고 있기 때문에 "1-CPU-1-투표" 원칙을 위반하므로 참가자 CPU 소유자와 비교할 때 훨씬 더 큰 투표권. 의 고전적인 예이다. 파레토 원칙은 시스템 참가자의 20%가 투표의 80% 이상을 통제한다는 것입니다. 그러한 불평등은 네트워크 보안과 관련이 없다고 주장할 수도 있습니다. 다수의 투표를 통제하는 소수의 참가자이지만 이들의 정직성은 중요한 참가자. 그러나 그러한 주장은 다소 결함이 있다. 참여자의 정직성보다는 값싼 전문 하드웨어가 등장할 가능성 위협을 가합니다. 이를 설명하기 위해 다음 예를 들어보겠습니다. 악의적인 가정을 해보자 개인은 값싼 채굴을 통해 자신의 광산 농장을 건설함으로써 상당한 채굴력을 얻습니다. 2 2페이지의 설명

Bitcoin 欠点と考えられる解決策

2 Bitcoin の欠点と考えられる解決策 2.1 取引のトレーサビリティプライバシーと匿名性は、電子マネーの最も重要な側面です。ピアツーピア支払い第三者の目から隠蔽されるよう努めますが、これは従来の方法と比較した場合の明らかな違いです。銀行業。特に、T.okamoto と K.Ohta は、理想的な電子マネーの 6 つの基準を説明しました。これには「プライバシー: ユーザーとその購入との関係は追跡不可能でなければなりません」が含まれます。誰でも」[30]。それらの説明から、完全に匿名である 2 つのプロパティを導き出しました。岡本氏が概説した要件に準拠するには、電子現金モデルが満たさなければなりませんそして太田：追跡不可能性: 受信トランザクションごとに、考えられるすべての送信者が等しい確率で存在します。リンク不可能性: 2 つの送信トランザクションについて、それらが送信されたことを証明することは不可能です。同じ人です。残念ながら、Bitcoin は追跡不可能な要件を満たしていません。ネットワークの参加者間で行われるトランザクションはすべて公開されるため、あらゆるトランザクションが公開される可能性があります。 1 クリプトノート v 2.0 ニコラス・ファン・セイバーハーゲン 2013 年 10 月 17 日 1 はじめに「Bitcoin」 [1] は、p2p 電子キャッシュの概念の実装に成功しました。両方専門家も一般の人々も、これらの便利な組み合わせを高く評価するようになりました。パブリックトランザクションと信頼モデルとしての proof-of-work。現在、電子マネーのユーザーベースは着実なペースで成長しています。顧客は低料金と匿名性の提供に魅力を感じています電子現金によるものであり、加盟店は予測された分散型排出量を重視しています。 Bitcoin は電子マネーは紙幣と同じくらい簡単で、紙幣と同じくらい便利であることが効果的に証明されました。クレジットカード。残念ながら、Bitcoin にはいくつかの欠陥があります。たとえば、システムの分散型性質は柔軟性が高く、ほぼすべてのネットワークユーザーがクライアントを更新するまで新しい機能を実装できません。修正できないいくつかの重大な欠陥により、Bitcoin の攻撃が阻止されます広範な伝播。このような柔軟性のないモデルでは、新しいプロジェクトを展開する方が効率的です。元のプロジェクトを永続的に修正するのではなく、この文書では、Bitcoin の主な欠陥に対する解決策を研究し、提案します。私たちは信じています私たちが提案するソリューションを考慮したシステムが健全な競争につながることを保証しますさまざまな電子マネーシステム間で。独自の電子マネー「CryptoNote」も提案しています。電子マネーの次の進歩を強調する名前です。 2 Bitcoin の欠点と考えられる解決策 2.1 取引のトレーサビリティプライバシーと匿名性は、電子マネーの最も重要な側面です。ピアツーピア支払い第三者の目から隠蔽されるよう努めますが、これは従来の方法と比較した場合の明らかな違いです。銀行業。特に、T.okamoto と K.Ohta は、理想的な電子マネーの 6 つの基準を説明しました。これには「プライバシー: ユーザーとその購入との関係は追跡不可能でなければなりません」が含まれます。誰でも」[30]。それらの説明から、完全に匿名である 2 つのプロパティを導き出しました。岡本氏が概説した要件に準拠するには、電子現金モデルが満たさなければなりませんそして太田：追跡不可能性: 受信トランザクションごとに、考えられるすべての送信者が等しい確率で存在します。リンク不可能性: 2 つの送信トランザクションについて、それらが送信されたことを証明することは不可能です。同じ人です。残念ながら、Bitcoin は追跡不可能な要件を満たしていません。ネットワークの参加者間で行われるトランザクションはすべて公開されるため、あらゆるトランザクションが公開される可能性があります。 1 3 Bitcoin は間違いなく「追跡不能」に失敗します。 BTCを送信する場合、送信元のウォレット blockchain には取り消し不能のスタンプが押されています。誰がその資金を送ったかについては疑問の余地はありませんが、なぜなら、秘密鍵を知っている人だけが秘密鍵を送信できるからです。一意の発信元と最終受信者まで明確に追跡されます。参加者2人が交換しても間接的な方法で資金を調達する場合、適切に設計された経路探索手法により、その出所が明らかになり、最終的な受取人。また、Bitcoin が 2 番目の特性を満たしていない可能性もあります。一部の研究者は ([33, 35, 29, 31])、慎重な blockchain 分析により、 Bitcoin ネットワークのユーザーとそのトランザクション。方法はいくつかありますが、 [25] では、多くの隠された個人情報が抽出される可能性があると疑われています。パブリックデータベース。 Bitcoin は上記の 2 つの特性を満たしていないため、次のような結論に達します。匿名ではなく、擬似匿名の電子現金システムです。ユーザーの開発は迅速でしたこの欠点を回避するためのソリューション。 2 つの直接的な解決策は、「ロンダリングサービス」[2] と分散手法の開発 [3、4]。どちらのソリューションも、混合するという考えに基づいています。いくつかのパブリックトランザクションと、それらを何らかの中間アドレス経由で送信する。それは順番に信頼できる第三者を必要とするという欠点があります。最近、より創造的なスキームが I. Miers らによって提案されました。 [28]: 「ゼロコイン」。ゼロコイン暗号化された一方向アキュムレータとゼロ知識証明を利用して、ユーザーは次のことを行うことができます。ビットコインをゼロコインに「変換」し、代わりに匿名の所有権証明を使用してそれらを使用します。明示的な公開キーベースのデジタル署名。ただし、そのような知識証明には定数があります。しかし、サイズが不便 - 約 30kb (今日の Bitcoin 制限に基づく) という提案が行われます。非実用的。著者らは、このプロトコルが大多数の人たちに受け入れられる可能性は低いことを認めています。 Bitcoin ユーザー [5]。 2.2 proof-of-work 関数 Bitcoin の作成者であるサトシナカモトは、多数決の意思決定アルゴリズムを「1CPU 1 票」と表現し、proof-of-work では CPU に依存した価格設定関数 (SHA-256 の 2 倍) を使用しました。スキーム。ユーザーは単一の取引履歴注文 [1] に投票するため、合理性とこのプロセスの一貫性は、システム全体にとって重要な条件です。このモデルのセキュリティには 2 つの欠点があります。まず、ネットワークの 51% が必要です。マイニングパワーは誠実なユーザーの管理下に置かれます。第二に、システムの進歩（バグ修正、セキュリティ修正など...) を実現するには、圧倒的多数のユーザーがサポートし、同意する必要があります。変更 (これはユーザーがウォレットソフトウェアを更新するときに発生します) [6].最後にこれと同じ投票が行われますこのメカニズムは、一部の機能 [7] の実装に関する集団投票にも使用されます。これにより、proof-of-work が満たさなければならない特性を推測することができます。価格設定機能。このような機能により、ネットワーク参加者が重大な問題を引き起こす可能性があってはなりません。他の参加者よりも有利。一般的なハードウェアと高度なハードウェアの間のパリティが必要です。カスタムデバイスのコスト。最近の例 [8] から、SHA-256 関数が使用されていることがわかります。 Bitcoin アーキテクチャでは、マイニングの効率が向上するため、このプロパティはありません。ハイエンド CPU と比較した場合の GPU および ASIC デバイス。したがって、Bitcoin は、 GPU と ASIC の所有者が所有しているため、「1 CPU 1 票」の原則に違反するため、参加者は除外されます。 CPU 所有者と比較すると、はるかに大きな投票力を持ちます。それは古典的な例ですシステム参加者の 20% が投票の 80% 以上を支配するパレートの法則。ネットワークのセキュリティは問題ではないため、そのような不平等はネットワークのセキュリティとは関係がないと主張する人もいるでしょう。少数の参加者が投票の大部分を支配しているが、これらの参加者の誠実さ大切な参加者たち。しかし、このような議論には多少の欠陥があります。参加者の誠実さよりも、安価な専用ハードウェアが登場する可能性脅威をもたらします。これを実証するために、次の例を見てみましょう。悪意のある人がいると仮定します個人は、安価な方法で自分のマイニングファームを作成することで、大幅なマイニングパワーを獲得します。 2 一意の発信元と最終受信者まで明確に追跡されます。参加者2人が交換しても間接的な方法で資金を調達する場合、適切に設計された経路探索手法により、その出所が明らかになり、最終的な受取人。また、Bitcoin が 2 番目の特性を満たしていない可能性もあります。一部の研究者は ([33, 35, 29, 31])、慎重な blockchain 分析により、 Bitcoin ネットワークのユーザーとそのトランザクション。方法はいくつかありますが、 d[25] と疑われており、隠された個人情報が大量に抽出される可能性があると疑われています。パブリックデータベース。 Bitcoin は上記の 2 つの特性を満たしていないため、次のような結論に達します。匿名ではなく、擬似匿名の電子現金システムです。ユーザーの開発は迅速でしたこの欠点を回避するためのソリューション。 2 つの直接的な解決策は、「ロンダリングサービス」[2] と分散手法の開発 [3、4]。どちらのソリューションも、混合するという考えに基づいています。いくつかのパブリックトランザクションと、それらを何らかの中間アドレス経由で送信する。それは順番に信頼できる第三者を必要とするという欠点があります。最近、より創造的なスキームが I. Miers らによって提案されました。 [28]: 「ゼロコイン」。ゼロコイン暗号化された一方向アキュムレータとゼロ知識証明を利用して、ユーザーは次のことを行うことができます。ビットコインをゼロコインに「変換」し、代わりに匿名の所有権証明を使用してそれらを使用します。明示的な公開キーベースのデジタル署名。ただし、そのような知識証明には定数があります。しかし、サイズが約 30kb (今日の Bitcoin 制限に基づく) という不便なサイズであるため、この提案が行われます。非実用的。著者らは、このプロトコルが大多数の人たちに受け入れられる可能性は低いことを認めています。 Bitcoin ユーザー [5]。 2.2 proof-of-work 関数 Bitcoin の作成者であるサトシナカモトは、多数決の意思決定アルゴリズムを「1CPU 1 票」と表現し、proof-of-work では CPU に依存した価格設定関数 (SHA-256 の 2 倍) を使用しました。スキーム。ユーザーは単一の取引履歴注文 [1] に投票するため、合理性とこのプロセスの一貫性は、システム全体にとって重要な条件です。このモデルのセキュリティには 2 つの欠点があります。まず、ネットワークの 51% が必要です。マイニングパワーは誠実なユーザーの管理下に置かれます。第二に、システムの進歩（バグ修正、セキュリティ修正など...) を実現するには、圧倒的多数のユーザーがサポートし、同意する必要があります。変更 (これはユーザーがウォレットソフトウェアを更新するときに発生します) [6]。最後にこれと同じ投票が行われます。このメカニズムは、一部の機能 [7] の実装に関する集団投票にも使用されます。これにより、proof-of-work が満たさなければならない特性を推測することができます。価格設定機能。このような機能により、ネットワーク参加者が重大な問題を引き起こす可能性があってはなりません。他の参加者よりも有利。一般的なハードウェアと高度なハードウェアの間のパリティが必要です。カスタムデバイスのコスト。最近の例 [8] から、SHA-256 関数が使用されていることがわかります。 Bitcoin アーキテクチャでは、マイニングの効率が向上するため、このプロパティはありません。ハイエンド CPU と比較した場合の GPU および ASIC デバイス。したがって、Bitcoin は、 GPU と ASIC の所有者が所有しているため、「1 CPU 1 票」の原則に違反するため、参加者は除外されます。 CPU 所有者と比較すると、はるかに大きな投票力を持ちます。それは古典的な例ですシステム参加者の 20% が投票の 80% 以上を支配するパレートの法則。ネットワークのセキュリティは問題ではないため、そのような不平等はネットワークのセキュリティとは関係がないと主張する人もいるでしょう。少数の参加者が投票の大部分を支配しているが、これらの参加者の誠実さ大切な参加者たち。しかし、このような議論には多少の欠陥があります。参加者の誠実さよりも、安価な専用ハードウェアが登場する可能性脅威をもたらします。これを実証するために、次の例を見てみましょう。悪意のある人がいると仮定します個人は、安価な方法で自分のマイニングファームを作成することで、大幅なマイニングパワーを獲得します。 2 4 おそらく、すべてのユーザーが常に新しいアドレスを生成することで自分自身の匿名性を保っているとしたら、受け取ったすべての支払いに対して（これはばかげていますが、技術的には「正しい」方法です）、そして、すべてのユーザーが決して資金を送金しないと主張して、他のユーザーの匿名性を助けたとしたら同じBTCアドレスに2回送信した場合、Bitcoinは依然として状況的にのみ渡されます非リンク性テスト。なぜ？消費者データを使用すると、人々に関する驚くべき量の情報を常に把握できます。たとえば、http://www.applieddatalabs.com/content/target-knows-it-shows を参照してください。さて、これが 20 年後の未来であると想像してください。さらに、ターゲットが単に知っていたわけではないと想像してください。 Target でのあなたの購入習慣についてですが、彼らはすべての商品について blockchain をマイニングしていました過去の Coinbase ウォレットでの個人購入 12年。彼らはこう言うだろう、「ねえ、今夜は咳止め薬を買いたいかもしれないけど、そんなことはないよ」明日は気分がいいよ。」マルチパーティの並べ替えが正しく利用されている場合は、これは当てはまらない可能性があります。たとえば、これを参照してくださいブログ投稿: http://blog.ezyang.com/2012/07/secure-multiparty-bitcoin-anonymization/ 私はその計算に完全に納得しているわけではありませんが、一度に 1 つの論文ですよね？引用が必要です。 Zerocoin プロトコル (スタンドアロン) では不十分かもしれませんが、Zerocash このプロトコルは 1kb サイズのトランザクションを実装しているようです。そのプロジェクトを支援しているのは、もちろん、アメリカ軍とイスラエル軍もそうなので、その堅牢性については誰にも分かりません。一方では軍隊ほど、監視なしに資金を支出できることを望んでいる人はいないでしょう。 http://zerocash-project.org/ 納得できません...たとえば、http://fc14.ifca.ai/bitcoin/papers/bitcoin14_submission_12.pdf を参照してください。暗号ノート開発者モーリス・プランク氏（おそらく仮名）の暗号ノートからの引用フォーラム: 「ゼロコイン、ゼロキャッシュ。これは最先端のテクノロジーであると認めざるを得ません。はい、引用です上記は、プロトコルの以前のバージョンの分析からのものです。私の知る限り、そうではありません 288 バイトですが 384 バイトですが、いずれにせよ、これは良いニュースです。彼らは SNARK と呼ばれるまったく新しい技術を使用しましたが、これにはいくつかの欠点がありました。署名の作成に必要な公開パラメーターの大規模な初期データベース (1 GB 以上) トランザクションの作成にかなりの時間がかかります (1 分以上)。最後に、彼らは若い暗号通貨、これは議論の余地があるアイデアであると述べました: https://forum.cryptonote.org/viewtopic.php?f= " - モーリス・P. 2014年4月3日（木）午後7時56分 CPU で実行され、GPU、FPGA、または ASIC には適さない機能計算。 proof-of-work で使用される「パズル」は、価格設定関数、コスト関数、またはパズル機能。

一意の発信元と最終受信者まで明確に追跡されます。参加者2人が交換しても間接的な方法で資金を調達する場合、適切に設計された経路探索手法により、その出所が明らかになり、最終的な受取人。また、Bitcoin が 2 番目の特性を満たしていない可能性もあります。一部の研究者は ([33, 35, 29, 31])、慎重な blockchain 分析により、 Bitcoin ネットワークのユーザーとそのトランザクション。方法はいくつかありますが、 [25] では、多くの隠された個人情報が抽出される可能性があると疑われています。パブリックデータベース。 Bitcoin は上記の 2 つの特性を満たしていないため、次のような結論に達します。匿名ではなく、擬似匿名の電子現金システムです。ユーザーの開発は迅速でしたこの欠点を回避するためのソリューション。 2 つの直接的な解決策は、「ロンダリングサービス」[2] と分散手法の開発 [3、4]。どちらのソリューションも、混合するという考えに基づいています。いくつかのパブリックトランザクションと、それらを何らかの中間アドレス経由で送信する。それは順番に信頼できる第三者を必要とするという欠点があります。最近、より創造的なスキームが I. Miers らによって提案されました。 [28]: 「ゼロコイン」。ゼロコイン暗号化された一方向アキュムレータとゼロ知識証明を利用して、ユーザーは次のことを行うことができます。ビットコインをゼロコインに「変換」し、代わりに匿名の所有権証明を使用してそれらを使用します。明示的な公開キーベースのデジタル署名。ただし、そのような知識証明には定数があります。しかし、サイズが不便 - 約 30kb (今日の Bitcoin 制限に基づく) という提案が行われます。非実用的。著者らは、このプロトコルが大多数の人たちに受け入れられる可能性は低いことを認めています。 Bitcoin ユーザー [5]。 2.2 proof-of-work 関数 Bitcoin の作成者であるサトシナカモトは、多数決の意思決定アルゴリズムを「1CPU 1 票」と表現し、proof-of-work では CPU に依存した価格設定関数 (SHA-256 の 2 倍) を使用しました。スキーム。ユーザーは単一の取引履歴注文 [1] に投票するため、合理性とこのプロセスの一貫性は、システム全体にとって重要な条件です。このモデルのセキュリティには 2 つの欠点があります。まず、ネットワークの 51% が必要です。マイニングパワーは誠実なユーザーの管理下に置かれます。第二に、システムの進歩（バグ修正、セキュリティ修正など...) を実現するには、圧倒的多数のユーザーがサポートし、同意する必要があります。変更 (これはユーザーがウォレットソフトウェアを更新するときに発生します) [6].最後に同じ投票が行われますこのメカニズムは、一部の機能 [7] の実装に関する集団投票にも使用されます。これにより、proof-of-work が満たさなければならない特性を推測することができます。価格設定機能。このような機能により、ネットワーク参加者が重大な問題を引き起こす可能性があってはなりません。他の参加者よりも有利。一般的なハードウェアと高度なハードウェアの間のパリティが必要です。カスタムデバイスのコスト。最近の例 [8] から、SHA-256 関数が使用されていることがわかります。 Bitcoin アーキテクチャでは、マイニングの効率が向上するため、このプロパティはありません。ハイエンド CPU と比較した場合の GPU および ASIC デバイス。したがって、Bitcoin は、 GPU と ASIC の所有者が所有しているため、「1 CPU 1 票」の原則に違反するため、参加者は除外されます。 CPU 所有者と比較すると、はるかに大きな投票力を持ちます。それは古典的な例ですシステム参加者の 20% が投票の 80% 以上を支配するパレートの法則。ネットワークのセキュリティは問題ではないため、そのような不平等はネットワークのセキュリティとは関係がないと主張する人もいるでしょう。少数の参加者が投票の大部分を支配しているが、これらの参加者の誠実さ大切な参加者たち。しかし、このような議論には多少の欠陥があります。参加者の誠実さよりも、安価な専用ハードウェアが登場する可能性脅威をもたらします。これを実証するために、次の例を見てみましょう。悪意のある人がいると仮定します個人は、安価な方法で自分のマイニングファームを作成することで、大幅なマイニングパワーを獲得します。 2 一意の発信元と最終受信者まで明確に追跡されます。参加者2人が交換しても間接的な方法で資金を調達する場合、適切に設計された経路探索手法により、その出所が明らかになり、最終的な受取人。また、Bitcoin が 2 番目の特性を満たしていない可能性もあります。一部の研究者は ([33, 35, 29, 31])、慎重な blockchain 分析により、 Bitcoin ネットワークのユーザーとそのトランザクション。方法はいくつかありますが、 d[25] と疑われており、隠された個人情報が大量に抽出される可能性があると疑われています。パブリックデータベース。 Bitcoin は上記の 2 つの特性を満たしていないため、次のような結論に達します。匿名ではなく、擬似匿名の電子現金システムです。ユーザーの開発は迅速でしたこの欠点を回避するためのソリューション。 2 つの直接的な解決策は、「ロンダリングサービス」[2] と分散手法の開発 [3、4]。どちらのソリューションも、混合するという考えに基づいています。いくつかのパブリックトランザクションと、それらを何らかの中間アドレス経由で送信する。それは順番に信頼できる第三者を必要とするという欠点があります。最近、より創造的なスキームが I. Miers らによって提案されました。 [28]: 「ゼロコイン」。ゼロコイン暗号化された一方向アキュムレータとゼロ知識証明を利用して、ユーザーは次のことを行うことができます。ビットコインをゼロコインに「変換」し、代わりに匿名の所有権証明を使用してそれらを使用します。明示的な公開キーベースのデジタル署名。ただし、そのような知識証明には定数があります。しかし、サイズが不便 - 約 30kb (今日の Bitcoin 制限に基づく) という提案が行われます。非実用的。著者らは、このプロトコルが大多数の人たちに受け入れられる可能性は低いことを認めています。 Bitcoin ユーザー [5]。 2.2 proof-of-work 関数 Bitcoin の作成者であるサトシナカモトは、多数決の意思決定アルゴリズムを「1CPU 1 票」と表現し、proof-of-work では CPU に依存した価格設定関数 (SHA-256 の 2 倍) を使用しました。スキーム。ユーザーは単一の取引履歴注文 [1] に投票するため、合理性とこのプロセスの一貫性は、システム全体にとって重要な条件です。このモデルのセキュリティには 2 つの欠点があります。まず、ネットワークの 51% が必要です。マイニングパワーは誠実なユーザーの管理下に置かれます。第二に、システムの進歩（バグ修正、セキュリティ修正など...) を実現するには、圧倒的多数のユーザーがサポートし、同意する必要があります。変更 (これはユーザーがウォレットソフトウェアを更新するときに発生します) [6].最後に同じ投票が行われますこのメカニズムは、一部の機能 [7] の実装に関する集団投票にも使用されます。これにより、proof-of-work が満たさなければならない特性を推測することができます。価格設定機能。このような機能により、ネットワーク参加者が重大な問題を引き起こす可能性があってはなりません。他の参加者よりも有利。一般的なハードウェアと高度なハードウェアの間のパリティが必要です。カスタムデバイスのコスト。最近の例 [8] から、SHA-256 関数が使用されていることがわかります。 Bitcoin アーキテクチャでは、マイニングの効率が向上するため、このプロパティはありません。ハイエンド CPU と比較した場合の GPU および ASIC デバイス。したがって、Bitcoin は、 GPU と ASIC の所有者が所有しているため、「1 CPU 1 票」の原則に違反するため、参加者は除外されます。 CPU 所有者と比較すると、はるかに大きな投票力を持ちます。それは古典的な例ですシステム参加者の 20% が投票の 80% 以上を支配するパレートの法則。ネットワークのセキュリティは問題ではないため、そのような不平等はネットワークのセキュリティとは関係がないと主張する人もいるでしょう。少数の参加者が投票の大部分を支配しているが、これらの参加者の誠実さ大切な参加者たち。しかし、このような議論には多少の欠陥があります。参加者の誠実さよりも、安価な専用ハードウェアが登場する可能性脅威をもたらします。これを実証するために、次の例を見てみましょう。悪意のある人がいると仮定します個人は、安価な方法で自分のマイニングファームを作成することで、大幅なマイニングパワーを獲得します。 2 2ページ目のコメント

크립토노트 기술

이제 Bitcoin 기술의 한계를 다루었으므로 다음에 집중하겠습니다. CryptoNote의 기능을 소개합니다.

クリプトノートテクノロジー

Bitcoin テクノロジーの制限について説明したので、次は次の点に集中します。 CryptoNoteの機能を紹介します。

추적 불가능한 거래

이 섹션에서는 추적 불가능성과 두 가지 모두를 만족하는 완전 익명 거래 방식을 제안합니다. 및 연결 해제 조건. 우리 솔루션의 중요한 특징은 자율성입니다. 거래를 수행하기 위해 다른 사용자나 신뢰할 수 있는 제3자와 협력할 필요가 없습니다. 따라서 각 참가자는 독립적으로 커버 트래픽을 생성합니다. 4.1 문헌 검토 우리의 체계는 그룹 서명이라는 암호화 기본 요소에 의존합니다. 처음 발표한 사람 D. Chaum 및 E. van Heyst [19]를 사용하면 사용자가 그룹을 대신하여 메시지에 서명할 수 있습니다. 메시지에 서명한 후 사용자는 자신의 단일 공개가 아닌 (확인 목적으로) 제공합니다. 1이것은 소위 "소프트 제한", 즉 새 블록 생성에 대한 참조 클라이언트 제한입니다. 하드 최대값 가능한 블록 크기는 1MB였습니다. 4 필요한 경우 주요 단점이 발생합니다. 아쉽게도 언제 출시될지 예측하기 어렵습니다. 상수를 변경해야 할 수도 있고 이를 교체하면 끔찍한 결과를 초래할 수도 있습니다. 비참한 결과를 초래하는 하드코딩된 제한 변경의 좋은 예는 블록입니다. 크기 제한이 250kb1로 설정되었습니다. 이 한도는 약 10000개의 표준 트랜잭션을 보유하는 데 충분했습니다. 에서 2013년 초, 이 한도에 거의 도달했고, 이를 늘리기로 합의했습니다. 한계. 변경 사항은 지갑 버전 0.8에서 구현되었으며 24블록 체인 분할로 끝났습니다. 성공적인 이중 지출 공격 [9]. 버그는 Bitcoin 프로토콜에는 없었지만 오히려 데이터베이스 엔진에서는 간단한 스트레스 테스트를 통해 쉽게 발견할 수 있었습니다. 인위적으로 도입된 블록 크기 제한이 없습니다. 상수는 중앙집중화 지점의 역할도 합니다. P2P 성격에도 불구하고 Bitcoin, 압도적 다수의 노드가 개발한 공식 참조 클라이언트 [10]을 사용합니다. 소수의 사람들. 이 그룹은 프로토콜 변경을 구현하기로 결정합니다. 그리고 대부분의 사람들은 "정확성"에 관계없이 이러한 변경 사항을 받아들입니다. 일부 결정으로 인해 발생 열띤 토론을 벌이고 심지어 보이콧을 요구하기도 합니다 [11]. 이는 커뮤니티와 개발자는 몇 가지 중요한 사항에 동의하지 않을 수 있습니다. 따라서 프로토콜을 갖는 것이 논리적인 것 같습니다. 이러한 문제를 방지하기 위한 가능한 방법으로 사용자가 구성할 수 있고 자체 조정 가능한 변수를 사용합니다. 2.5 부피가 큰 스크립트 Bitcoin의 스크립팅 시스템은 무겁고 복잡한 기능입니다. 잠재적으로 다음을 만들 수 있습니다. 정교한 거래 [12]이지만 보안 문제로 인해 일부 기능이 비활성화되어 있으며 일부는 한 번도 사용된 적이 없습니다([13]). 스크립트(발신자 및 수신자 부분 모두 포함) Bitcoin에서 가장 인기 있는 거래는 다음과 같습니다. OP DUP OP HASH160 OP EQUALVERIFY OP CHECKSIG. 스크립트의 길이는 164바이트이지만 유일한 목적은 수신자가 해당 스크립트를 소유하고 있는지 확인하는 것입니다. 서명을 확인하려면 비밀 키가 필요합니다. 3 크립토노트 기술 이제 Bitcoin 기술의 한계를 다루었으므로 다음에 집중하겠습니다. CryptoNote의 기능을 소개합니다. 4 추적 불가능한 거래 이 섹션에서는 추적 불가능성과 두 가지 모두를 만족하는 완전 익명 거래 방식을 제안합니다. 및 연결 해제 조건. 우리 솔루션의 중요한 특징은 자율성입니다. 거래를 수행하기 위해 다른 사용자나 신뢰할 수 있는 제3자와 협력할 필요가 없습니다. 따라서 각 참가자는 독립적으로 커버 트래픽을 생성합니다. 4.1 문헌 검토 우리의 체계는 그룹 서명이라는 암호화 기본 요소에 의존합니다. 처음 발표한 사람 D. Chaum 및 E. van Heyst [19]를 사용하면 사용자가 그룹을 대신하여 메시지에 서명할 수 있습니다. 메시지에 서명한 후 사용자는 자신의 단일 공개가 아닌 (확인 목적으로) 제공합니다. 1이것은 소위 "소프트 제한", 즉 새 블록 생성에 대한 참조 클라이언트 제한입니다. 하드 최대값 가능한 블록 크기는 1MB였습니다. 4 7 돌이켜보면 코드에서 블록 크기를 고정된 제한으로 만든 것은 큰 실수였던 것 같습니다. Visa와 Mastercard는 수십만은 아니더라도 수천 건의 거래를 처리할 수 있습니다. 초당. 그러나 거래는 확률론적 과정으로 이루어지며, 때로는 대규모 폭발로 발생하기도 합니다. 때로는 몇 시간 동안 조용히 지내기도 합니다. 비트코인 거래량을 생각해 보세요. 필요할 때 블록 크기를 동적으로 늘리는 시스템을 설계하는 것은 멋진 아이디어처럼 보입니다. 증가된 트랜잭션 트래픽을 수용하고 필요한 경우 동적으로 트래픽을 줄입니다. 대역폭 효율성을 높입니다. 이제 해당 개념을 모든 시스템 매개변수에 적용하십시오. 그리고 우리가 통제 불능의 어획량 방지 시스템, 이 sh잘 될 것 같아요. https://github.com/bitcoin/bips/blob/master/bip-0050.mediawiki 앞서 언급했듯이 변수가 자체 조정되는 경우 일부 제어를 적용해야 합니다. 시스템이 통제 불능 상태로 진행되는 것을 방지합니다. 우리는 그것에 대해 알아볼 것입니다. 이것이 위키피디아 기사라면 "STUB"라는 라벨이 붙을 것입니다. 우리는 확실히 "Bitcoin의 문제점"을 소개하는 섹션에 대해 좀 더 자세히 설명하고 싶습니다. 왜? 간단한 "비밀 키 확인" 작업에 164바이트가 허용되지 않습니까? 얼마나 작아질 수 있나요? 합리적인 스크립팅 언어? 하지만 저는 컴퓨터 과학자는 아닙니다. http://download.springer.com/static/pdf/412/chp%253A10.1007%252F3-540-46416-6_22.pdf?auth66=140 설명된 대로 그룹 서명에는 그룹 관리자가 필요합니다. 그룹 관리자는 능력이 있습니다 서명자의 익명성을 취소합니다. 따라서 그룹에는 중앙 집중화가 내장되어 있습니다. 서명 방식.

키이지만 해당 그룹의 모든 사용자의 키입니다. 검증자는 실제 서명자가 서명자라고 확신합니다. 그룹의 구성원이지만 서명자를 독점적으로 식별할 수는 없습니다. 원래 프로토콜에는 신뢰할 수 있는 제3자(그룹 관리자라고 함)가 필요했으며 그는 서명자를 추적할 수 있는 유일한 사람. 링 시그니처라고 불리는 다음 버전이 소개되었습니다. Rivest et al. [34]에서는 그룹 관리자와 익명성이 없는 자율적 체계였습니다. 철회. 이 체계의 다양한 수정 사항은 나중에 나타났습니다. 연결 가능한 링 서명 [26, 27, 17] 동일한 그룹 구성원이 두 개의 서명을 생성했는지 확인할 수 있으며 추적 가능 링 서명 [24, 23]은 서명자를 추적할 수 있는 가능성을 제공하여 과도한 익명성을 제한했습니다. 동일한 메타정보(또는 [24] 측면에서 "태그")에 관한 두 개의 메시지입니다. 유사한 암호화 구성은 임시 그룹 서명으로도 알려져 있습니다[16, 38]. 그것 임의의 그룹 형성을 강조하는 반면, 그룹/링 서명 방식은 오히려 고정된 멤버 집합입니다. 대부분의 경우 당사의 솔루션은 E. Fujisaki의 "Traceable ring Signature" 작업을 기반으로 합니다. K. 스즈키 [24]. 원래 알고리즘과 수정된 알고리즘을 구별하기 위해 후자를 일회성 링 서명이라고 부르며 사용자가 유효한 하나만 생성할 수 있는 능력을 강조합니다. 그의 개인 키로 서명합니다. 추적성을 약화시키고 연계성을 유지했습니다. 일회성을 제공하기 위해서만: 공개 키는 많은 외부 검증 세트에 나타날 수 있으며 개인 키는 고유한 익명 서명을 생성하는 데 사용될 수 있습니다. 이중 지출이 발생한 경우 이 두 서명을 서로 연결하려고 시도하지만 서명자를 공개할 필요는 없습니다. 우리의 목적을 위해. 4.2 정의 4.2.1 타원 곡선 매개변수 우리의 기본 서명 알고리즘으로 우리는 개발되고 개발된 빠른 체계 EdDSA를 사용하기로 선택했습니다. D.J.에 의해 구현되었습니다. Bernsteinet al. [18]. Bitcoin의 ECDSA와 마찬가지로 타원 곡선을 기반으로 합니다. 이산 로그 문제이므로 향후 Bitcoin에도 우리의 방식을 적용할 수 있습니다. 공통 매개변수는 다음과 같습니다. q: 소수; q = 2255 -19; d: Fq의 요소; d = -121665/121666; E: 타원 곡선 방정식; -x2 + y2 = 1 + dx2y2; G: 기준점; G = (x, -4/5); l: 기준점의 소차수; l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 암호화 hash 함수 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 결정론적 hash 함수 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\). 4.2.2 용어 강화된 개인 정보 보호에는 Bitcoin 엔터티와 혼동해서는 안 되는 새로운 용어가 필요합니다. 개인 ec-key는 표준 타원 곡선 개인 키입니다. 숫자 \(a \in [1, l - 1]\); 공개 ec-키는 표준 타원 곡선 공개 키입니다. 점 A = aG; 일회용 키 쌍은 개인 및 공개 EC 키 쌍입니다. 5 키이지만 해당 그룹의 모든 사용자의 키입니다. 검증자는 실제 서명자가 서명자라고 확신합니다. 그룹의 구성원이지만 서명자를 독점적으로 식별할 수는 없습니다. 원래 프로토콜에는 신뢰할 수 있는 제3자(그룹 관리자라고 함)가 필요했으며 그는 서명자를 추적할 수 있는 유일한 사람. 링 시그니처라고 불리는 다음 버전이 소개되었습니다. Rivest et al. [34]에서는 그룹 관리자와 익명성이 없는 자율적 체계였습니다. 철회. 이 체계의 다양한 수정 사항은 나중에 나타났습니다. 연결 가능한 링 서명 [26, 27, 17] 동일한 그룹 구성원이 두 개의 서명을 생성했는지 확인할 수 있으며 추적 가능 링 서명 [24, 23]은 서명자를 추적할 수 있는 가능성을 제공하여 과도한 익명성을 제한했습니다. 동일한 메타 정보(또는 [24] 측면에서 "태그")에 관한 두 개의 메시지입니다. 유사한 암호화 구성은 임시 그룹 서명으로도 알려져 있습니다[16, 38]. 그것 임의의 그룹 형성을 강조하는 반면, 그룹/링 서명 방식은 오히려 고정된 멤버 집합입니다. 대부분의 경우 당사의 솔루션은 E. Fujisaki의 "Traceable ring Signature" 작업을 기반으로 합니다. K. 스즈키 [24]. 원래 알고리즘과 수정된 알고리즘을 구별하기 위해 후자를 일회성 링 서명이라고 부르며 사용자가 유효한 하나만 생성할 수 있는 능력을 강조합니다. 그의 개인 키로 서명합니다. 추적성을 약화시키고 연계성을 유지했습니다. 일회성을 제공하기 위해서만: 공개 키는 많은 외부 검증 세트에 나타날 수 있으며 개인 키는 고유한 익명 서명을 생성하는 데 사용될 수 있습니다. 이중 지출이 발생한 경우 이 두 서명을 서로 연결하려고 시도하지만 서명자를 공개할 필요는 없습니다. 우리의 목적을 위해. 4.2 정의 4.2.1 타원 곡선 매개변수 기본 서명 알고리즘으로 우리는 다음을 선택했습니다.e 개발된 빠른 구성표 EdDSA를 사용합니다. D.J.에 의해 구현되었습니다. Bernsteinet al. [18]. Bitcoin의 ECDSA와 마찬가지로 타원 곡선을 기반으로 합니다. 이산 로그 문제이므로 향후에는 Bitcoin에도 우리 계획을 적용할 수 있습니다. 공통 매개변수는 다음과 같습니다. q: 소수; q = 2255 -19; d: Fq의 요소; d = -121665/121666; E: 타원 곡선 방정식; -x2 + y2 = 1 + dx2y2; G: 기준점; G = (x, -4/5); l: 기준점의 소차수; l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 암호화 hash 함수 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 결정론적 hash 함수 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\). 4.2.2 용어 강화된 개인 정보 보호에는 Bitcoin 항목과 혼동해서는 안 되는 새로운 용어가 필요합니다. 개인 ec-key는 표준 타원 곡선 개인 키입니다. 숫자 \(a \in [1, l - 1]\); 공개 ec-키는 표준 타원 곡선 공개 키입니다. 점 A = aG; 일회용 키 쌍은 개인 및 공개 EC 키 쌍입니다. 5 8 링 서명은 다음과 같이 작동합니다. Alex는 자신의 고용주에 대한 메시지를 WikiLeaks에 유출하려고 합니다. 회사의 모든 직원은 개인/공개 키 쌍(Ri, Ui)을 가지고 있습니다. 그녀는 작곡을 한다 입력이 그녀의 메시지로 설정된 그녀의 서명, m, 그녀의 개인 키, Ri 및 EVERYBODY의 공개 키(Ui;i=1...n). 개인 키를 모르더라도 누구나 쉽게 확인할 수 있습니다. 일부 쌍(Rj, Uj)이 서명을 구성하는 데 사용되었을 것입니다... 일하는 사람 Alex의 고용주에게는... 하지만 그것이 어느 회사인지 알아내는 것은 본질적으로 무작위 추측입니다. http://en.wikipedia.org/wiki/Ring_signature#Crypto-currencies http://link.springer.com/chapter/10.1007/3-540-45682-1_32#page-1 http://link.springer.com/chapter/10.1007/11424826_65 http://link.springer.com/chapter/10.1007/978-3-540-27800-9_28 http://link.springer.com/chapter/10.1007%2F11774716_9 여기에 설명된 연결 가능한 링 서명은 "연결 해제 가능"과 반대되는 개념입니다. 위에서 설명한. 여기서는 두 개의 메시지를 가로채서 동일한지 여부를 확인할 수 있습니다. 당사자가 보낸 것입니다. 하지만 그 당사자가 누구인지는 아직 확인할 수 없습니다. 는 Cryptonote를 구성하는 데 사용된 "연결 불가능"의 정의는 우리가 여부를 결정할 수 없음을 의미합니다. 같은 당사자가 그것을 받고 있습니다. 따라서 여기서 우리가 실제로 알고 있는 것은 네 가지 일이 진행되고 있다는 것입니다. 시스템은 연결 가능하거나 연결 불가능, 발신인 여부를 판단할 수 있는지 여부에 따라 다름 두 메시지가 동일합니다(익명성 취소가 필요한지 여부에 관계 없음). 그리고 시스템은 연결 해제가 가능한지 여부에 따라 연결 해제되거나 연결 해제되지 않을 수 있습니다. 두 메시지의 수신자가 동일한지 여부를 확인합니다(여부에 관계 없음). 이를 위해서는 익명성을 취소해야 합니다.) 이 끔찍한 용어 때문에 나를 비난하지 마십시오. 그래프 이론가들은 아마도 기뻐요. 여러분 중에는 "수신자 연결 가능"과 "발신자 연결 가능"이 더 편할 수도 있습니다. http://link.springer.com/chapter/10.1007/978-3-540-71677-8_13 이 내용을 읽어보니 정말 말도 안 되는 기능인 것 같았습니다. 그런 다음 그것이 다음의 기능일 수 있다는 것을 읽었습니다. 전자투표를 했는데 그게 말이 되는 것 같았어요. 그런 관점에서 보면 좀 멋지네요. 하지만 나는 추적 가능한 링 서명을 의도적으로 구현하는 것에 대해 완전히 확신하지 못합니다. http://search.ieice.org/bin/summary.php?id=e95-a_1_151

키이지만 해당 그룹의 모든 사용자의 키입니다. 검증자는 실제 서명자가 서명자라고 확신합니다. 그룹의 구성원이지만 서명자를 독점적으로 식별할 수는 없습니다. 원래 프로토콜에는 신뢰할 수 있는 제3자(그룹 관리자라고 함)가 필요했으며 그는 서명자를 추적할 수 있는 유일한 사람. 링 시그니처라고 불리는 다음 버전이 소개되었습니다. Rivest et al. [34]에서는 그룹 관리자와 익명성이 없는 자율적 체계였습니다. 철회. 이 체계의 다양한 수정 사항은 나중에 나타났습니다. 연결 가능한 링 서명 [26, 27, 17] 동일한 그룹 구성원이 두 개의 서명을 생성했는지 확인할 수 있으며 추적 가능 링 서명 [24, 23]은 서명자를 추적할 수 있는 가능성을 제공하여 과도한 익명성을 제한했습니다. 동일한 메타정보(또는 [24]의 관점에서 "태그")에 관한 두 개의 메시지입니다. 유사한 암호화 구성은 임시 그룹 서명으로도 알려져 있습니다[16, 38]. 그것 임의의 그룹 형성을 강조하는 반면, 그룹/링 서명 방식은 오히려 고정된 멤버 집합입니다. 대부분의 경우 당사의 솔루션은 E. Fujisaki의 "Traceable ring Signature" 작업을 기반으로 합니다. K. 스즈키 [24]. 원래 알고리즘과 수정된 알고리즘을 구별하기 위해 후자를 일회성 링 서명이라고 부르며 사용자가 유효한 하나만 생성할 수 있는 능력을 강조합니다. 그의 개인 키로 서명합니다. 추적성을 약화시키고 연계성을 유지했습니다. 일회성을 제공하기 위해서만: 공개 키는 많은 외부 검증 세트에 나타날 수 있으며 개인 키는 고유한 익명 서명을 생성하는 데 사용될 수 있습니다. 이중 지출이 발생한 경우 이 두 서명을 서로 연결하려고 시도하지만 서명자를 공개할 필요는 없습니다. 우리의 목적을 위해. 4.2 정의 4.2.1 타원 곡선 매개변수 우리의 기본 서명 알고리즘으로 우리는 개발되고 개발된 빠른 체계 EdDSA를 사용하기로 선택했습니다. D.J.에 의해 구현되었습니다. Bernsteinet al. [18]. Bitcoin의 ECDSA와 마찬가지로 타원 곡선을 기반으로 합니다. 이산 로그 문제이므로 우리의 방식은 향후 Bitcoin에도 적용될 수 있습니다. 공통 매개변수는 다음과 같습니다. q: 소수; q = 2255 -19; d: Fq의 요소; d = -121665/121666; E: 타원 곡선 방정식; -x2 + y2 = 1 + dx2y2; G: 기준점; G = (x, -4/5); l: 기준점의 소차수; l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 암호화 hash 함수 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 결정론적 hash 함수 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\). 4.2.2 용어 강화된 개인 정보 보호에는 Bitcoin 항목과 혼동해서는 안 되는 새로운 용어가 필요합니다. 개인 ec-key는 표준 타원 곡선 개인 키입니다. 숫자 \(a \in [1, l - 1]\); 공개 ec-키는 표준 타원 곡선 공개 키입니다. 점 A = aG; 일회용 키 쌍은 개인 및 공개 EC 키 쌍입니다. 5 키이지만 해당 그룹의 모든 사용자의 키입니다. 검증자는 실제 서명자가 서명자라고 확신합니다. 그룹의 구성원이지만 서명자를 독점적으로 식별할 수는 없습니다. 원래 프로토콜에는 신뢰할 수 있는 제3자(그룹 관리자라고 함)가 필요했으며 그는 서명자를 추적할 수 있는 유일한 사람. 링 시그니처라고 불리는 다음 버전이 소개되었습니다. Rivest et al. [34]에서는 그룹 관리자와 익명성이 없는 자율적 체계였습니다. 철회. 이 체계의 다양한 수정 사항은 나중에 나타났습니다. 연결 가능한 링 서명 [26, 27, 17] 동일한 그룹 구성원이 두 개의 서명을 생성했는지 확인할 수 있으며 추적 가능 링 서명 [24, 23]은 서명자를 추적할 수 있는 가능성을 제공하여 과도한 익명성을 제한했습니다. 동일한 메타정보(또는 [24] 측면에서 "태그")에 관한 두 개의 메시지입니다. 유사한 암호화 구성은 임시 그룹 서명으로도 알려져 있습니다[16, 38]. 그것 임의의 그룹 형성을 강조하는 반면, 그룹/링 서명 방식은 오히려 고정된 멤버 집합입니다. 대부분의 경우 당사의 솔루션은 E. Fujisaki의 "Traceable ring Signature" 작업을 기반으로 합니다. K. 스즈키 [24]. 원래 알고리즘과 수정된 알고리즘을 구별하기 위해 후자를 일회성 링 서명이라고 부르며 사용자가 유효한 하나만 생성할 수 있는 능력을 강조합니다. 그의 개인 키로 서명합니다. 추적성을 약화시키고 연계성을 유지했습니다. 일회성을 제공하기 위해서만: 공개 키는 많은 외부 검증 세트에 나타날 수 있으며 개인 키는 고유한 익명 서명을 생성하는 데 사용될 수 있습니다. 이중 지출이 발생한 경우 이 두 서명을 서로 연결하려고 시도하지만 서명자를 공개할 필요는 없습니다. 우리의 목적을 위해. 4.2 정의 4.2.1 타원 곡선 매개변수 기본 서명 알고리즘으로 우리는 다음을 선택했습니다.e 개발된 빠른 구성표 EdDSA를 사용합니다. D.J.에 의해 구현되었습니다. Bernsteinet al. [18]. Bitcoin의 ECDSA와 마찬가지로 타원 곡선을 기반으로 합니다. 이산 로그 문제이므로 향후 Bitcoin에도 우리 계획을 적용할 수 있습니다. 공통 매개변수는 다음과 같습니다. q: 소수; q = 2255 -19; d: Fq의 요소; d = -121665/121666; E: 타원 곡선 방정식; -x2 + y2 = 1 + dx2y2; G: 기준점; G = (x, -4/5); l: 기준점의 소차수; l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 암호화 hash 함수 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 결정론적 hash 함수 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\). 4.2.2 용어 강화된 개인 정보 보호에는 Bitcoin 항목과 혼동해서는 안 되는 새로운 용어가 필요합니다. 개인 ec-key는 표준 타원 곡선 개인 키입니다. 숫자 \(a \in [1, l - 1]\); 공개 ec-키는 표준 타원 곡선 공개 키입니다. 점 A = aG; 일회용 키 쌍은 개인 및 공개 EC 키 쌍입니다. 5 9 이 백서의 작성자인 맙소사, 이 내용을 더 잘 표현했을 수도 있겠네요! 다음과 같이 말해보자 직원 소유 회사는 특정 신규 인수 여부에 대해 투표를 원합니다. 자산이며 Alex와 Brenda는 모두 직원입니다. 회사는 각 직원에게 "나는 발의안 A에 찬성 투표합니다!"와 같은 메시지 메타정보 "문제"가 있는 [PROP A] 제안을 지지하는 경우 추적 가능한 링 서명으로 서명하도록 요청합니다. 전통적인 링 서명을 사용하면 부정직한 직원이 메시지에 여러 번 서명할 수 있습니다. 아마도 원하는 만큼 여러 번 투표하기 위해 다른 nonce을 사용했을 것입니다. 다른 한편으로는 추적 가능한 링 서명 체계에서 Alex는 투표에 참여하고 그녀의 개인 키는 문제 [PROP A]에 사용되었습니다. Alex가 "저, Brenda가 승인합니다"와 같은 메시지에 서명하려고 하면 제안 A!" Brenda를 "프레임"하고 두 번 투표하려면 이 새 메시지에도 문제가 있습니다. [발의안 A]. Alex의 개인 키는 이미 [PROP A] 문제를 해결했으므로 Alex의 신원은 사기로 즉시 밝혀집니다. 솔직히 말해서 꽤 멋지네요! 암호화는 투표 평등을 강요했습니다. http://link.springer.com/chapter/10.1007/978-3-540-71677-8_13 이 문서는 흥미롭습니다. 기본적으로 임시 링 서명을 생성하지만 다른 참가자의 동의. 서명의 구조는 다를 수 있습니다. 난 파본 적 없어 깊고 안전한지 확인하지 못했습니다. https://people.csail.mit.edu/rivest/AdidaHohenbergerRivest-AdHocGroupSignaturesFromHijackedKeypai 임시 그룹 서명은 다음과 같습니다. 그룹이 없는 그룹 시그니처인 링 시그니처 중앙 집중화는 없지만 임시 그룹의 구성원이 다음과 같이 주장할 수 있도록 허용합니다. 그룹을 대신하여 익명 서명을 발행하지 않았습니다. http://link.springer.com/chapter/10.1007/11908739_9 내 이해로는 이것은 정확하지 않습니다. 그리고 내 이해는 다음과 같이 바뀔 것입니다. 저는 이 프로젝트에 더 깊이 빠져들었습니다. 하지만 제가 이해한 바에 따르면 계층 구조는 다음과 같습니다. 그룹 서명: 그룹 관리자는 추적성과 구성원 추가 또는 제거 기능을 제어합니다. 서명자이기 때문에. 링시그(Ring sigs): 그룹 매니저 없이 임의로 그룹을 구성하는 것. 익명성 철회는 없습니다. 특정 서명에서 자신을 부인할 방법이 없습니다. 추적 가능하고 연결 가능한 링 포함 서명, 익명성은 어느 정도 확장 가능합니다. 임시 그룹 서명: 링 서명과 유사하지만 구성원은 자신이 생성하지 않았음을 증명할 수 있습니다. 특정 서명. 이는 그룹의 누구나 서명을 생성할 수 있는 경우 중요합니다. http://link.springer.com/chapter/10.1007/978-3-540-71677-8_13 Fujisaki와 Suzuki의 알고리즘은 나중에 저자가 일회성을 제공하기 위해 조정했습니다. 그래서 우리는 새로운 알고리즘과 함께 Fujisaki와 Suzuki의 알고리즘을 동시에 분석할 것입니다. 여기에서 검토하는 것보다

키이지만 해당 그룹의 모든 사용자의 키입니다. 검증자는 실제 서명자가 서명자라고 확신합니다. 그룹의 구성원이지만 서명자를 독점적으로 식별할 수는 없습니다. 원래 프로토콜에는 신뢰할 수 있는 제3자(그룹 관리자라고 함)가 필요했으며 그는 서명자를 추적할 수 있는 유일한 사람. 링 시그니처라고 불리는 다음 버전이 소개되었습니다. Rivest et al. [34]에서는 그룹 관리자와 익명성이 없는 자율적 체계였습니다. 철회. 이 체계의 다양한 수정 사항은 나중에 나타났습니다. 연결 가능한 링 서명 [26, 27, 17] 동일한 그룹 구성원이 두 개의 서명을 생성했는지 확인할 수 있으며 추적 가능 링 서명 [24, 23]은 서명자를 추적할 수 있는 가능성을 제공하여 과도한 익명성을 제한했습니다. 동일한 메타정보(또는 [24]의 관점에서 "태그")에 관한 두 개의 메시지입니다. 유사한 암호화 구성은 임시 그룹 서명으로도 알려져 있습니다[16, 38]. 그것 임의의 그룹 형성을 강조하는 반면, 그룹/링 서명 방식은 오히려 고정된 멤버 집합입니다. 대부분의 경우 당사의 솔루션은 E. Fujisaki의 "Traceable ring Signature" 작업을 기반으로 합니다. K. 스즈키 [24]. 원래 알고리즘과 수정된 알고리즘을 구별하기 위해 후자를 일회성 링 서명이라고 부르며 사용자가 유효한 하나만 생성할 수 있는 능력을 강조합니다. 그의 개인 키로 서명합니다. 추적성을 약화시키고 연계성을 유지했습니다. 일회성을 제공하기 위해서만: 공개 키는 많은 외부 검증 세트에 나타날 수 있으며 개인 키는 고유한 익명 서명을 생성하는 데 사용될 수 있습니다. 이중 지출이 발생한 경우 이 두 서명을 서로 연결하려고 시도하지만 서명자를 공개할 필요는 없습니다. 우리의 목적을 위해. 4.2 정의 4.2.1 타원 곡선 매개변수 우리의 기본 서명 알고리즘으로 우리는 개발되고 개발된 빠른 체계 EdDSA를 사용하기로 선택했습니다. D.J.에 의해 구현되었습니다. Bernsteinet al. [18]. Bitcoin의 ECDSA와 마찬가지로 타원 곡선을 기반으로 합니다. 이산 로그 문제이므로 향후에는 Bitcoin에도 우리의 방식을 적용할 수 있습니다. 공통 매개변수는 다음과 같습니다. q: 소수; q = 2255 -19; d: Fq의 요소; d = -121665/121666; E: 타원 곡선 방정식; -x2 + y2 = 1 + dx2y2; G: 기준점; G = (x, -4/5); l: 기준점의 소차수; l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 암호화 hash 함수 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 결정론적 hash 함수 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\). 4.2.2 용어 강화된 개인 정보 보호에는 Bitcoin 엔터티와 혼동해서는 안 되는 새로운 용어가 필요합니다. 개인 ec-key는 표준 타원 곡선 개인 키입니다. 숫자 \(a \in [1, l - 1]\); 공개 ec-키는 표준 타원 곡선 공개 키입니다. 점 A = aG; 일회용 키 쌍은 개인 및 공개 EC 키 쌍입니다. 5 키이지만 해당 그룹의 모든 사용자의 키입니다. 검증자는 실제 서명자가 서명자라고 확신합니다. 그룹의 구성원이지만 서명자를 독점적으로 식별할 수는 없습니다. 원래 프로토콜에는 신뢰할 수 있는 제3자(그룹 관리자라고 함)가 필요했으며 그는 서명자를 추적할 수 있는 유일한 사람. 링 시그니처라고 불리는 다음 버전이 소개되었습니다. Rivest et al. [34]에서는 그룹 관리자와 익명성이 없는 자율적 체계였습니다. 철회. 이 체계의 다양한 수정 사항은 나중에 나타났습니다. 연결 가능한 링 서명 [26, 27, 17] 동일한 그룹 구성원이 두 개의 서명을 생성했는지 확인할 수 있으며 추적 가능 링 서명 [24, 23]은 서명자를 추적할 수 있는 가능성을 제공하여 과도한 익명성을 제한했습니다. 동일한 메타정보(또는 [24] 측면에서 "태그")에 관한 두 개의 메시지입니다. 유사한 암호화 구성은 임시 그룹 서명으로도 알려져 있습니다[16, 38]. 그것 임의의 그룹 형성을 강조하는 반면, 그룹/링 서명 방식은 오히려 고정된 멤버 집합입니다. 대부분의 경우 당사의 솔루션은 E. Fujisaki의 "Traceable ring Signature" 작업을 기반으로 합니다. K. 스즈키 [24]. 원래 알고리즘과 수정된 알고리즘을 구별하기 위해 후자를 일회성 링 서명이라고 부르며 사용자가 유효한 하나만 생성할 수 있는 능력을 강조합니다. 그의 개인 키로 서명합니다. 추적성을 약화시키고 연계성을 유지했습니다. 일회성을 제공하기 위해서만: 공개 키는 많은 외부 검증 세트에 나타날 수 있으며 개인 키는 고유한 익명 서명을 생성하는 데 사용될 수 있습니다. 이중 지출이 발생한 경우 이 두 서명을 서로 연결하려고 시도하지만 서명자를 공개할 필요는 없습니다. 우리의 목적을 위해. 4.2 정의 4.2.1 타원 곡선 매개변수 기본 서명 알고리즘으로 우리는 다음을 선택했습니다.e 개발된 빠른 구성표 EdDSA를 사용합니다. D.J.에 의해 구현되었습니다. Bernsteinet al. [18]. Bitcoin의 ECDSA와 마찬가지로 타원 곡선을 기반으로 합니다. 이산 로그 문제이므로 향후 Bitcoin에도 우리 계획을 적용할 수 있습니다. 공통 매개변수는 다음과 같습니다. q: 소수; q = 2255 -19; d: Fq의 요소; d = -121665/121666; E: 타원 곡선 방정식; -x2 + y2 = 1 + dx2y2; G: 기준점; G = (x, -4/5); l: 기준점의 소차수; l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 암호화 hash 함수 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 결정론적 hash 함수 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\). 4.2.2 용어 강화된 개인 정보 보호에는 Bitcoin 항목과 혼동해서는 안 되는 새로운 용어가 필요합니다. 개인 ec-key는 표준 타원 곡선 개인 키입니다. 숫자 \(a \in [1, l - 1]\); 공개 ec-키는 표준 타원 곡선 공개 키입니다. 점 A = aG; 일회용 키 쌍은 개인 및 공개 EC 키 쌍입니다. 5 10 "연결 가능한 링 서명"이라는 의미에서 연결 가능성은 소스가 누구인지 밝히지 않고도 두 개의 나가는 트랜잭션이 동일한 소스에서 왔는지 알 수 있음을 의미합니다. 작성자가 약해졌네요 (a) 프라이버시를 보호하면서도 (b) 개인 키를 사용하여 모든 거래를 찾아낼 수 있는 연결성 두 번째로 유효하지 않습니다. 좋아요, 이것은 사건 순서에 관한 질문입니다. 다음 시나리오를 고려해보세요. 내 채굴 컴퓨터는 현재 blockchain을 갖게 되며, 호출하는 자체 트랜잭션 블록을 갖게 됩니다. 적법한 경우 proof-of-work 퍼즐의 해당 블록에 대해 작업할 것이며 다음 블록에 추가될 보류 중인 거래 목록입니다. 그것은 또한 새로운 것을 보낼 것입니다 보류 중인 트랜잭션 풀에 트랜잭션을 추가합니다. 다음 블록을 해결하지 못하더라도 다른 사람이 알고 있다면 나는 blockchain의 업데이트된 사본을 받습니다. 제가 작업하던 블록과 내 보류 중인 거래 목록에는 둘 다 현재 통합된 일부 거래가 있을 수 있습니다. blockchain에. 보류 중인 블록을 풀고 이를 보류 중인 거래 목록과 결합하여 호출합니다. 내 보류 중인 거래 풀입니다. 현재 blockchain에 공식적으로 있는 항목을 모두 제거하세요. 이제 어떻게 해야 할까요? 먼저 "모든 이중 지출을 제거"해야 합니까? 다른 한편으로는 목록을 검색하여 각 개인 키가 아직 등록되지 않았는지 확인해야 할까요? 사용되었으며 내 목록에 이미 사용된 경우 첫 번째 사본을 먼저 받은 것이므로 더 이상의 사본은 불법입니다. 따라서 나는 첫 번째 인스턴스 이후의 모든 인스턴스를 간단히 삭제합니다. 동일한 개인 키의. 대수 기하학은 결코 나의 장점이 아니었습니다. http://en.wikipedia.org/wiki/EdDSA 이런 속도라니, 와우. 이것은 승리를 위한 대수 기하학입니다. 아무것도 알 수 없을 것 같아 그것에 대해. 문제가 있든 없든 개별 로그는 매우 빨라지고 있습니다. 그리고 양자 컴퓨터는 그것을 먹습니다 아침 식사를 위해. http://link.springer.com/article/10.1007/s13389-012-0027-1 이게 정말 중요한 숫자가 되는데, 어떻게 그렇게 되었는지에 대한 설명이나 인용이 없습니다. 선택되었습니다. 단순히 하나의 알려진 큰 소수를 선택하는 것은 괜찮지만, 알려진 소수가 있다면 이 큰 소수에 관한 사실은 우리의 선택에 영향을 미칠 수 있습니다. 크립토노트의 다양한 변종 다른 값을 선택할 수 있습니다. 하지만 이 논문에서는 그것이 어떻게 이루어지는지에 대한 논의가 없습니다. 선택은 5페이지에 나열된 다른 전역 매개변수의 선택에 영향을 미칩니다. 이 문서에는 매개변수 값 선택에 대한 섹션이 필요합니다.

개인 사용자 키는 두 개의 서로 다른 개인 EC 키의 쌍(a, b)입니다. 추적 키는 개인 및 공개 ec-키의 쌍(a, B)입니다(여기서 B = bG 및 a ̸= b). 공개 사용자 키는 (a, b)에서 파생된 두 공개 EC 키의 쌍 (A, B)입니다. 표준 주소는 인간에게 친숙한 문자열로 제공되는 공개 사용자 키를 나타냅니다. 오류 수정 포함; 잘린 주소는 주어진 공개 사용자 키의 후반부(B 지점)를 나타냅니다. 오류 수정을 통해 인간 친화적인 문자열로 변환됩니다. 거래 구조는 Bitcoin의 구조와 유사합니다. 모든 사용자가 선택할 수 있습니다. 여러 개의 독립적인 입금(거래 출력)에 해당하는 서명을 합니다. 개인 키를 다른 목적지로 보냅니다. 사용자가 고유한 개인 키와 공개 키를 소유하는 Bitcoin 모델과 달리 제안된 모델은 발신자가 수신자의 주소를 기반으로 일회성 공개 키를 생성하고 임의의 데이터. 이러한 의미에서 동일한 수신자에게 들어오는 거래는 다음으로 전송됩니다. 일회성 공개 키(고유 주소에 직접 연결되지 않음)이며 수신자만 복구할 수 있습니다. (그의 고유한 개인 키를 사용하여) 그의 자금을 상환하기 위한 해당 개인 부분. 수신자는 다음을 수행할 수 있습니다. 링 서명을 사용하여 자금을 지출하고 소유권과 실제 지출을 익명으로 유지합니다. 프로토콜의 세부 사항은 다음 하위 섹션에서 설명됩니다. 4.3 연결할 수 없는 결제 클래식 Bitcoin 주소는 일단 게시되면 수신되는 주소의 명확한 식별자가 됩니다. 이를 서로 연결하고 수신자의 가명과 연결합니다. 누군가가 원한다면 "연결되지 않은" 거래를 받은 경우 개인 채널을 통해 보낸 사람에게 자신의 주소를 전달해야 합니다. 동일한 소유자의 소유임을 입증할 수 없는 다른 거래를 수신하려는 경우 그는 모든 다른 주소를 생성해야 하며 절대 자신의 가명으로 게시하지 않아야 합니다. 공개 비공개 앨리스 캐롤 Bob의 주소 1 Bob의 주소 2 밥의 열쇠 1 밥의 열쇠 2 밥 그림 2. 전통적인 Bitcoin 키/트랜잭션 모델. 우리는 사용자가 단일 주소를 게시하고 무조건 수신할 수 있는 솔루션을 제안합니다. 연결할 수 없는 결제. 각 CryptoNote 출력의 대상(기본적으로)은 공개 키입니다. 수신자의 주소와 발신자의 임의 데이터에서 파생됩니다. Bitcoin에 대한 주요 이점 모든 대상 키는 기본적으로 고유합니다(발신자가 각각에 대해 동일한 데이터를 사용하지 않는 한). 동일한 수신자에게 자신의 거래를 보냅니다). 따라서 "주소 재사용"과 같은 문제는 없습니다. 설계되었으며 어떤 관찰자도 거래가 특정 주소나 링크로 전송되었는지 확인할 수 없습니다. 두 개의 주소를 함께 사용합니다. 6 개인 사용자 키는 두 개의 서로 다른 개인 EC 키의 쌍(a, b)입니다. 추적 키는 개인 및 공개 ec-키의 쌍(a, B)입니다(여기서 B = bG 및 a ̸= b). 공개 사용자 키는 (a, b)에서 파생된 두 공개 EC 키의 쌍 (A, B)입니다. 표준 주소는 인간에게 친숙한 문자열로 제공되는 공개 사용자 키를 나타냅니다. 오류 수정 포함; 잘린 주소는 주어진 공개 사용자 키의 후반부(B 지점)를 나타냅니다. 오류 수정을 통해 인간 친화적인 문자열로 변환됩니다. 거래 구조는 Bitcoin의 구조와 유사합니다. 모든 사용자가 선택할 수 있습니다. 여러 개의 독립적인 입금(거래 출력)에 해당하는 서명을 합니다. 개인 키를 다른 목적지로 보냅니다. 사용자가 고유한 개인 키와 공개 키를 소유하는 Bitcoin의 모델과 달리 제안된 모델은 발신자가 수신자의 주소를 기반으로 일회성 공개 키를 생성하고 임의의 데이터. 이러한 의미에서 동일한 수신자에게 들어오는 거래는 다음으로 전송됩니다. 일회성 공개 키(고유 주소에 직접 연결되지 않음)이며 수신자만 복구할 수 있습니다. (그의 고유한 개인 키를 사용하여) 그의 자금을 상환하기 위한 해당 개인 부분. 수신자는 다음을 수행할 수 있습니다. 링 서명을 사용하여 자금을 지출하고 소유권과 실제 지출을 익명으로 유지합니다. 프로토콜의 세부 사항은 다음 하위 섹션에서 설명됩니다. 4.3 연결할 수 없는 결제 클래식 Bitcoin 주소는 일단 게시되면 수신되는 주소의 명확한 식별자가 됩니다. 이를 서로 연결하고 수신자의 가명과 연결합니다. 누군가가 원한다면 "연결되지 않은" 거래를 받은 경우 개인 채널을 통해 보낸 사람에게 자신의 주소를 전달해야 합니다. 동일한 소유자의 소유임을 입증할 수 없는 다른 거래를 수신하려는 경우 그는 모든 다른 주소를 생성해야 하며 절대 자신의 가명으로 게시하지 않아야 합니다. 공개 비공개 앨리스 캐롤 Bob의 주소 1 Bob의 주소 2 밥의 열쇠 1 밥의 열쇠 2 밥 그림 2. 기존 Bitcoin 키/트랜잭션 모드엘자. 우리는 사용자가 단일 주소를 게시하고 무조건 수신할 수 있는 솔루션을 제안합니다. 연결할 수 없는 결제. 각 CryptoNote 출력의 대상(기본적으로)은 공개 키입니다. 수신자의 주소와 발신자의 임의 데이터에서 파생됩니다. Bitcoin에 대한 주요 이점 모든 대상 키는 기본적으로 고유합니다(발신자가 각각에 대해 동일한 데이터를 사용하지 않는 한). 동일한 수신자에게 자신의 거래를 보냅니다). 따라서 "주소 재사용"과 같은 문제는 없습니다. 설계되었으며 어떤 관찰자도 거래가 특정 주소나 링크로 전송되었는지 확인할 수 없습니다. 두 개의 주소를 함께 사용합니다. 6 11 따라서 이것은 Bitcoin와 비슷하지만 수신자만 사용할 수 있는 무한한 익명의 사서함이 있습니다. 링 서명만큼 익명인 개인 키를 생성할 수 있습니다. Bitcoin은 이런 방식으로 작동합니다. Alex가 Frank로부터 방금 받은 지갑에 0.112 Bitcoin이 있다면 실제로 서명이 있는 것입니다. 메시지 "나, [FRANK]는 0.112 Bitcoin을 [alex] + H0 + N0으로 보냅니다." 여기서 1) Frank가 서명했습니다. 2) Frank가 Alex의 공개 키로 메시지에 서명했습니다. key, [alex], 3) Frank는 비트코인 역사의 일부 형태를 포함했습니다. H0, 4) Frank nonce, N0이라는 임의의 데이터 비트가 포함되어 있습니다. Alex가 Charlene에게 0.011 Bitcoin를 보내고 싶다면 그녀는 Frank의 메시지를 받게 될 것입니다. 이를 H1으로 설정하고 두 개의 메시지에 서명합니다. 하나는 거래용이고 다른 하나는 변경용입니다. H1= "나, [FRANK], 0.112 Bitcoin을 [alex] + H0 + N으로 보냅니다." "나, [ALEX], 0.011 Bitcoin을 [alex]로 보냅니다. [charlene] + H1 + N1" "I, [ALEX]는 [alex] + H1 + N2에 대한 변경으로 0.101 Bitcoin을 보냅니다." Alex는 자신의 개인 키 [ALEX]로 두 메시지에 모두 서명합니다. 첫 번째 메시지는 Charlene의 메시지입니다. 공개 키 [charlene], Alex의 공개 키 [alex]가 포함된 두 번째 메시지, 기록과 일부 무작위로 생성된 nonces N1 및 N2가 적절하게 생성됩니다. Cryptonote는 다음과 같이 작동합니다. Alex가 방금 Frank로부터 받은 지갑에 0.112 Cryptonote가 있다면 실제로 서명된 0.112 암호화폐가 있는 것입니다. "나 [임시 그룹에 속한 사람]은 [일회성 주소] + H0으로 0.112 크립토노트를 보냅니다. + N0." Alex는 자신의 개인 키 [ALEX]를 확인하여 이것이 자신의 돈이라는 것을 발견했습니다. 전달되는 모든 메시지에 대한 [일회성 주소]이며, 그녀가 그것을 사용하고 싶다면 그렇게 합니다. 다음 방법. 그녀는 돈을 받을 사람을 선택합니다. 아마도 Charlene이 드론 공격에 투표하기 시작했을 것입니다. Alex는 대신 Brenda에게 돈을 보내고 싶어합니다. 그래서 Alex는 Brenda의 공개 키인 [brenda]를 찾아봅니다. 그리고 자신의 개인 키인 [ALEX]를 사용하여 일회용 주소 [ALEX+brenda]를 생성합니다. 그녀 그런 다음 암호화폐 사용자 네트워크에서 임의의 컬렉션 C를 선택하고 그녀는 구성합니다. 이 임시 그룹의 링 서명입니다. 우리는 기록을 이전 메시지로 설정하고 추가합니다. nonces, 평소대로 진행하시겠습니까? H1 = "나 [임시 그룹의 누군가]는 [일회성 주소] + H0로 0.112 암호화폐를 보냅니다. + N0." "나 [컬렉션 C의 누군가]는 [ALEX+brenda에서 만든 일회용 주소] + H1 + N1로 0.011 암호화폐를 보냅니다." "나 [컬렉션 C의 누군가]는 [ALEX+alex에서 만든 일회용 주소] + H1 + N2로 변경 사항으로 0.101 암호화폐를 보냅니다." 이제 Alex와 Brenda는 수신되는 모든 메시지에서 다음과 같은 일회성 주소를 검색합니다. 해당 키를 사용하여 생성되었습니다. 만약 그들이 뭔가를 발견했다면, 그 메시지는 그들만의 새로운 메시지입니다. 암호화폐! 그럼에도 불구하고 거래는 여전히 blockchain에 도달합니다. 해당 주소로 코인이 들어오면 범죄자, 정치 기부자, 위원회 및 계좌에서 발송되는 것으로 알려져 있습니다. 엄격한 예산(예: 횡령)이 있거나 해당 코인의 새로운 소유자가 실수를 한 경우 그리고 이 코인을 그가 소유한 것으로 알려진 코인과 함께 공통 주소, 즉 익명 지그로 보냅니다. 비트코인에 있어요.

개인 사용자 키는 두 개의 서로 다른 개인 EC 키의 쌍(a, b)입니다. 추적 키는 개인 및 공개 ec-키의 쌍(a, B)입니다(여기서 B = bG 및 a ̸= b). 공개 사용자 키는 (a, b)에서 파생된 두 공개 EC 키의 쌍 (A, B)입니다. 표준 주소는 인간에게 친숙한 문자열로 제공되는 공개 사용자 키를 나타냅니다. 오류 수정 포함; 잘린 주소는 주어진 공개 사용자 키의 후반부(B 지점)를 나타냅니다. 오류 수정을 통해 인간 친화적인 문자열로 변환됩니다. 거래 구조는 Bitcoin의 구조와 유사합니다. 모든 사용자가 선택할 수 있습니다. 여러 개의 독립적인 입금(거래 출력)에 해당하는 서명을 합니다. 개인 키를 다른 목적지로 보냅니다. 사용자가 고유한 개인 키와 공개 키를 소유하는 Bitcoin 모델과 달리 제안된 모델은 발신자가 수신자의 주소를 기반으로 일회성 공개 키를 생성하고 임의의 데이터. 이러한 의미에서 동일한 수신자에게 들어오는 거래는 다음으로 전송됩니다. 일회성 공개 키(고유 주소에 직접 연결되지 않음)이며 수신자만 복구할 수 있습니다. (그의 고유한 개인 키를 사용하여) 그의 자금을 상환하기 위한 해당 개인 부분. 수신자는 다음을 수행할 수 있습니다. 링 서명을 사용하여 자금을 지출하고 소유권과 실제 지출을 익명으로 유지합니다. 프로토콜의 세부 사항은 다음 하위 섹션에서 설명됩니다. 4.3 연결할 수 없는 결제 클래식 Bitcoin 주소는 일단 게시되면 수신에 대한 명확한 식별자가 됩니다. 이를 서로 연결하고 수신자의 가명과 연결합니다. 누군가가 원한다면 "연결되지 않은" 거래를 받은 경우 개인 채널을 통해 보낸 사람에게 자신의 주소를 전달해야 합니다. 동일한 소유자의 소유임을 입증할 수 없는 다른 거래를 수신하려는 경우 그는 모든 다른 주소를 생성해야 하며 절대 자신의 가명으로 게시하지 않아야 합니다. 공개 비공개 앨리스 캐롤 Bob의 주소 1 Bob의 주소 2 밥의 열쇠 1 밥의 열쇠 2 밥 그림 2. 전통적인 Bitcoin 키/트랜잭션 모델. 우리는 사용자가 단일 주소를 게시하고 무조건 수신할 수 있는 솔루션을 제안합니다. 연결할 수 없는 결제. 각 CryptoNote 출력의 대상(기본적으로)은 공개 키입니다. 수신자의 주소와 발신자의 임의 데이터에서 파생됩니다. Bitcoin에 대한 주요 이점 모든 대상 키는 기본적으로 고유합니다(발신자가 각각에 대해 동일한 데이터를 사용하지 않는 한). 동일한 수신자에게 자신의 거래를 보냅니다). 따라서 "주소 재사용"과 같은 문제는 없습니다. 설계되었으며 어떤 관찰자도 거래가 특정 주소나 링크로 전송되었는지 확인할 수 없습니다. 두 개의 주소를 함께 사용합니다. 6 개인 사용자 키는 두 개의 서로 다른 개인 EC 키의 쌍(a, b)입니다. 추적 키는 개인 및 공개 ec-키의 쌍(a, B)입니다(여기서 B = bG 및 a ̸= b). 공개 사용자 키는 (a, b)에서 파생된 두 공개 EC 키의 쌍 (A, B)입니다. 표준 주소는 인간에게 친숙한 문자열로 제공되는 공개 사용자 키를 나타냅니다. 오류 수정 포함; 잘린 주소는 주어진 공개 사용자 키의 후반부(B 지점)를 나타냅니다. 오류 수정을 통해 인간 친화적인 문자열로 변환됩니다. 거래 구조는 Bitcoin의 구조와 유사합니다. 모든 사용자가 선택할 수 있습니다. 여러 개의 독립적인 입금(거래 출력)에 해당하는 서명을 합니다. 개인 키를 다른 목적지로 보냅니다. 사용자가 고유한 개인 키와 공개 키를 소유하는 Bitcoin의 모델과 달리 제안된 모델은 발신자가 수신자의 주소를 기반으로 일회성 공개 키를 생성하고 임의의 데이터. 이러한 의미에서 동일한 수신자에게 들어오는 거래는 다음으로 전송됩니다. 일회성 공개 키(고유 주소에 직접 연결되지 않음)이며 수신자만 복구할 수 있습니다. (그의 고유한 개인 키를 사용하여) 그의 자금을 상환하기 위한 해당 개인 부분. 수신자는 다음을 수행할 수 있습니다. 링 서명을 사용하여 자금을 지출하고 소유권과 실제 지출을 익명으로 유지합니다. 프로토콜의 세부 사항은 다음 하위 섹션에서 설명됩니다. 4.3 연결할 수 없는 결제 클래식 Bitcoin 주소는 일단 게시되면 수신되는 주소의 명확한 식별자가 됩니다. 이를 서로 연결하고 수신자의 가명과 연결합니다. 누군가가 원한다면 "연결되지 않은" 거래를 받은 경우 개인 채널을 통해 보낸 사람에게 자신의 주소를 전달해야 합니다. 동일한 소유자의 소유임을 입증할 수 없는 다른 거래를 수신하려는 경우 그는 모든 다른 주소를 생성해야 하며 절대 자신의 가명으로 게시하지 않아야 합니다. 공개 비공개 앨리스 캐롤 Bob의 주소 1 Bob의 주소 2 밥의 열쇠 1 밥의 열쇠 2 밥 그림 2. 기존 Bitcoin 키/트랜잭션 모드엘자. 우리는 사용자가 단일 주소를 게시하고 무조건 수신할 수 있는 솔루션을 제안합니다. 연결할 수 없는 결제. 각 CryptoNote 출력의 대상(기본적으로)은 공개 키입니다. 수신자의 주소와 발신자의 임의 데이터에서 파생됩니다. Bitcoin에 대한 주요 이점 모든 대상 키는 기본적으로 고유합니다(발신자가 각각에 대해 동일한 데이터를 사용하지 않는 한). 동일한 수신자에게 자신의 거래를 보냅니다). 따라서 "주소 재사용"과 같은 문제는 없습니다. 설계되었으며 어떤 관찰자도 거래가 특정 주소나 링크로 전송되었는지 확인할 수 없습니다. 두 개의 주소를 함께 사용합니다. 6 12 따라서 사용자가 주소(실제로는 공개 키)에서 주소로 코인을 보내는 대신 (또 다른 공개키) 자신의 개인키를 이용하여 일회용 사서함에서 코인을 전송합니다. (친구의 공개 키를 사용하여 생성됨)을 일회성 사서함에 (비슷하게) 사용하여 자신의 개인 키. 어떤 의미에서 우리는 "좋아, 돈이 나오는 동안 모두 돈에서 손을 떼세요"라고 말하는 것입니다. 이리저리 옮겼다! 우리의 열쇠가 그 상자를 열 수 있다는 것을 아는 것만으로도 충분합니다. 우리는 상자 안에 돈이 얼마나 들어 있는지 알고 있습니다. 사서함이나 사서함에 지문을 넣지 마십시오. 실제로 사용하고, 현금 그 자체가 담긴 상자를 거래하면 됩니다. 그렇게 하면 누가 보냈는지 알 수 없지 하지만 이러한 공개 주소의 내용은 여전히 마찰이 없고 대체 가능하며 분할 가능하고 비트코인처럼 우리가 원하는 다른 좋은 품질의 화폐를 여전히 모두 보유하고 있습니다." 무한한 사서함 세트. 주소를 공개하면 개인 키가 있습니다. 나는 내 개인 키와 귀하의 주소를 사용합니다. 공개 키를 생성하기 위한 임의의 데이터. 알고리즘은 다음과 같이 설계되었습니다. 공개 키를 생성하는 데 주소가 사용되었습니다. 귀하의 개인 키만 잠금을 해제할 수 있습니다. 메시지. 관찰자 Eve는 귀하가 주소를 공개하는 것을 보고, 제가 발표하는 공개 키를 봅니다. 그러나, 그녀는 내가 당신의 주소를 기반으로 내 공개 키를 발표했는지, 아니면 그녀의 주소를 기반으로 했는지, 아니면 브렌다의 주소를 기반으로 했는지 모릅니다. 아니면 샤를린의 것, 아니면 누구든지. 그녀는 내가 발표한 공개 키와 자신의 개인 키를 확인합니다. 그리고 그것이 작동하지 않는 것을 봅니다; 그것은 그녀의 돈이 아닙니다. 그녀는 다른 사람의 개인 키를 알지 못합니다. 메시지 수신자만이 메시지 잠금을 해제할 수 있는 개인 키를 가지고 있습니다. 그러니 아무도 이야기를 들으면 돈을 받는 사람은커녕 누가 돈을 받았는지 알 수 있습니다.

공개 비공개 앨리스 캐롤 일회용 키 일회용 키 일회용 키 밥 밥의 열쇠 밥의 주소 그림 3. CryptoNote 키/트랜잭션 모델. 먼저 보낸 사람은 Dﬃe-Hellman 교환을 수행하여 자신의 데이터에서 공유 비밀을 얻고 수취인 주소의 절반. 그런 다음 공유 키를 사용하여 일회성 대상 키를 계산합니다. 비밀과 주소의 후반부. 수신자로부터 두 개의 서로 다른 EC 키가 필요합니다. 이 두 단계에서 표준 CryptoNote 주소는 Bitcoin 지갑의 거의 두 배입니다. 주소. 수신기는 또한 해당 데이터를 복구하기 위해 Diﬃe-Hellman 교환을 수행합니다. 비밀열쇠. 표준 거래 순서는 다음과 같습니다. 1. Alice는 자신의 표준 주소를 공개한 Bob에게 지불금을 보내고 싶어합니다. 그녀 주소의 압축을 풀고 Bob의 공개 키(A, B)를 얻습니다. 2. Alice는 무작위 \(r \in [1, l - 1]\)을 생성하고 일회성 공개 키 \(P = H_s(rA)G +\)를 계산합니다. 비. 3. Alice는 P를 출력의 대상 키로 사용하고 값 R = rG(일부로)도 팩합니다. Dﬃe-Hellman 교환의) 거래 어딘가에 있습니다. 그녀가 만들 수 있다는 점에 유의하세요. 고유한 공개 키가 있는 다른 출력: 서로 다른 수신자의 키(Ai, Bi)는 서로 다른 Pi를 의미합니다. 같은 r에도 불구하고. 거래 송신 공개 키 송신 출력 금액 대상 키 R = rG P = Hs(rA)G + B 수신기 공개 키 발신자의 임의 데이터 아르 (A, B) 그림 4. 표준 거래 구조. 4. Alice가 거래를 보냅니다. 5. Bob은 자신의 개인 키(a, b)를 사용하여 통과하는 모든 트랜잭션을 확인하고 P ′ =를 계산합니다. Hs(aR)G + B. 수신자인 Bob과의 Alice의 거래가 그 중 하나라면, 그러면 aR = arG = rA이고 P' = P입니다. 7 공개 비공개 앨리스 캐롤 일회용 키 일회용 키 일회용 키 밥 밥의 열쇠 밥의 주소 그림 3. CryptoNote 키/트랜잭션 모델. 먼저 보낸 사람은 Dﬃe-Hellman 교환을 수행하여 자신의 데이터에서 공유 비밀을 얻고 수취인 주소의 절반. 그런 다음 공유 키를 사용하여 일회성 대상 키를 계산합니다. 비밀과 주소의 후반부. 수신자로부터 두 개의 서로 다른 EC 키가 필요합니다. 이 두 단계에서 표준 CryptoNote 주소는 Bitcoin 지갑의 거의 두 배입니다. 주소. 수신기는 또한 해당 데이터를 복구하기 위해 Diﬃe-Hellman 교환을 수행합니다. 비밀열쇠. 표준 거래 순서는 다음과 같습니다. 1. Alice는 자신의 표준 주소를 공개한 Bob에게 지불금을 보내고 싶어합니다. 그녀 주소의 압축을 풀고 Bob의 공개 키(A, B)를 얻습니다. 2. Alice는 무작위 \(r \in [1, l - 1]\)을 생성하고 일회성 공개 키 \(P = H_s(rA)G +\)를 계산합니다. 비. 3. Alice는 P를 출력의 대상 키로 사용하고 값 R = rG(일부로)도 팩합니다. Dﬃe-Hellman 교환의) 거래 어딘가에 있습니다. 그녀가 만들 수 있다는 점에 유의하세요. 고유한 공개 키가 있는 다른 출력: 서로 다른 수신자의 키(Ai, Bi)는 서로 다른 Pi를 의미합니다. 같은 r에도 불구하고. 거래 송신 공개 키 송신 출력 금액 대상 키 R = rG P = Hs(rA)G + B 수신기 공개 키 발신자의 임의 데이터 아르 (A, B) 그림 4. 표준 거래 구조. 4. Alice가 거래를 보냅니다. 5. Bob은 자신의 개인 키(a, b)를 사용하여 통과하는 모든 트랜잭션을 확인하고 P ′ =를 계산합니다. Hs(aR)G + B. 수신자인 Bob과의 Alice의 거래가 그 중 하나라면, 그러면 aR = arG = rA이고 P' = P입니다. 7 13 암호화 선택을 구현하는 것이 얼마나 골치 아픈 일인지 궁금합니다. 계획. 타원 또는 기타. 따라서 미래에 어떤 계획이 깨지면 통화가 전환됩니다. 걱정하지 않고. 아마도 엉덩이에 큰 고통이있을 것입니다. 좋아요, 이것이 바로 제가 이전 댓글에서 설명한 내용입니다. Diﬃe-Hellman 유형 교환은 깔끔합니다. Alex와 Brenda가 각각 비밀 번호 A와 B를 가지고 있다고 가정해 보겠습니다. 그들은 비밀을 지키는 데 관심이 없다, a와 b. 그들은 없이 공유 비밀을 생성하려고 합니다. 그것을 발견한 에바. Diﬃe와 Hellman은 Alex와 Brenda가 공유할 수 있는 방법을 고안했습니다. 공개 번호 a와 b는 있지만 비공개 번호 A와 B는 제외하고 공유 비밀을 생성합니다. K. Eva가 수신 대기 없이 이 공유 비밀 K를 사용하여 동일한 비밀을 생성할 수 있습니다. K, Alex 및 Brenda는 이제 K를 비밀 암호화 키로 사용하고 비밀 메시지를 다시 전달할 수 있습니다. 그리고 앞으로. 100보다 훨씬 큰 숫자에서도 작동해야 하지만 할 수 있는 방법은 다음과 같습니다. 100을 모듈로 정수로 처리하는 것은 "모든 것을 버리는 것과 같기 때문에 100을 사용할 것입니다. 하지만 숫자의 마지막 두 자리는요." Alex와 Brenda는 각각 A, a, B, b를 선택합니다. 그들은 A와 B를 비밀로 유지합니다. Alex는 Brenda에게 자신의 모듈로 100 값(마지막 두 자리)을 말하고 Brenda는 Alex에게 말합니다. b의 값은 모듈로 100입니다. 이제 Eva는 (a,b) 모듈로 100을 알고 있습니다. 그러나 Alex는 (a,b,A)를 알고 있으므로 그녀는 x=abA 모듈로 100을 계산할 수 있습니다.Alex는 우리가 작업 중이기 때문에 마지막 숫자만 빼고 다 잘라냅니다. 다시 정수 모듈로 100 아래에서. 마찬가지로 Brenda는 (a,b,B)를 알고 있으므로 계산할 수 있습니다. y=abB 모듈로 100. 이제 Alex는 x를 게시할 수 있고 Brenda는 y를 게시할 수 있습니다. 하지만 이제 Alex는 yA = abBA 모듈로 100을 계산할 수 있고 Brenda는 xB를 계산할 수 있습니다. = abBA 모듈로 100. 둘 다 같은 번호를 알고 있어요! 하지만 Eva가 들은 것은 (a,b,abA,abB). 그녀는 abA*B를 계산하는 쉬운 방법이 없습니다. 이제 이것이 Diﬃe-Hellman 교환에 대해 생각하는 가장 쉽고 안전하지 않은 방법입니다. 더 안전한 버전이 존재합니다. 그러나 대부분의 버전은 정수 인수분해와 이산 때문에 작동합니다. 로그는 어렵고 두 문제 모두 양자 컴퓨터로 쉽게 해결됩니다. 양자에 저항하는 버전이 있는지 살펴보겠습니다. http://en.wikipedia.org/wiki/Diﬃe%E2%80%93Hellman_key_exchange 여기에 나열된 "표준 txn 시퀀스"에는 SIGNATURES와 같은 전체 단계가 누락되어 있습니다. 여기서는 그것들이 당연하게 여겨집니다. 정말 안 좋은 일입니다. 왜냐하면 우리가 진행하는 순서가 서명 항목, 서명된 메시지에 포함된 정보 등... 이 모든 것이 매우 프로토콜에 중요합니다. " 표준 거래 순서"는 전체 시스템의 보안에 의문을 제기할 수 있습니다. 더욱이, 논문 뒷부분에 제시된 증명은 다음과 같은 경우 충분히 엄격하지 않을 수 있습니다. 그들이 작업하는 프레임워크는 이 섹션에서처럼 느슨하게 정의됩니다.

공개 비공개 앨리스 캐롤 일회용 키 일회용 키 일회용 키 밥 밥의 열쇠 밥의 주소 그림 3. CryptoNote 키/트랜잭션 모델. 먼저 보낸 사람은 Dﬃe-Hellman 교환을 수행하여 자신의 데이터에서 공유 비밀을 얻고 수취인 주소의 절반. 그런 다음 공유 키를 사용하여 일회성 대상 키를 계산합니다. 비밀과 주소의 후반부. 수신자로부터 두 개의 서로 다른 EC 키가 필요합니다. 이 두 단계에서 표준 CryptoNote 주소는 Bitcoin 지갑의 거의 두 배입니다. 주소. 수신기는 또한 해당 데이터를 복구하기 위해 Diﬃe-Hellman 교환을 수행합니다. 비밀열쇠. 표준 거래 순서는 다음과 같습니다. 1. Alice는 자신의 표준 주소를 공개한 Bob에게 지불금을 보내고 싶어합니다. 그녀 주소의 압축을 풀고 Bob의 공개 키(A, B)를 얻습니다. 2. Alice는 무작위 \(r \in [1, l - 1]\)을 생성하고 일회성 공개 키 \(P = H_s(rA)G +\)를 계산합니다. 비. 3. Alice는 P를 출력의 대상 키로 사용하고 값 R = rG(일부로)도 팩합니다. Dﬃe-Hellman 교환의) 거래 어딘가에 있습니다. 그녀가 만들 수 있다는 점에 유의하세요. 고유한 공개 키가 있는 다른 출력: 서로 다른 수신자의 키(Ai, Bi)는 서로 다른 Pi를 의미합니다. 같은 r에도 불구하고. 거래 송신 공개 키 송신 출력 금액 대상 키 R = rG P = Hs(rA)G + B 수신기 공개 키 발신자의 임의 데이터 아르 (A, B) 그림 4. 표준 거래 구조. 4. Alice가 거래를 보냅니다. 5. Bob은 자신의 개인 키(a, b)를 사용하여 통과하는 모든 트랜잭션을 확인하고 P ′ =를 계산합니다. Hs(aR)G + B. 수신자인 Bob과의 Alice의 거래가 그 중 하나라면, 그러면 aR = arG = rA이고 P' = P입니다. 7 공개 비공개 앨리스 캐롤 일회용 키 일회용 키 일회용 키 밥 밥의 열쇠 밥의 주소 그림 3. CryptoNote 키/트랜잭션 모델. 먼저 보낸 사람은 Dﬃe-Hellman 교환을 수행하여 자신의 데이터에서 공유 비밀을 얻고 수취인 주소의 절반. 그런 다음 공유 키를 사용하여 일회성 대상 키를 계산합니다. 비밀과 주소의 후반부. 수신자로부터 두 개의 서로 다른 EC 키가 필요합니다. 이 두 단계에서 표준 CryptoNote 주소는 Bitcoin 지갑의 거의 두 배입니다. 주소. 수신기는 또한 해당 데이터를 복구하기 위해 Diﬃe-Hellman 교환을 수행합니다. 비밀열쇠. 표준 거래 순서는 다음과 같습니다. 1. Alice는 자신의 표준 주소를 공개한 Bob에게 지불금을 보내고 싶어합니다. 그녀 주소의 압축을 풀고 Bob의 공개 키(A, B)를 얻습니다. 2. Alice는 무작위 \(r \in [1, l - 1]\)을 생성하고 일회성 공개 키 \(P = H_s(rA)G +\)를 계산합니다. 비. 3. Alice는 P를 출력의 대상 키로 사용하고 값 R = rG(일부로)도 팩합니다. Dﬃe-Hellman 교환의) 거래 어딘가에 있습니다. 그녀가 만들 수 있다는 점에 유의하세요. 고유한 공개 키가 있는 다른 출력: 서로 다른 수신자의 키(Ai, Bi)는 서로 다른 Pi를 의미합니다. 같은 r에도 불구하고. 거래 송신 공개 키 송신 출력 금액 대상 키 R = rG P = Hs(rA)G + B 수신기 공개 키 발신자의 임의 데이터 아르 (A, B) 그림 4. 표준 거래 구조. 4. Alice가 거래를 보냅니다. 5. Bob은 자신의 개인 키(a, b)를 사용하여 통과하는 모든 트랜잭션을 확인하고 P ′ =를 계산합니다. Hs(aR)G + B. 수신자인 Bob과의 Alice의 거래가 그 중 하나라면, 그러면 aR = arG = rA이고 P' = P입니다. 7 14 저자(들?)는 용어를 전체적으로 똑바로 유지하는 데 끔찍한 일을 하고 있습니다. 텍스트, 특히 이 다음 부분에서요. 이 논문의 다음 화신은 반드시 훨씬 더 엄격합니다. 본문에서 그들은 P를 일회용 공개 키라고 부릅니다. 다이어그램에서는 R을 다음과 같이 나타냅니다. "Tx 공개 키"이고 P는 "대상 키"입니다. 내가 이 글을 다시 쓴다면, 이 섹션을 논의하기 전에 몇 가지 용어를 매우 구체적으로 설명하십시오. 이 엘은 엄청납니다. 5페이지를 참조하세요. 누가 엘을 선택합니까? 다이어그램은 무작위로 선택된 트랜잭션 공개 키 R = rG를 보여줍니다. 발신자에 의한 Tx 출력의 일부가 아닙니다. 여러개에 걸쳐 동일할 수 있기 때문입니다. 여러 사람과 거래하며 나중에 지출하는 데 사용되지 않습니다. 새로운 R이 생성됩니다. 새로운 CryptoNote 거래를 브로드캐스트하고 싶을 때마다. 또한 R만 사용됩니다. 귀하가 거래 수취인인지 확인하기 위해. 정크 데이터는 아니지만 누구에게나 정크 데이터입니다 (A, B)와 관련된 개인 키가 없습니다. 반면에 대상 키는 P = Hs(rA)G + B가 Tx 출력의 일부입니다. 모두 통과하는 모든 거래의 데이터를 조사하면서 자신이 생성한 P*를 확인해야 합니다. 이 P를 사용하여 그들이 이 통과 트랜잭션을 소유하고 있는지 확인합니다. 사용되지 않은 거래 결과가 있는 사람 (UTXO)에는 이러한 P가 여러 개 놓여 있을 것입니다. 지출을 하기 위해서는디, 그들은 P를 포함한 새로운 메시지에 서명하세요. Alice는 사용되지 않은 거래 출력 대상 키와 연결된 일회용 개인 키를 사용하여 이 거래에 서명해야 합니다. Alice가 소유한 각 대상 키는 장착되어 있습니다. (아마도) Alice가 소유한 일회성 개인 키를 사용합니다. 앨리스가 원할 때마다 대상 키의 내용을 나, Bob, Brenda, Charlie 또는 Charlene에게 보내세요. 그녀의 개인 키를 사용하여 거래에 서명합니다. 거래가 접수되면 새로운 내용을 받게 됩니다. Tx 공개키, 새로운 대상 공개키, 그리고 새로운 일회용 개인키 x를 복구할 수 있게 됩니다. 내 일회성 개인 키 x를 새 거래의 공개 대상과 결합 키는 새 트랜잭션을 보내는 방법입니다.

Bob은 해당하는 일회용 개인 키를 복구할 수 있습니다: x = Hs(aR) + b, 따라서 P = xG. 그는 x와의 거래에 서명함으로써 언제든지 이 출력을 사용할 수 있습니다. 거래 송신 공개 키 송신 출력 금액 대상 키 P' = Hs(aR)G + bG 일회용 공개 키 x = Hs(aR) + b 일회용 개인 키 수신기 개인 키 (a, b) R 피' ?=피 그림 5. 들어오는 거래 확인. 결과적으로 Bob은 일회성 공개 키와 관련된 입금을 받습니다. 관중에게는 연결이 불가능합니다. 몇 가지 추가 참고 사항: • Bob이 자신의 거래를 "인식"할 때(5단계 참조) 실제로는 자신의 거래 중 절반만 사용합니다. 개인 정보: (a, B). 추적 키라고도 알려진 이 쌍은 전달될 수 있습니다. 제3자(캐롤)에게. Bob은 그녀에게 새로운 거래 처리를 위임할 수 있습니다. 밥 Carol은 일회용 비밀 키 p를 복구할 수 없기 때문에 명시적으로 신뢰할 필요가 없습니다. Bob의 전체 개인 키 없이(a, b). 이 접근 방식은 Bob에게 대역폭이 부족할 때 유용합니다. 또는 계산 능력(스마트폰, 하드웨어 지갑 등). • Alice가 Bob의 주소로 거래를 보냈다는 것을 증명하고 싶은 경우 다음 중 하나를 공개할 수 있습니다. r 또는 그녀가 r을 알고 있음을 증명하기 위해 모든 종류의 영지식 프로토콜을 사용합니다(예: 서명을 통해). r)과의 거래. • Bob이 들어오는 모든 거래가 기록되는 감사 호환 주소를 갖고 싶어하는 경우 연결이 가능하면 추적 키를 게시하거나 잘린 주소를 사용할 수 있습니다. 해당 주소 하나의 공개 EC 키 B만 나타내고 프로토콜에서 요구하는 나머지 부분은 다음과 같습니다. 그것으로부터 다음과 같이 유도됩니다: a = Hs(B) 및 A = Hs(B)G. 두 경우 모두 모든 사람은 Bob의 들어오는 모든 거래를 "인식"할 수 있지만 물론 누구도 그 거래를 소비할 수 없습니다. 비밀 키 없이 그 안에 포함된 자금 b. 4.4 일회성 링 서명 일회성 링 서명을 기반으로 하는 프로토콜을 사용하면 사용자는 무조건적인 연결 해제를 달성할 수 있습니다. 불행하게도 일반적인 유형의 암호화 서명을 사용하면 거래를 추적할 수 있습니다. 각각의 송신자와 수신자. 이 결함에 대한 우리의 해결책은 다른 서명을 사용하는 것입니다. 현재 전자현금시스템에서 사용되는 것과는 다른 유형이다. 먼저, 명시적인 언급 없이 알고리즘에 대한 일반적인 설명을 제공하겠습니다. 전자현금. 일회성 링 서명에는 네 가지 알고리즘(GEN, SIG, VER, LNK)이 포함되어 있습니다. GEN: 공개 매개변수를 가져와서 ec-쌍(P, x)과 공개 키 I를 출력합니다. SIG: 메시지 m, 공개 키 세트 \(S'\) {Pi}i̸=s, 쌍(Ps, xs)을 취하고 서명 \(\sigma\)를 출력합니다. 그리고 집합 \(S = \)S'\( \cup \{P_s\}\). 8
Bob은 해당하는 일회용 개인 키를 복구할 수 있습니다: x = Hs(aR) + b, 따라서 P = xG. 그는 x와의 거래에 서명함으로써 언제든지 이 출력을 사용할 수 있습니다. 거래 송신 공개 키 송신 출력 금액 대상 키 P' = Hs(aR)G + bG 일회용 공개 키 x = Hs(aR) + b 일회용 개인 키 수신기 개인 키 (a, b) R 피' ?=피 그림 5. 들어오는 거래 확인. 결과적으로 Bob은 일회성 공개 키와 관련된 입금을 받습니다. 관중에게는 연결이 불가능합니다. 몇 가지 추가 참고사항: • Bob이 자신의 거래를 "인식"할 때(5단계 참조) 실제로는 자신의 거래 중 절반만 사용합니다. 개인 정보: (a, B). 추적 키라고도 알려진 이 쌍은 전달될 수 있습니다. 제3자(캐롤)에게. Bob은 그녀에게 새로운 거래 처리를 위임할 수 있습니다. 밥 Carol은 일회용 비밀 키 p를 복구할 수 없기 때문에 명시적으로 신뢰할 필요가 없습니다. Bob의 전체 개인 키 없이(a, b). 이 접근 방식은 Bob에게 대역폭이 부족할 때 유용합니다. 또는 계산 능력(스마트폰, 하드웨어 지갑 등). • Alice가 Bob의 주소로 거래를 보냈다는 것을 증명하고 싶은 경우 다음 중 하나를 공개할 수 있습니다. r 또는 그녀가 r을 알고 있음을 증명하기 위해 모든 종류의 영지식 프로토콜을 사용합니다(예: 서명을 통해). r)과의 거래. • Bob이 들어오는 모든 거래가 기록되는 감사 호환 주소를 갖고 싶어하는 경우 연결이 가능하면 추적 키를 게시하거나 잘린 주소를 사용할 수 있습니다. 해당 주소 하나의 공개 EC 키 B만 나타내고 프로토콜에서 요구하는 나머지 부분은 다음과 같습니다. 그것으로부터 다음과 같이 유도됩니다: a = Hs(B) 및 A = Hs(B)G. 두 경우 모두 모든 사람은 Bob의 들어오는 모든 거래를 "인식"할 수 있지만 물론 누구도 그 거래를 소비할 수 없습니다. 비밀 키 없이 그 안에 포함된 자금 b. 4.4 일회성 링 서명 일회성 링 서명을 기반으로 하는 프로토콜을 사용하면 사용자는 무조건적인 연결 해제를 달성할 수 있습니다. 불행하게도 일반적인 유형의 암호화 서명을 사용하면 거래를 추적할 수 있습니다. 각각의 송신자와 수신자. 이 결함에 대한 우리의 해결책은 다른 서명을 사용하는 것입니다. 현재 전자현금시스템에서 사용되는 것과는 다른 유형이다. 먼저 제너레이터를 제공하겠습니다.명시적인 참조 없이 우리 알고리즘에 대한 모든 설명 전자현금. 일회성 링 서명에는 네 가지 알고리즘(GEN, SIG, VER, LNK)이 포함되어 있습니다. GEN: 공개 매개변수를 가져와서 ec-쌍(P, x)과 공개 키 I를 출력합니다. SIG: 메시지 m, 공개 키 세트 \(S'\) {Pi}i̸=s, 쌍(Ps, xs)을 취하고 서명 \(\sigma\)를 출력합니다. 그리고 집합 \(S = \)S'\( \cup \{P_s\}\). 8 15 여기에서 사용되지 않은 거래 출력은 어떻게 되나요? 다이어그램은 거래 출력이 금액과 대상 키라는 두 가지 데이터 포인트로만 구성되어 있음을 나타냅니다. 하지만 이건 아니다 이 "출력"을 사용하려고 할 때 여전히 R=rG를 알아야 하기 때문에 충분합니다. r은 보낸 사람이 선택하고 R은 a) 수신되는 암호화폐를 귀하의 암호화폐로 인식하는 데 사용됩니다. b) 귀하의 암호화폐를 "청구"하는 데 사용되는 일회용 개인 키를 생성하는 데 사용됩니다. 이 부분에서 제가 이해하지 못하는 부분은요? 이론적으로 "좋아요, 우리는 이것을 가지고 있습니다 서명과 트랜잭션을 프로그래밍 세계로 주고받습니다. "알겠습니다. 구체적으로 어떤 정보가 개인 UTXO을 구성하나요?" 이 질문에 대답하는 가장 좋은 방법은 완전히 주석 처리되지 않은 코드 본문을 파헤치는 것입니다. 잘 가요, 바이트코인 팀. 기억하세요: 연결 가능성은 "동일한 사람이 보냈습니까?"를 의미합니다. 연결 해제 가능성은 "동일한 작업을 수행함"을 의미합니다. 사람이 받나요?". 따라서 시스템은 연결 가능하거나 연결 불가능할 수 있으며, 연결 불가능하거나 연결 불가능할 수 있습니다. 짜증나, 나도 알아. 따라서 Nic van Saberhagen이 "...입금은 일회성 결제와 연관되어 있습니다"라고 말합니다. 관중이 연결할 수 없는 공개 키"라는 말이 무슨 뜻인지 살펴보겠습니다. 먼저, Alice가 Bob에게 동일한 트랜잭션 두 개를 보내는 상황을 생각해 보세요. 같은 주소로 보내세요. Bitcoin 세계에서 앨리스는 이미 실수를 저질렀습니다. 동일한 주소에서 보내는 것이므로 거래가 제한에 대한 우리의 욕구에 실패했습니다. 연결성. 게다가 같은 주소로 돈을 보냈기 때문에 우리의 바람대로 되지 않았습니다. 연결 해제를 위해. 이 비트코인 거래는 (완전히) 연결이 가능하고 연결이 불가능했습니다. 반면, 암호화폐 세계에서는 앨리스가 밥에게 암호화폐를 보낸다고 가정해 보겠습니다. Bob의 공개 주소를 사용합니다. 그녀는 알려진 모든 공개 키를 난독화하는 공개 키 세트로 선택합니다. 워싱턴 DC 메트로 지역의 열쇠. Alex는 자신의 키를 사용하여 일회용 공개 키를 생성합니다. 정보 및 Bob의 공개 정보. 그녀는 돈을 보내고, 모든 관찰자는 그럴 것입니다. "워싱턴 DC 메트로 지역에서 누군가가 2.3개의 암호화폐를 보냈습니다. 일회성 공개 주소 XYZ123입니다." 여기서는 연결 가능성을 확률적으로 제어하므로 이를 "거의 연결 불가능"이라고 부르겠습니다. 또한 우리는 일회성 공개 키 자금이 전송되는 것을 볼 수 있습니다. 수신자를 의심하더라도 Bob이었습니다. 우리는 그의 개인 키를 갖고 있지 않기 때문에 통과하는 트랜잭션이 있는지 테스트할 수 없습니다. 그의 암호화폐를 상환하기 위해 일회성 개인 키를 생성하는 것은 말할 것도 없고 Bob의 것입니다. 그래서 이것은 실제로는 완전히 "연결할 수 없습니다". 그래서 이것은 가장 깔끔한 트릭입니다. 누가 다른 MtGox를 정말로 신뢰하고 싶나요? 우리는 어쩌면 Coinbase에 일정량의 BTC를 편안하게 보관할 수 있지만 비트코인 보안의 궁극적인 목표는 실제 지갑. 불편한 일입니다. 이 경우 귀하는 귀하의 개인 키를 손상시키지 않고 개인 키의 절반을 무신뢰적으로 제공할 수 있습니다. 돈을 쓰는 자신의 능력. 이렇게 할 때 당신이 하는 일은 누군가에게 연결 해제 방법을 알려주는 것뿐입니다. 다른 이중 지출에 대한 증거와 같이 통화처럼 작동하는 CN의 속성은 보존됩니다. 뭐.
Bob은 해당하는 일회용 개인 키를 복구할 수 있습니다: x = Hs(aR) + b, 따라서 P = xG. 그는 x와의 거래에 서명함으로써 언제든지 이 출력을 사용할 수 있습니다. 거래 송신 공개 키 송신 출력 금액 대상 키 P' = Hs(aR)G + bG 일회용 공개 키 x = Hs(aR) + b 일회용 개인 키 수신기 개인 키 (a, b) R 피' ?=피 그림 5. 들어오는 거래 확인. 결과적으로 Bob은 일회성 공개 키와 관련된 입금을 받습니다. 관중에게는 연결이 불가능합니다. 몇 가지 추가 참고 사항: • Bob이 자신의 거래를 "인식"할 때(5단계 참조) 실제로는 자신의 거래 중 절반만 사용합니다. 개인 정보: (a, B). 추적 키라고도 알려진 이 쌍은 전달될 수 있습니다. 제3자(캐롤)에게. Bob은 그녀에게 새로운 거래 처리를 위임할 수 있습니다. 밥 Carol은 일회용 비밀 키 p를 복구할 수 없기 때문에 명시적으로 신뢰할 필요가 없습니다. Bob의 전체 개인 키 없이(a, b). 이 접근 방식은 Bob에게 대역폭이 부족할 때 유용합니다. 또는 계산 능력(스마트폰, 하드웨어 지갑 등). • Alice가 Bob의 주소로 거래를 보냈다는 것을 증명하고 싶은 경우 다음 중 하나를 공개할 수 있습니다. r 또는 그녀가 r을 알고 있음을 증명하기 위해 모든 종류의 영지식 프로토콜을 사용합니다(예: 서명을 통해). r)과의 거래. • Bob이 들어오는 모든 거래가 기록되는 감사 호환 주소를 갖고 싶어하는 경우 연결이 가능하면 추적 키를 게시하거나 잘린 주소를 사용할 수 있습니다. 해당 주소 하나의 공개 EC 키 B만 나타내고 프로토콜에서 요구하는 나머지 부분은 다음과 같습니다. 그것으로부터 다음과 같이 유도됩니다: a = Hs(B) 및 A = Hs(B)G. 두 경우 모두 모든 사람은 Bob의 들어오는 모든 거래를 "인식"할 수 있지만 물론 누구도 그 거래를 소비할 수 없습니다. 비밀 키 없이 그 안에 포함된 자금 b. 4.4 일회성 링 서명 일회성 링 서명을 기반으로 하는 프로토콜을 사용하면 사용자는 무조건적인 연결 해제를 달성할 수 있습니다. 불행하게도 일반적인 유형의 암호화 서명을 사용하면 거래를 추적할 수 있습니다. 각각의 송신자와 수신자. 이 결함에 대한 우리의 해결책은 다른 서명을 사용하는 것입니다. 현재 전자현금시스템에서 사용되는 것과는 다른 유형이다. 먼저, 명시적인 언급 없이 알고리즘에 대한 일반적인 설명을 제공하겠습니다. 전자현금. 일회성 링 서명에는 네 가지 알고리즘(GEN, SIG, VER, LNK)이 포함되어 있습니다. GEN: 공개 매개변수를 가져와서 ec-쌍(P, x)과 공개 키 I를 출력합니다. SIG: 메시지 m, 공개 키 세트 \(S'\) {Pi}i̸=s, 쌍(Ps, xs)을 취하고 서명 \(\sigma\)를 출력합니다. 그리고 집합 \(S = \)S'\( \cup \{P_s\}\). 8
Bob은 해당하는 일회용 개인 키를 복구할 수 있습니다: x = Hs(aR) + b, 따라서 P = xG. 그는 x와의 거래에 서명함으로써 언제든지 이 출력을 사용할 수 있습니다. 거래 송신 공개 키 송신 출력 금액 대상 키 P' = Hs(aR)G + bG 일회용 공개 키 x = Hs(aR) + b 일회용 개인 키 수신기 개인 키 (a, b) R 피' ?=피 그림 5. 들어오는 거래 확인. 결과적으로 Bob은 일회성 공개 키와 관련된 입금을 받습니다. 관중에게는 연결이 불가능합니다. 몇 가지 추가 참고사항: • Bob이 자신의 거래를 "인식"할 때(5단계 참조) 실제로는 자신의 거래 중 절반만 사용합니다. 개인 정보: (a, B). 추적 키라고도 알려진 이 쌍은 전달될 수 있습니다. 제3자(캐롤)에게. Bob은 그녀에게 새로운 거래 처리를 위임할 수 있습니다. 밥 Carol은 일회용 비밀 키 p를 복구할 수 없기 때문에 명시적으로 신뢰할 필요가 없습니다. Bob의 전체 개인 키 없이(a, b). 이 접근 방식은 Bob에게 대역폭이 부족할 때 유용합니다. 또는 계산 능력(스마트폰, 하드웨어 지갑 등). • Alice가 Bob의 주소로 거래를 보냈다는 것을 증명하고 싶은 경우 다음 중 하나를 공개할 수 있습니다. r 또는 그녀가 r을 알고 있음을 증명하기 위해 모든 종류의 영지식 프로토콜을 사용합니다(예: 서명을 통해). r)과의 거래. • Bob이 들어오는 모든 거래가 기록되는 감사 호환 주소를 갖고 싶어하는 경우 연결이 가능하면 추적 키를 게시하거나 잘린 주소를 사용할 수 있습니다. 해당 주소 하나의 공개 EC 키 B만 나타내고 프로토콜에서 요구하는 나머지 부분은 다음과 같습니다. 그것으로부터 다음과 같이 유도됩니다: a = Hs(B) 및 A = Hs(B)G. 두 경우 모두 모든 사람은 Bob의 들어오는 모든 거래를 "인식"할 수 있지만 물론 누구도 그 거래를 소비할 수 없습니다. 비밀 키 없이 그 안에 포함된 자금 b. 4.4 일회성 링 서명 일회성 링 서명을 기반으로 하는 프로토콜을 사용하면 사용자는 무조건적인 연결 해제를 달성할 수 있습니다. 불행하게도 일반적인 유형의 암호화 서명을 사용하면 거래를 추적할 수 있습니다. 각각의 송신자와 수신자. 이 결함에 대한 우리의 해결책은 다른 서명을 사용하는 것입니다. 현재 전자현금시스템에서 사용되는 것과는 다른 유형이다. 먼저 제너레이터를 제공하겠습니다.명시적인 참조 없이 우리 알고리즘에 대한 모든 설명 전자현금. 일회성 링 서명에는 네 가지 알고리즘(GEN, SIG, VER, LNK)이 포함되어 있습니다. GEN: 공개 매개변수를 가져와서 ec-쌍(P, x)과 공개 키 I를 출력합니다. SIG: 메시지 m, 공개 키 세트 \(S'\) {Pi}i̸=s, 쌍(Ps, xs)을 취하고 서명 \(\sigma\)를 출력합니다. 그리고 집합 \(S = \)S'\( \cup \{P_s\}\). 8 16 예, 이제 a) 지불 주소와 b) 지불 ID가 있습니다. 비평가는 "정말 이렇게 해야 합니까? 결국 상인이 112.00678952를 받으면 정확히 CN입니다. 그게 제가 주문한 것이었고 스크린샷이나 영수증 등이 있습니다. 그렇죠? 미친 정도의 정밀도면 충분해?" 대답은 "아마도 대부분의 경우 매일매일 대면거래." 그러나 보다 일반적인 상황(특히 디지털 세계에서)은 다음과 같습니다. 각각 가격이 고정되어 있는 일련의 물건입니다. 객체 A는 0.001 CN, 객체 B는 0.01 CN, 객체 C는 0.1CN입니다. 이제 판매자가 1.618 CN에 대한 주문을 받으면 많은 양의 주문이 발생합니다. (많은!) 고객의 주문을 준비하는 방법. 따라서 일종의 결제 ID가 없으면 고객의 소위 "고유" 주문과 고객의 "고유" 비용을 식별하는 것 주문이 불가능해집니다. 더 웃긴 점: 내 온라인 상점의 모든 가격이 정확히 1.0이라면 CN, 하루에 1000명의 고객이 방문하나요? 그리고 당신은 정확히 3개의 물건을 구입했다는 것을 증명하고 싶습니다. 2주 전? 결제 ID가 없나요? 행운을 빌어요, 친구. 간단히 말해서: Bob이 수취인 주소를 게시하면 결국에는 다음 주소도 게시하게 될 수 있습니다. 결제 ID도 포함됩니다(예: Poloniex XMR 예금 참조). 설명된 내용과 다릅니다. 여기 텍스트에서 결제 ID를 생성한 사람은 Alice입니다. Bob도 결제 ID를 생성할 수 있는 방법이 있어야 합니다. (a,B) 추적 키(a,B)가 게시될 수 있다는 점을 기억하세요. 'a' 값의 비밀성을 잃게 됩니다. 돈을 쓰거나 다른 사람이 당신에게서 물건을 훔치도록 허용하는 능력을 침해하지 마세요. 입증하기 위해) 사람들은 들어오는 모든 거래를 볼 수 있습니다. 이 단락에 설명된 대로 잘린 주소는 단순히 키의 "개인" 부분을 사용합니다. "공개" 부분에서 생성합니다. 'a' 값을 공개하면 연결 불가능성이 제거됩니다. 하지만 나머지 거래는 보존됩니다. unlinkable은 수신자를 지칭하고 linkable을 의미하기 때문에 저자는 "linkable이 아님"을 의미합니다. 보낸 사람을 말합니다. 또한 저자가 연결성에 두 가지 다른 측면이 있다는 사실을 깨닫지 못한 것도 분명합니다. 결국 트랜잭션은 그래프의 방향이 지정된 개체이므로 두 가지 질문이 있습니다. "이 두 거래가 같은 사람에게 전달되나요?" 그리고 "이 두 거래가 다가오고 있나요? 같은 사람이요?" 이는 CryptoNote의 연결 해제 속성이 적용되는 "되돌아가지 않는" 정책입니다. 조건부. 즉, Bob은 들어오는 트랜잭션을 연결 해제할 수 없도록 선택할 수 있습니다. 이 정책을 사용합니다. 이는 Random Oracle Model에 따라 입증된 주장입니다. 우리는 그것에 대해 알아볼 것입니다; 무작위 오라클에는 장점과 단점이 있습니다.

VER: 메시지 m, 집합 S, 서명 \(\sigma\)를 가져와 "true" 또는 "false"를 출력합니다. LNK: 집합 I = {Ii}, 서명 \(\sigma\)를 취하고 "linked" 또는 "indep"을 출력합니다. 프로토콜의 기본 아이디어는 매우 간단합니다. 사용자는 서명을 생성합니다. 고유한 공개 키가 아닌 공개 키 세트로 확인됩니다. 서명자의 신원은 다음과 같습니다. 소유자가 공개 키를 생성할 때까지 세트에 있는 공개 키를 가진 다른 사용자와 구별할 수 없습니다. 동일한 키 쌍을 사용하는 두 번째 서명. 개인 키 x0 \(\cdots\) xi \(\cdots\) xn 공개 키 P0 \(\cdots\) 파이 \(\cdots\) Pn 반지 서명 기호 확인하다 그림 6. 링 서명 익명성. GEN: 서명자는 임의의 비밀 키 \(x \in [1, l - 1]\)을 선택하고 해당하는 값을 계산합니다. 공개 키 P = xG. 추가적으로 그는 또 다른 공개 키 I = xHp(P)를 계산합니다. "키 이미지"라고 부릅니다. SIG: 서명자는 비대화형 영지식을 사용하여 일회성 링 서명을 생성합니다. [21]의 기술을 사용하여 증명합니다. 그는 다른 사용자의 n의 무작위 부분집합 \(S'\)를 선택합니다. 공개 키 Pi, 자신의 키 쌍(x, P) 및 키 이미지 I. \(0 \leq s \leq n\)을 서명자의 비밀 인덱스로 둡니다. S에서(그의 공개 키는 Ps임) 그는 무작위로 {qi | 나는 = 0 . . . n} 및 {wi | 나는 = 0 . . . n, i ̸= s} (1 . . . l)에서 다음을 적용합니다. 다음 변환: 리 = ( qiG, 만약 내가 = s라면 qiG + wiPi, 내가 ̸=s라면 리 = ( qiHp(파이), 만약 내가 = s라면 qiHp(파이) + wiI, 내가 ̸=s라면 다음 단계는 비대화형 문제를 해결하는 것입니다. c = Hs(m, L1, . . . , Ln, R1, . . . , Rn) 마지막으로 서명자는 응답을 계산합니다. 시 =    위, 내가 ̸=s라면 c - nP 나는=0 ci 모드 l, 만약 내가 = s라면 리 = ( 기, 내가 ̸=s라면 qs -csx 모드 l, 만약 내가 = s라면 결과 서명은 \(\sigma = (I, c_1, \ldots, c_n, r_1, \ldots, r_n)\)입니다. 9 VER: 메시지 m, 집합 S, 서명 \(\sigma\)를 가져와 "true" 또는 "false"를 출력합니다. LNK: 집합 I = {Ii}, 서명 \(\sigma\)를 취하고 "linked" 또는 "indep"을 출력합니다. 프로토콜의 기본 아이디어는 매우 간단합니다. 사용자는 서명을 생성합니다. 고유한 공개 키가 아닌 공개 키 세트로 확인됩니다. 서명자의 신원은 다음과 같습니다. 소유자가 공개 키를 생성할 때까지 세트에 있는 공개 키를 가진 다른 사용자와 구별할 수 없습니다. 동일한 키 쌍을 사용하는 두 번째 서명. 개인 키 x0 \(\cdots\) xi \(\cdots\) xn 공개 키 P0 \(\cdots\) 파이 \(\cdots\) Pn 반지 서명 기호 확인하다 그림 6. 링 서명 익명성. GEN: 서명자는 임의의 비밀 키 \(x \in [1, l - 1]\)을 선택하고 해당하는 값을 계산합니다. 공개 키 P = xG. 추가적으로 그는 또 다른 공개 키 I = xHp(P)를 계산합니다. "키 이미지"라고 부릅니다. SIG: 서명자는 비대화형 영지식을 사용하여 일회성 링 서명을 생성합니다. [21]의 기술을 사용하여 증명합니다. 그는 다른 사용자의 n의 무작위 부분집합 \(S'\)를 선택합니다. 공개 키 Pi, 자신의 키 쌍(x, P) 및 키 이미지 I. \(0 \leq s \leq n\)을 서명자의 비밀 인덱스로 둡니다. S에서(그의 공개 키는 Ps임) 그는 무작위로 {qi | 나는 = 0 . . . n} 및 {wi | 나는 = 0 . . . n, i ̸= s} (1 . . . l)에서 다음을 적용합니다. 다음 변환: 리 = ( qiG, 만약 내가 = s라면 qiG + wiPi, 내가 ̸=s라면 리 = ( qiHp(파이), 만약 내가 = s라면 qiHp(파이) + wiI, 내가 ̸=s라면 다음 단계는 비대화형 문제를 해결하는 것입니다. c = Hs(m, L1, . . . , Ln, R1, . . . , Rn) 마지막으로 서명자는 응답을 계산합니다. 시 =    위, 내가 ̸=s라면 c - nP 나는=0 ci 모드 l, 만약 내가 = s라면 리 = ( 기, 내가 ̸=s라면 qs -csx 모드 l, 만약 내가 = s라면 결과 서명은 \(\sigma = (I, c_1, \ldots, c_n, r_1, \ldots, r_n)\)입니다. 9 17 아마도 이것은 어리석은 일이지만 S와 P_를 통합할 때는 주의가 필요합니다. 그냥 추가하면 마지막 공개 키는 누군가가 통과하는 거래를 확인하기 때문에 연결 해제가 깨졌습니다. 각 거래에 나열된 마지막 공개 키를 확인하면 됩니다. 그게 공개키야 발신자와 연결됩니다. 따라서 합집합 후에 의사 난수 생성기는 다음과 같아야 합니다. 선택한 공개 키를 변경하는 데 사용됩니다. "...소유자가 동일한 키 쌍을 사용하여 두 번째 서명을 생성할 때까지." 작가님(들?) 이에 대해 자세히 설명하겠습니다. 나는 이것이 "난독화할 공개 키 세트를 선택할 때마다 두 개의 키가 하나도 없는 완전히 새로운 세트를 선택하세요." 연결 해제 시 적용할 수 있는 매우 강력한 조건입니다. 아마도 "당신은 다음 중 새로운 무작위 세트를 선택합니다. 가능한 모든 키"는 사소하지 않은 교차점은 필연적으로 발생하지만 그런 일은 자주 일어나지 않을 것입니다. 어느 쪽이든, 나는 이 말을 더 깊이 파고들 필요가 있습니다. 링 서명이 생성됩니다. 영지식 증명은 훌륭합니다. 당신이 비밀을 알고 있다는 것을 나에게 증명해 보세요. 비밀을 밝히지 않고. 예를 들어, 우리가 도넛 모양의 동굴 입구에 있다고 가정해 보겠습니다. 그리고 동굴 뒤쪽(입구에서 보이지 않는 곳)에는당신이 향하는 새로운 문 당신이 열쇠를 가지고 있다고 주장하세요. 한 방향으로 가면 항상 지나갈 수 있지만, 한 방향으로 가면 다른 방향에서는 열쇠가 필요합니다. 하지만 당신은 나에게 열쇠를 보여주고 싶어하지도 않습니다. 문이 열린다는 것을 보여주세요. 하지만 당신은 문을 여는 방법을 알고 있다는 것을 나에게 증명하고 싶어합니다. 문. 대화형 환경에서는 동전을 던집니다. 앞면이 왼쪽, 뒷면이 오른쪽이고 아래로 내려갑니다. 동전이 가리키는 방향에 따라 도넛 모양의 동굴이 나옵니다. 그 뒷편엔 내 시야 너머에 네가 문을 열어 반대쪽으로 돌아오세요. 동전 던지기 실험을 반복합니다 당신이 열쇠를 갖고 있다는 사실이 만족스러울 때까지요. 그러나 그것은 분명히 인터랙티브 영지식 증명입니다. 당신과 내가 결코 의사소통할 필요가 없는 비대화형 버전이 있습니다. 이렇게 하면 도청자가 방해할 수 없습니다. http://en.wikipedia.org/wiki/Zero-knowledge_proof 이는 이전 정의와 반대입니다.

VER: 메시지 m, 집합 S, 서명 \(\sigma\)를 가져와 "true" 또는 "false"를 출력합니다. LNK: 집합 I = {Ii}, 서명 \(\sigma\)를 취하고 "linked" 또는 "indep"을 출력합니다. 프로토콜의 기본 아이디어는 매우 간단합니다. 사용자는 서명을 생성합니다. 고유한 공개 키가 아닌 공개 키 세트로 확인됩니다. 서명자의 신원은 다음과 같습니다. 소유자가 공개 키를 생성할 때까지 세트에 있는 공개 키를 가진 다른 사용자와 구별할 수 없습니다. 동일한 키 쌍을 사용하는 두 번째 서명. 개인 키 x0 \(\cdots\) xi \(\cdots\) xn 공개 키 P0 \(\cdots\) 파이 \(\cdots\) Pn 반지 서명 기호 확인하다 그림 6. 링 서명 익명성. GEN: 서명자는 임의의 비밀 키 \(x \in [1, l - 1]\)을 선택하고 해당하는 값을 계산합니다. 공개 키 P = xG. 추가적으로 그는 또 다른 공개 키 I = xHp(P)를 계산합니다. "키 이미지"라고 부릅니다. SIG: 서명자는 비대화형 영지식을 사용하여 일회성 링 서명을 생성합니다. [21]의 기술을 사용하여 증명합니다. 그는 다른 사용자의 n의 무작위 부분집합 \(S'\)를 선택합니다. 공개 키 Pi, 자신의 키 쌍(x, P) 및 키 이미지 I. \(0 \leq s \leq n\)을 서명자의 비밀 인덱스로 둡니다. S에서(그의 공개 키는 Ps임) 그는 무작위로 {qi | 나는 = 0 . . . n} 및 {wi | 나는 = 0 . . . n, i ̸= s} (1 . . . l)에서 다음을 적용합니다. 다음 변환: 리 = ( qiG, 만약 내가 = s라면 qiG + wiPi, 내가 ̸=s라면 리 = ( qiHp(파이), 만약 내가 = s라면 qiHp(파이) + wiI, 내가 ̸=s라면 다음 단계는 비대화형 문제를 해결하는 것입니다. c = Hs(m, L1, . . . , Ln, R1, . . . , Rn) 마지막으로 서명자는 응답을 계산합니다. 시 =    위, 내가 ̸=s라면 c - nP 나는=0 ci 모드 l, 만약 내가 = s라면 리 = ( 기, 내가 ̸=s라면 qs -csx 모드 l, 만약 내가 = s라면 결과 서명은 \(\sigma = (I, c_1, \ldots, c_n, r_1, \ldots, r_n)\)입니다. 9 VER: 메시지 m, 집합 S, 서명 \(\sigma\)를 가져와 "true" 또는 "false"를 출력합니다. LNK: 집합 I = {Ii}, 서명 \(\sigma\)를 취하고 "linked" 또는 "indep"을 출력합니다. 프로토콜의 기본 아이디어는 매우 간단합니다. 사용자는 서명을 생성합니다. 고유한 공개 키가 아닌 공개 키 세트로 확인됩니다. 서명자의 신원은 다음과 같습니다. 소유자가 공개 키를 생성할 때까지 세트에 있는 공개 키를 가진 다른 사용자와 구별할 수 없습니다. 동일한 키 쌍을 사용하는 두 번째 서명. 개인 키 x0 \(\cdots\) xi \(\cdots\) xn 공개 키 P0 \(\cdots\) 파이 \(\cdots\) Pn 반지 서명 기호 확인하다 그림 6. 링 서명 익명성. GEN: 서명자는 임의의 비밀 키 \(x \in [1, l - 1]\)을 선택하고 해당하는 값을 계산합니다. 공개 키 P = xG. 추가적으로 그는 또 다른 공개 키 I = xHp(P)를 계산합니다. "키 이미지"라고 부릅니다. SIG: 서명자는 비대화형 영지식을 사용하여 일회성 링 서명을 생성합니다. [21]의 기술을 사용하여 증명합니다. 그는 다른 사용자의 n의 무작위 부분집합 \(S'\)를 선택합니다. 공개 키 Pi, 자신의 키 쌍(x, P) 및 키 이미지 I. \(0 \leq s \leq n\)을 서명자의 비밀 인덱스로 둡니다. S에서(그의 공개 키는 Ps임) 그는 무작위로 {qi | 나는 = 0 . . . n} 및 {wi | 나는 = 0 . . . n, i ̸= s} (1 . . . l)에서 다음을 적용합니다. 다음 변환: 리 = ( qiG, 만약 내가 = s라면 qiG + wiPi, 내가 ̸=s라면 리 = ( qiHp(파이), 만약 내가 = s라면 qiHp(파이) + wiI, 내가 ̸=s라면 다음 단계는 비대화형 문제를 해결하는 것입니다. c = Hs(m, L1, . . . , Ln, R1, . . . , Rn) 마지막으로 서명자는 응답을 계산합니다. 시 =    위, 내가 ̸=s라면 c - nP 나는=0 ci 모드 l, 만약 내가 = s라면 리 = ( 기, 내가 ̸=s라면 qs -csx 모드 l, 만약 내가 = s라면 결과 서명은 \(\sigma = (I, c_1, \ldots, c_n, r_1, \ldots, r_n)\)입니다. 9 18 이 전체 영역은 암호화폐에 구애받지 않고 단순히 링 서명 알고리즘을 설명합니다. 통화에 대한 언급. 나는 표기법 중 일부가 논문의 나머지 부분과 일치한다고 생각합니다. 그래도. 예를 들어 x는 GEN에서 선택된 "무작위" 비밀 키이며 공개 키 P를 제공합니다. 공개 키 이미지 I. 이 x 값은 Bob이 6페이지 8페이지에서 계산한 값입니다. 따라서 이것은 이전 설명에서 발생한 혼란을 해결하기 시작했습니다. 이건 좀 멋지네요. 돈이 "Alice의 공개 주소에서 Bob의 공개 주소로 이체되지 않습니다." 주소." 일회성 주소에서 일회성 주소로 이전 중입니다. 어떤 의미에서 이것이 작동하는 방식은 다음과 같습니다. Alex가 누군가 때문에 암호화폐를 가지고 있다면 이는 그녀가 Bob에게 보내는 데 필요한 개인 키를 가지고 있음을 의미합니다. 그녀는 새로운 일회성 주소를 생성하기 위해 Bob의 공개 정보를 사용하는 Dﬃe-Hellman 교환 암호화폐는 해당 주소로 전송됩니다. 이제 (아마도 안전한) DH 교환이 새로운 일회용 주소를 생성하는 데 사용되었으므로 Alex가 CN을 보낸 곳에서 Bob은 CN을 반복하는 데 필요한 개인 키를 가진 유일한 사람입니다. 위. 이제 Bob은 Alex입니다. http://en.wikipedia.org/wiki/Piecewise#Notation_and_interpretation 합계는 i가 아닌 j에 대해 인덱싱되어야 합니다. 각 c_i는 무작위 정크입니다(w_i는 무작위이므로). c_i 엉덩이만 빼고이 서명과 관련된 실제 키와 관련이 있습니다. c의 값은 다음과 같습니다. 이전 정보의 hash. 하지만 여기에는 인덱스 'i'를 재사용하는 것보다 더 나쁜 오타가 포함되어 있을 수 있다고 생각합니다. 왜냐하면 c_s가 다음과 같이 보이기 때문입니다. 명시적으로 정의하는 것이 아니라 암시적으로 정의해야 합니다. 실제로, 이 방정식을 믿음으로 취하면 c_s = (1/2)c - (1/2)라고 결정합니다. sum_i neq s c_i. 즉, hash에서 난수 전체를 뺀 것입니다. 반면, 이 합산을 읽으려는 경우 "c_s = (c - sum_j neq s c_j) mod l", 그런 다음 이전 정보의 hash을 가져와서 여러 개의 난수를 생성합니다. hash에서 모든 난수를 빼면 c_s가 됩니다. 이 것 같다 내 직관에 따라 "무슨 일이 일어나야 하는지"와 10페이지의 확인 단계와 일치합니다. 그러나 직관은 수학이 아니다. 이에 대해 더 자세히 알아보겠습니다. 이전과 동일합니다. 실제와 관련된 것을 제외하고 이들 모두는 임의의 정크입니다. 서명자의 공개 키 x. 이번을 제외하고는 이것이 구조에서 내가 기대하는 것 이상입니다. r_i는 i!=s에 대해 무작위이며 r_s는 비밀 x와 s 인덱스 값에 의해서만 결정됩니다. q_i와 c_i.

VER: 검증자는 역변환을 적용하여 서명을 확인합니다. ( 엘' 나는 = 리그 + ciPi R′ i = riHp(Pi) + ciI 마지막으로 검증자는 다음 사항을 확인합니다. nP 나는=0 ci ?= Hs(m, L' 0, . . . , 엘' n, R′ 0, . . . , R' n) 모드 l 이 동등성이 정확하면 검증자는 알고리즘 LNK를 실행합니다. 그렇지 않으면 검증자가 거부합니다. 서명. LNK: 검증자는 과거 서명에 내가 사용되었는지 확인합니다(이 값은 I)을 설정합니다. 여러 번 사용한다는 것은 동일한 비밀 키로 두 개의 서명이 생성되었음을 의미합니다. 프로토콜의 의미: L 변환을 적용하여 서명자는 자신이 알고 있음을 증명합니다. 그러한 x는 적어도 하나의 Pi = xG입니다. 이 증명을 반복 불가능하게 만들기 위해 핵심 이미지를 소개합니다. I = xHp(P)입니다. 서명자는 동일한 계수(ri, ci)를 사용하여 거의 동일한 진술을 증명합니다. 그는 적어도 하나의 \(H_p(P_i) = I \cdot x^{-1}\)이라는 x를 알고 있습니다. 매핑 x \(\to\) I가 주입인 경우: 1. 누구도 키 이미지에서 공개 키를 복구하고 서명자를 식별할 수 없습니다. 2. 서명자는 서로 다른 I와 동일한 x를 사용하여 두 개의 서명을 만들 수 없습니다. 전체 보안 분석은 부록 A에 제공됩니다. 4.5 표준 CryptoNote 거래 Bob은 두 가지 방법(링크할 수 없는 공개 키와 추적할 수 없는 링 서명)을 결합하여 다음을 달성합니다. 원래 Bitcoin 체계와 비교하여 새로운 수준의 개인 정보 보호를 제공합니다. 저장만 하면 됩니다. 하나의 개인 키(a, b)와 게시(A, B)를 사용하여 익명 트랜잭션 수신 및 전송을 시작합니다. 각 트랜잭션을 검증하는 동안 Bob은 트랜잭션이 자신에게 속하는지 확인하기 위해 출력당 두 번의 타원 곡선 곱셈과 한 번의 추가만 추가로 수행합니다. 그의 모든 것을 위해 출력 Bob은 일회용 키 쌍(pi, Pi)을 복구하여 자신의 지갑에 저장합니다. 모든 입력이 가능합니다. 단일 거래에 등장하는 경우에만 정황상 소유자가 동일한 것으로 입증됩니다. 에서 사실 이 관계는 일회성 링 서명으로 인해 설정하기가 훨씬 더 어렵습니다. 링 서명을 사용하면 Bob은 다른 사람의 모든 입력을 효과적으로 숨길 수 있습니다. 모두 가능 지출자는 동일할 가능성이 높으며, 심지어 이전 소유자(앨리스)도 다음보다 더 많은 정보를 갖고 있지 않습니다. 어떤 관찰자. 자신의 거래에 서명할 때 Bob은 자신의 거래 금액과 동일한 금액으로 n개의 해외 출력을 지정합니다. 다른 사용자의 참여 없이 모두 혼합하여 출력합니다. 밥 자신도 (그리고 다른 사람) 이러한 지불이 지출되었는지 여부를 알 수 없습니다. 출력을 사용할 수 있습니다. 수천 개의 서명을 모호한 요소로 삼고 결코 숨길 대상으로 삼지 않습니다. 더블 지출 확인은 사용된 키 이미지 세트를 확인할 때 LNK 단계에서 발생합니다. Bob은 스스로 모호성 정도를 선택할 수 있습니다. n = 1은 그가 가질 확률이 소비된 출력은 50% 확률이고, n = 99는 1%를 제공합니다. 결과 서명의 크기가 증가합니다. 선형적으로 O(n+1)이므로 향상된 익명성은 Bob에게 추가 거래 수수료를 부과합니다. 그는 또한 할 수 있습니다 n = 0으로 설정하고 그의 링 서명이 단 하나의 요소로 구성되도록 만듭니다. 그러나 이는 즉시 그를 지출자로 밝혀라. 10 VER: 검증자는 역변환을 적용하여 서명을 확인합니다. ( 엘' 나는 = 리그 + ciPi R′ i = riHp(Pi) + ciI 마지막으로 검증자는 다음 사항을 확인합니다. nP 나는=0 ci ?= Hs(m, L' 0, . . . , 엘' n, R′ 0, . . . , R' n) 모드 l 이 동등성이 정확하면 검증자는 알고리즘 LNK를 실행합니다. 그렇지 않으면 검증자가 거부합니다. 서명. LNK: 검증자는 과거 서명에 내가 사용되었는지 확인합니다(이 값은 I)을 설정합니다. 여러 번 사용한다는 것은 동일한 비밀 키로 두 개의 서명이 생성되었음을 의미합니다. 프로토콜의 의미: L 변환을 적용하여 서명자는 자신이 알고 있음을 증명합니다. 그러한 x는 적어도 하나의 Pi = xG입니다. 이 증명을 반복 불가능하게 만들기 위해 핵심 이미지를 소개합니다. I = xHp(P)입니다. 서명자는 동일한 계수(ri, ci)를 사용하여 거의 동일한 진술을 증명합니다. 그는 적어도 하나의 \(H_p(P_i) = I \cdot x^{-1}\)이라는 x를 알고 있습니다. 매핑 x \(\to\) I가 주입인 경우: 1. 누구도 키 이미지에서 공개 키를 복구하고 서명자를 식별할 수 없습니다. 2. 서명자는 서로 다른 I와 동일한 x를 사용하여 두 개의 서명을 만들 수 없습니다. 전체 보안 분석은 부록 A에 제공됩니다. 4.5 표준 CryptoNote 거래 Bob은 두 가지 방법(링크할 수 없는 공개 키와 추적할 수 없는 링 서명)을 결합하여 다음을 달성합니다. 원래 Bitcoin 체계와 비교하여 새로운 수준의 개인정보 보호를 제공합니다. 저장만 하면 됩니다. 하나의 개인 키(a, b)와 게시(A, B)를 사용하여 익명 트랜잭션 수신 및 전송을 시작합니다. 각 트랜잭션을 검증하는 동안 Bob은 트랜잭션이 자신에게 속하는지 확인하기 위해 출력당 두 번의 타원 곡선 곱셈과 한 번의 추가만 추가로 수행합니다. 그의 모든 것을 위해 출력 Bob은 일회용 키 쌍(pi, Pi) 및 st를 복구합니다.그의 지갑에 광석이 있어요. 모든 입력이 가능합니다. 단일 거래에 등장하는 경우에만 정황상 소유자가 동일한 것으로 입증됩니다. 에서 사실 이 관계는 일회성 링 서명으로 인해 설정하기가 훨씬 더 어렵습니다. 링 서명을 사용하면 Bob은 다른 사람의 모든 입력을 효과적으로 숨길 수 있습니다. 모두 가능 지출자는 동일할 가능성이 높으며, 심지어 이전 소유자(앨리스)도 다음보다 더 많은 정보를 갖고 있지 않습니다. 어떤 관찰자. 자신의 거래에 서명할 때 Bob은 자신의 거래 금액과 동일한 금액으로 n개의 해외 출력을 지정합니다. 다른 사용자의 참여 없이 모두 혼합하여 출력합니다. 밥 자신도 (그리고 다른 사람) 이러한 지불이 지출되었는지 여부를 알 수 없습니다. 출력을 사용할 수 있습니다. 수천 개의 서명을 모호한 요소로 삼고 결코 숨길 대상으로 삼지 않습니다. 더블 지출 확인은 사용된 키 이미지 세트를 확인할 때 LNK 단계에서 발생합니다. Bob은 스스로 모호성 정도를 선택할 수 있습니다. n = 1은 그가 가질 확률이 소비된 출력은 50% 확률이고, n = 99는 1%를 제공합니다. 결과 서명의 크기가 증가합니다. 선형적으로 O(n+1)이므로 향상된 익명성은 Bob에게 추가 거래 수수료를 부과합니다. 그는 또한 할 수 있습니다 n = 0으로 설정하고 그의 링 서명이 단 하나의 요소로 구성되도록 만듭니다. 그러나 이는 즉시 그를 지출자로 밝혀라. 10 19 이 시점에서 나는 매우 혼란스러워졌습니다. Alex는 서명(I,c_1, ..., c_n, r_1, ..., r_n)과 공개 목록이 포함된 메시지 M을 받습니다. 키 S. 그리고 그녀는 VER를 실행합니다. 그러면 L_i'와 R_i'가 계산됩니다. 이는 이전 페이지의 c_s = c - sum_i neq s c_i임을 확인합니다. 처음에 나는 매우 혼란스러웠습니다. 누구나 L_i'와 R_i'를 계산할 수 있습니다. 실제로 각 r_i와 c_i는 서명에 게시되었습니다. I의 값과 함께 시그마. 집합 S = 모든 공개 키의 P_i도 공개되었습니다. 따라서 시그마와 세트를 본 사람은 누구나 키 S = P_i는 L_i' 및 R_i'에 대해 동일한 값을 얻으므로 서명을 확인합니다. 하지만 이 섹션은 단순히 서명 알고리즘을 설명하는 것이지 "검사"를 설명하는 것이 아니라는 것을 기억했습니다. 서명했다면 SENT TO ME인지 확인하고, 그렇다면 가서 돈을 쓰세요." 이것은 단순히 게임의 시그니처 부분. 마침내 그곳에 도착하면 부록 A를 읽고 싶습니다. Cryptonote와 Bitcoin의 본격적인 동작별 비교를 보고 싶습니다. 또한, 전기/지속가능성. 여기서 "입력"을 구성하는 알고리즘은 무엇입니까? 내 생각에 거래 입력은 Amount와 UTXO의 집합으로, 합산하면 다음보다 더 큰 금액이 됩니다. 금액. 이것은 불분명합니다. "숨어갈 대상?" 나는 이것에 대해 몇 분 동안 생각해 보았지만 아직도 그 생각을 하지 못했습니다. 그것이 무엇을 의미하는지 가장 모호한 생각입니다. 이중 지출 공격은 노드에서 인식된 사용 키를 조작해야만 실행될 수 있습니다. 이미지가 \(I\)로 설정되었습니다. "모호성 정도" = n이지만 거래에 포함된 공개키의 총 개수는 n+1. 즉, 모호성 정도는 "다른 사람이 몇 명이나 있기를 원하는가"입니다. 군중?" 대답은 아마도 기본적으로 "가능한 한 많이"일 것입니다.

VER: 검증자는 역변환을 적용하여 서명을 확인합니다. ( 엘' 나는 = 리그 + ciPi R′ i = riHp(Pi) + ciI 마지막으로 검증자는 다음 사항을 확인합니다. nP 나는=0 ci ?= Hs(m, L' 0, . . . , 엘' n, R′ 0, . . . , R' n) 모드 l 이 동등성이 정확하면 검증자는 알고리즘 LNK를 실행합니다. 그렇지 않으면 검증자가 거부합니다. 서명. LNK: 검증자는 과거 서명에 내가 사용되었는지 확인합니다(이 값은 I)을 설정합니다. 여러 번 사용한다는 것은 동일한 비밀 키로 두 개의 서명이 생성되었음을 의미합니다. 프로토콜의 의미: L 변환을 적용하여 서명자는 자신이 알고 있음을 증명합니다. 그러한 x는 적어도 하나의 Pi = xG입니다. 이 증명을 반복 불가능하게 만들기 위해 핵심 이미지를 소개합니다. I = xHp(P)입니다. 서명자는 동일한 계수(ri, ci)를 사용하여 거의 동일한 진술을 증명합니다. 그는 적어도 하나의 \(H_p(P_i) = I \cdot x^{-1}\)이라는 x를 알고 있습니다. 매핑 x \(\to\) I가 주입인 경우: 1. 누구도 키 이미지에서 공개 키를 복구하고 서명자를 식별할 수 없습니다. 2. 서명자는 서로 다른 I와 동일한 x를 사용하여 두 개의 서명을 만들 수 없습니다. 전체 보안 분석은 부록 A에 제공됩니다. 4.5 표준 CryptoNote 거래 Bob은 두 가지 방법(링크할 수 없는 공개 키와 추적할 수 없는 링 서명)을 결합하여 다음을 달성합니다. 원래 Bitcoin 방식과 비교하여 새로운 수준의 개인정보 보호를 제공합니다. 저장만 하면 됩니다. 하나의 개인 키(a, b)와 게시(A, B)를 사용하여 익명 트랜잭션 수신 및 전송을 시작합니다. 각 트랜잭션을 검증하는 동안 Bob은 트랜잭션이 자신에게 속하는지 확인하기 위해 출력당 두 번의 타원 곡선 곱셈과 한 번의 추가만 추가로 수행합니다. 그의 모든 것을 위해 출력 Bob은 일회용 키 쌍(pi, Pi)을 복구하여 자신의 지갑에 저장합니다. 모든 입력이 가능합니다. 단일 거래에 등장하는 경우에만 정황상 소유자가 동일한 것으로 입증됩니다. 에서 사실 이 관계는 일회성 링 서명으로 인해 설정하기가 훨씬 더 어렵습니다. 링 서명을 사용하면 Bob은 다른 사람의 모든 입력을 효과적으로 숨길 수 있습니다. 모두 가능 지출자는 동일할 가능성이 높으며, 심지어 이전 소유자(앨리스)도 다음보다 더 많은 정보를 갖고 있지 않습니다. 어떤 관찰자. 자신의 거래에 서명할 때 Bob은 자신의 거래 금액과 동일한 금액으로 n개의 해외 출력을 지정합니다. 다른 사용자의 참여 없이 모두 혼합하여 출력합니다. 밥 자신도 (그리고 다른 사람) 이러한 지불이 지출되었는지 여부를 알 수 없습니다. 출력을 사용할 수 있습니다. 수천 개의 서명을 모호한 요소로 삼고 결코 숨길 대상으로 삼지 않습니다. 더블 지출 확인은 사용된 키 이미지 세트를 확인할 때 LNK 단계에서 발생합니다. Bob은 스스로 모호성 정도를 선택할 수 있습니다. n = 1은 그가 가질 확률이 소비된 출력은 50% 확률이고, n = 99는 1%를 제공합니다. 결과 서명의 크기가 증가합니다. 선형적으로 O(n+1)이므로 향상된 익명성은 Bob에게 추가 거래 수수료를 부과합니다. 그는 또한 할 수 있습니다 n = 0으로 설정하고 그의 링 서명이 단 하나의 요소로 구성되도록 만듭니다. 그러나 이는 즉시 그를 지출자로 밝혀라. 10 VER: 검증자는 역변환을 적용하여 서명을 확인합니다. ( 엘' 나는 = 리그 + ciPi R′ i = riHp(Pi) + ciI 마지막으로 검증자는 다음 사항을 확인합니다. nP 나는=0 ci ?= Hs(m, L' 0, . . . , 엘' n, R′ 0, . . . , R' n) 모드 l 이 동등성이 정확하면 검증자는 알고리즘 LNK를 실행합니다. 그렇지 않으면 검증자가 거부합니다. 서명. LNK: 검증자는 과거 서명에 내가 사용되었는지 확인합니다(이 값은 I)을 설정합니다. 여러 번 사용한다는 것은 동일한 비밀 키로 두 개의 서명이 생성되었음을 의미합니다. 프로토콜의 의미: L 변환을 적용하여 서명자는 자신이 알고 있음을 증명합니다. 그러한 x는 적어도 하나의 Pi = xG입니다. 이 증명을 반복 불가능하게 만들기 위해 핵심 이미지를 소개합니다. I = xHp(P)입니다. 서명자는 동일한 계수(ri, ci)를 사용하여 거의 동일한 진술을 증명합니다. 그는 적어도 하나의 \(H_p(P_i) = I \cdot x^{-1}\)이라는 x를 알고 있습니다. 매핑 x \(\to\) I가 주입인 경우: 1. 누구도 키 이미지에서 공개 키를 복구하고 서명자를 식별할 수 없습니다. 2. 서명자는 서로 다른 I와 동일한 x를 사용하여 두 개의 서명을 만들 수 없습니다. 전체 보안 분석은 부록 A에 제공됩니다. 4.5 표준 CryptoNote 거래 Bob은 두 가지 방법(링크할 수 없는 공개 키와 추적할 수 없는 링 서명)을 결합하여 다음을 달성합니다. 원래 Bitcoin 체계와 비교하여 새로운 수준의 개인정보 보호를 제공합니다. 저장만 하면 됩니다. 하나의 개인 키(a, b)와 게시(A, B)를 사용하여 익명 트랜잭션 수신 및 전송을 시작합니다. 각 트랜잭션을 검증하는 동안 Bob은 트랜잭션이 자신에게 속하는지 확인하기 위해 출력당 두 번의 타원 곡선 곱셈과 한 번의 추가만 추가로 수행합니다. 그의 모든 것을 위해 출력 Bob은 일회용 키 쌍(pi, Pi) 및 st를 복구합니다.그의 지갑에 광석이 있어요. 모든 입력이 가능합니다. 단일 거래에 등장하는 경우에만 정황상 소유자가 동일한 것으로 입증됩니다. 에서 사실 이 관계는 일회성 링 서명으로 인해 설정하기가 훨씬 더 어렵습니다. 링 서명을 사용하면 Bob은 다른 사람의 모든 입력을 효과적으로 숨길 수 있습니다. 모두 가능 지출자는 동일할 가능성이 높으며, 심지어 이전 소유자(앨리스)도 다음보다 더 많은 정보를 갖고 있지 않습니다. 어떤 관찰자. 자신의 거래에 서명할 때 Bob은 자신의 거래 금액과 동일한 금액으로 n개의 해외 출력을 지정합니다. 다른 사용자의 참여 없이 모두 혼합하여 출력합니다. 밥 자신도 (그리고 다른 사람) 이러한 지불이 지출되었는지 여부를 알 수 없습니다. 출력을 사용할 수 있습니다. 수천 개의 서명을 모호한 요소로 삼고 결코 숨길 대상으로 삼지 않습니다. 더블 지출 확인은 사용된 키 이미지 세트를 확인할 때 LNK 단계에서 발생합니다. Bob은 스스로 모호성 정도를 선택할 수 있습니다. n = 1은 그가 가질 확률이 소비된 출력은 50% 확률이고, n = 99는 1%를 제공합니다. 결과 서명의 크기가 증가합니다. 선형적으로 O(n+1)이므로 향상된 익명성은 Bob에게 추가 거래 수수료를 부과합니다. 그는 또한 할 수 있습니다 n = 0으로 설정하고 그의 링 서명이 단 하나의 요소로 구성되도록 만듭니다. 그러나 이는 즉시 그를 지출자로 밝혀라. 10 20 이것은 흥미롭습니다. 앞서 우리는 수신자 Bob이 모든 INCOMING을 수행할 수 있는 방법을 제공했습니다. 개인 키의 절반을 결정론적으로 선택하거나 다음을 통해 연결 해제할 수 없는 트랜잭션 그의 개인 키 절반을 공개로 공개합니다. 이는 되돌릴 수 없는 일종의 정책입니다. 여기서 우리는 본다 발신자 Alex가 하나의 나가는 트랜잭션을 연결 가능한 것으로 선택하는 방법이지만 실제로는 Alex가 전체 네트워크의 발신자로 밝혀졌습니다. 이는 되돌릴 수 없는 종류의 정책이 아닙니다. 이는 거래별입니다. 세 번째 정책이 있나요? 수신자 Bob이 Alex를 위한 고유 결제 ID를 생성할 수 있나요? 아마도 Diﬃe-Hellman 교환을 사용하여 변경되지 않습니까? 누군가 그 지불금을 포함한다면 Bob의 주소에 대한 거래 어딘가에 ID가 번들로 포함되어 있으며 Alex가 보낸 것임에 틀림없습니다. 이런 식으로 Alex는 특정 링크를 연결하도록 선택하여 전체 네트워크에 자신을 공개할 필요가 없습니다. 하지만 그녀는 자신이 돈을 보내는 사람에게 여전히 자신의 신원을 확인할 수 있습니다. 이것이 바로 폴로닉스가 하는 일이 아닌가요?

거래 송신 입력 출력0 . . . 출력i . . . 출력n 주요 이미지 서명 링 시그니처 대상 키 출력1 대상 키 출력n 해외거래 발신자의 출력 대상 키 일회용 키쌍 일회성 개인 키 나는 = xHp(P) 피, 엑스 그림 7. 표준 트랜잭션에서 링 서명 생성. 5 평등주의적 작업 증명 이 섹션에서는 새로운 proof-of-work 알고리즘을 제안하고 기반으로 삼습니다. 우리의 주요 목표 CPU(다수)와 GPU/FPGA/ASIC(소수) 채굴기 간의 격차를 줄이는 것입니다. 그것은 일부 사용자가 다른 사용자에 비해 특정 이점을 가질 수 있다는 것은 적절하지만, 그들의 투자는 최소한 전력에 따라 선형적으로 증가해야 합니다. 보다 일반적으로 특수 목적 장치를 생산하는 경우 최대한 수익성이 낮아야 합니다. 5.1 관련 작품 원래 Bitcoin proof-of-work 프로토콜은 CPU 집약적인 가격 책정 기능 SHA-256을 사용합니다. 주로 기본 논리 연산자로 구성되며 계산 속도에만 의존합니다. 따라서 멀티코어/컨베이어 구현에 완벽하게 적합합니다. 그러나 현대 컴퓨터는 초당 작업 수에만 제한을 두지 않습니다. 뿐만 아니라 메모리 크기에 따라서도 마찬가지입니다. 일부 프로세서는 다른 프로세서보다 훨씬 더 빠를 수 있지만([8]), 메모리 크기는 시스템마다 다를 가능성이 적습니다. 메모리 바인딩 가격 함수는 Abadi et al에 의해 처음 소개되었으며 다음과 같이 정의되었습니다. "계산 시간이 메모리 액세스에 소요되는 시간에 의해 좌우되는 함수" [15]. 주요 아이디어는 대규모 데이터 블록(“스크래치패드”)을 할당하는 알고리즘을 구축하는 것입니다. 상대적으로 느리게 액세스할 수 있는 메모리(예: RAM) 내에서 예측할 수 없는 일련의 위치”를 포함합니다. 블록은 보존할 수 있을 만큼 충분히 커야 합니다. 액세스할 때마다 데이터를 다시 계산하는 것보다 데이터가 더 유리합니다. 알고리즘은 또한 내부 병렬성을 방지하므로 N개의 동시 스레드에는 N배 더 많은 메모리가 필요합니다. 즉시. Dwork et al [22]은 이 접근 방식을 조사하고 공식화하여 다른 제안을 했습니다. 가격 책정 기능의 변형: "Mbound". 또 하나의 작품은 F. Coelho [20]의 작품입니다. 11 거래 송신 입력 출력0 . . . 출력i . . . 출력n 주요 이미지 서명 링 시그니처 대상 키 출력1 대상 키 출력n 해외거래 발신자의 출력 대상 키 일회용 키쌍 일회성 개인 키 나는 = xHp(P) 피, 엑스 그림 7. 표준 트랜잭션에서 링 서명 생성. 5 평등주의적 작업 증명 이 섹션에서는 새로운 proof-of-work 알고리즘을 제안하고 기반으로 삼습니다. 우리의 주요 목표 CPU(다수)와 GPU/FPGA/ASIC(소수) 채굴기 간의 격차를 줄이는 것입니다. 그것은 일부 사용자가 다른 사용자에 비해 특정 이점을 가질 수 있다는 것은 적절하지만, 그들의 투자는 최소한 전력에 따라 선형적으로 증가해야 합니다. 보다 일반적으로 특수 목적 장치를 생산하는 경우 최대한 수익성이 낮아야 합니다. 5.1 관련 작품 원래 Bitcoin proof-of-work 프로토콜은 CPU 집약적인 가격 책정 기능 SHA-256을 사용합니다. 주로 기본 논리 연산자로 구성되며 계산 속도에만 의존합니다. 따라서 멀티코어/컨베이어 구현에 완벽하게 적합합니다. 그러나 현대 컴퓨터는 초당 작업 수에만 제한을 두지 않습니다. 뿐만 아니라 메모리 크기에 따라서도 마찬가지입니다. 일부 프로세서는 다른 프로세서보다 훨씬 더 빠를 수 있지만([8]), 메모리 크기는 시스템마다 다를 가능성이 적습니다. 메모리 바인딩 가격 함수는 Abadi et al에 의해 처음 소개되었으며 다음과 같이 정의되었습니다. "계산 시간이 메모리 액세스에 소요되는 시간에 의해 좌우되는 함수" [15]. 주요 아이디어는 대규모 데이터 블록(“스크래치패드”)을 할당하는 알고리즘을 구축하는 것입니다. 상대적으로 느리게 액세스할 수 있는 메모리(예: RAM) 내에서 예측할 수 없는 일련의 위치”를 포함합니다. 블록은 보존할 수 있을 만큼 충분히 커야 합니다. 액세스할 때마다 데이터를 다시 계산하는 것보다 데이터가 더 유리합니다. 알고리즘은 또한 내부 병렬성을 방지하므로 N개의 동시 스레드에는 N배 더 많은 메모리가 필요합니다. 즉시. Dwork et al [22]은 이 접근 방식을 조사하고 공식화하여 다른 제안을 제시했습니다. 가격 책정 기능의 변형: "Mbound". 또 하나의 작품은 F. Coelho [20]의 작품입니다. 11 21 표면적으로는 UTXO의 금액 및 대상 키입니다. Alex가 이 표준 트랜잭션을 구성하고 Bob에게 보내는 사람이라면 Alex도 개인 키를 갖게 됩니다. 이들 각각에. 저는 이 다이어그램이 이전의 몇 가지 질문에 대한 답을 제공한다는 점에서 매우 마음에 듭니다. Txn 입력은 다음과 같이 구성됩니다. Txn 출력 세트와 key 이미지. 그런 다음 모든 항목을 포함하여 링 서명으로 서명됩니다. Alex가 소유한 개인 키 중 거래에 포함된 모든 해외 거래에 대해. 는 Txn 출력은 금액과 대상 키로 구성됩니다. 거래를 받는 사람은 다음과 같이 할 수 있습니다. 원하는 대로 비용을 지출하기 위해 백서 앞부분에서 설명한 대로 일회용 개인 키를 생성합니다. 돈. 이것이 실제 코드와 얼마나 일치하는지 알아내는 것은 즐거운 일이 될 것입니다... 아니요, Nic van Saberhagen은 작업 증명 알고리즘의 일부 속성을 느슨하게 설명합니다. 실제로 해당 알고리즘을 설명하지 않고. CryptoNight 알고리즘 자체에는 심층 분석이 필요합니다. 이것을 읽었을 때 나는 말을 더듬었다. 투자는 권력에 따라 최소한 선형적으로 증가해야 할까요, 아니면 투자는 권력에 따라 최대 선형적으로 성장합니까? 그리고 나서 나는 깨달았습니다. 채굴자로서, 혹은 투자자로서 나는 보통 "얼마나 많은 힘을 얻을 수 있는가?"라고 생각합니다. 투자를 위해서?" "고정된 전력량을 얻으려면 얼마나 많은 투자가 필요합니까?"가 아닙니다. 물론, 투자를 I로, 권력을 P로 표시합니다. I(P)가 권력의 함수인 투자라면 그리고 P(I)는 투자의 함수로서의 힘이며, 둘은 서로 반대가 될 것입니다(어디에서든). 역이 존재할 수 있음). 그리고 I(P)가 선형보다 빠르면 P(I)는 선형보다 느립니다. 따라서, 투자자들의 수익률은 감소할 것입니다. 즉, 저자가 여기서 말하는 것은 "물론, 더 많이 투자할수록 더 많은 것을 얻게 될 것입니다." 힘. 하지만 우리는 이를 감소된 수익률로 만들려고 노력해야 합니다." CPU 투자는 결국 준선형적으로 한계를 넘을 것입니다. 문제는 저자가 ASIC도 이 작업을 수행하도록 강제하는 POW 알고리즘을 설계했습니다. 가상의 "미래 통화"는 항상 가장 느리고 가장 제한된 자원으로 채굴해야 합니까? Abadi 등의 논문(일부 Google 및 Microsoft 엔지니어가 저자로 참여)은 다음과 같습니다. 기본적으로 지난 몇 년 동안 메모리 크기가 훨씬 작아졌다는 사실을 이용하여 프로세서 속도보다 기계에 따른 차이가 있으며 전력 대비 투자 비율이 선형보다 높습니다. 몇 년 안에 이 문제를 재평가해야 할 수도 있습니다! 모든 것이 군비경쟁이다... hash 함수를 구성하는 것은 어렵습니다. 이러한 제약 조건을 만족하는 hash 함수를 구성하는 것은 더 어려운 것 같습니다. 이 문서에는 실제 내용에 대한 설명이 없는 것 같습니다. hashing 알고리즘 CryptoNight. 나는 이것이 SHA-3의 메모리 하드 구현이라고 생각합니다. 포럼 게시물에 있지만 잘 모르겠습니다... 그게 요점입니다. 설명되어야합니다.

가장 효과적인 솔루션을 제안한 것이 바로 '홋카이도'입니다. 우리가 아는 한, 대규모 배열의 의사 무작위 검색 아이디어를 기반으로 한 마지막 작업은 다음과 같습니다. C. Percival [32]에 의해 "scrypt"로 알려진 알고리즘. 이전 기능과 달리 초점이 맞춰져 있습니다. proof-of-work 시스템이 아닌 키 파생입니다. 이러한 사실에도 불구하고 scrypt는 우리의 목적을 달성할 수 있습니다: 이는 SHA-256과 같은 부분적인 hash 변환 문제에서 가격 책정 기능으로 잘 작동합니다. Bitcoin. 지금까지 scrypt는 이미 Litecoin [14] 및 기타 Bitcoin 포크에 적용되었습니다. 그러나 구현은 실제로 메모리에 국한되지 않습니다. "메모리 액세스 시간/전체" 비율 time”은 각 인스턴스가 128KB만 사용하기 때문에 충분히 크지 않습니다. 이는 GPU 채굴을 허용합니다. 약 10배 더 효과적이며 계속해서 상대적으로 저렴하지만 매우 효율적인 채굴 장치. 더욱이 스크립트 구성 자체는 메모리 크기와 메모리 크기 간의 선형적인 균형을 허용합니다. 스크래치패드의 모든 블록이 이전 블록에서만 파생된다는 사실로 인한 CPU 속도. 예를 들어 매 두 번째 블록을 저장하고 다른 블록을 게으른 방식으로 다시 계산할 수 있습니다. 필요할 때. 의사 난수 인덱스는 균일하게 분포된 것으로 가정됩니다. 따라서 추가 블록의 재계산에 대한 기대값은 1입니다. \(2 \cdot N\), 여기서 N은 숫자입니다. 반복의. 전체 계산 시간은 절반 미만으로 증가합니다. 스크래치패드 준비 및 hashing과 같은 시간 독립적(일정한 시간) 작업 모든 반복. 메모리 비용의 2/3 절약 1 \(3 \cdot N\) + 1 3 \(\cdot\) \(2 \cdot N\) = N 추가 재계산; 9월 10일 결과 1 \(10 \cdot N\) + . . . + 1 \(10 \cdot 9 \cdot N\) = 4.5N. 1개만 저장한다는 것을 보여주기 쉽습니다. 모든 블록의 s−1배보다 시간이 덜 늘어납니다. 2 . 이는 결국 CPU가 있는 머신을 의미합니다. 최신 칩보다 200배 빠른 스크래치패드는 320바이트만 저장할 수 있습니다. 5.2 제안된 알고리즘 우리는 proof-of-work 가격 책정 기능에 대한 새로운 메모리 바인딩 알고리즘을 제안합니다. 그것은 다음에 의존한다 느린 메모리에 대한 무작위 액세스 및 대기 시간 의존성을 강조합니다. 매번 암호화하는 것과 반대로 새 블록(길이 64바이트)은 모든 이전 블록에 따라 달라집니다. 결과적으로 가설 "메모리 절약"자는 계산 속도를 기하급수적으로 증가시켜야 합니다. 우리 알고리즘에는 다음과 같은 이유로 인스턴스당 약 2Mb가 필요합니다. 1. 주류가 될 최신 프로세서의 L3 캐시(코어당)에 적합합니다. 몇 년 안에; 2. 1MB의 내부 메모리는 최신 ASIC 파이프라인에 거의 허용되지 않는 크기입니다. 3. GPU는 수백 개의 동시 인스턴스를 실행할 수 있지만 다른 방식으로 제한됩니다. GDDR5 메모리는 CPU L3 캐시보다 느리고 대역폭이 뛰어납니다. 랜덤 액세스 속도. 4. 스크래치패드를 크게 확장하려면 반복 횟수를 늘려야 합니다. 회전은 전체 시간의 증가를 의미합니다. 신뢰가 없는 p2p 네트워크에서 "과중한" 호출은 다음과 같은 결과를 가져올 수 있습니다. 노드는 모든 새 블록의 proof-of-work을 확인해야 하기 때문에 심각한 취약점이 있습니다. 노드가 각 hash 평가에 상당한 시간을 소비한다면 쉽게 임의의 작업 데이터(nonce 값)가 포함된 가짜 객체의 홍수로 인해 DDoS를 당했습니다. 12 가장 효과적인 솔루션을 제안한 것이 바로 '홋카이도'입니다. 우리가 아는 한, 대규모 배열의 의사 무작위 검색 아이디어를 기반으로 한 마지막 작업은 다음과 같습니다. C. Percival [32]에 의해 "scrypt"로 알려진 알고리즘. 이전 기능과 달리 초점이 맞춰져 있습니다. proof-of-work 시스템이 아닌 키 파생입니다. 이러한 사실에도 불구하고 scrypt는 우리의 목적을 달성할 수 있습니다: 이는 SHA-256와 같은 부분적인 hash 변환 문제에서 가격 책정 기능으로 잘 작동합니다. Bitcoin. 지금까지 scrypt는 이미 Litecoin [14] 및 기타 Bitcoin 포크에 적용되었습니다. 그러나 구현은 실제로 메모리에 국한되지 않습니다. "메모리 액세스 시간/전체" 비율 time”은 각 인스턴스가 128KB만 사용하기 때문에 충분히 크지 않습니다. 이는 GPU 채굴을 허용합니다. 약 10배 더 효과적이며 계속해서 상대적으로 저렴하지만 매우 효율적인 채굴 장치. 더욱이 스크립트 구성 자체는 메모리 크기와 메모리 크기 간의 선형적인 균형을 허용합니다. 스크래치패드의 모든 블록이 이전 블록에서만 파생된다는 사실로 인한 CPU 속도. 예를 들어 매 두 번째 블록을 저장하고 다른 블록을 게으른 방식으로 다시 계산할 수 있습니다. 필요할 때. 의사 난수 인덱스는 균일하게 분포된 것으로 가정됩니다. 따라서 추가 블록의 재계산에 대한 기대값은 1입니다. \(2 \cdot N\), 여기서N은 숫자입니다. 반복의. 전체 계산 시간은 절반 미만으로 증가합니다. 스크래치패드 준비 및 hashing과 같은 시간 독립적(일정한 시간) 작업 모든 반복. 메모리 비용의 2/3 절약 1 \(3 \cdot N\) + 1 3 \(\cdot\) \(2 \cdot N\) = N 추가 재계산; 9월 10일 결과 1 \(10 \cdot N\) + . . . + 1 \(10 \cdot 9 \cdot N\) = 4.5N. 1개만 저장한다는 것을 보여주기 쉽습니다. 모든 블록의 s−1배보다 시간이 덜 늘어납니다. 2 . 이는 결국 CPU가 있는 머신을 의미합니다. 최신 칩보다 200배 빠른 스크래치패드는 320바이트만 저장할 수 있습니다. 5.2 제안된 알고리즘 우리는 proof-of-work 가격 책정 기능에 대한 새로운 메모리 바인딩 알고리즘을 제안합니다. 그것은 다음에 의존한다 느린 메모리에 대한 무작위 액세스 및 대기 시간 의존성을 강조합니다. 매번 암호화하는 것과 반대로 새 블록(길이 64바이트)은 모든 이전 블록에 따라 달라집니다. 결과적으로 가설 "메모리 절약"자는 계산 속도를 기하급수적으로 증가시켜야 합니다. 우리 알고리즘에는 다음과 같은 이유로 인스턴스당 약 2Mb가 필요합니다. 1. 주류가 될 최신 프로세서의 L3 캐시(코어당)에 적합합니다. 몇 년 안에; 2. 1MB의 내부 메모리는 최신 ASIC 파이프라인에 거의 허용되지 않는 크기입니다. 3. GPU는 수백 개의 동시 인스턴스를 실행할 수 있지만 다른 방식으로 제한됩니다. GDDR5 메모리는 CPU L3 캐시보다 느리고 대역폭이 뛰어납니다. 랜덤 액세스 속도. 4. 스크래치패드를 크게 확장하려면 반복 횟수를 늘려야 합니다. 회전은 전체 시간의 증가를 의미합니다. 신뢰가 없는 p2p 네트워크에서 "과중한" 호출은 다음과 같은 결과를 가져올 수 있습니다. 노드는 모든 새 블록의 proof-of-work을 확인해야 하기 때문에 심각한 취약점이 있습니다. 노드가 각 hash 평가에 상당한 시간을 소비한다면 쉽게 임의의 작업 데이터(nonce 값)가 포함된 가짜 개체의 홍수로 인해 DDoS를 당했습니다. 12 22 신경쓰지 마세요. 스크립트 코인인가요? 알고리즘은 어디에 있나요? 내가 보는 것은 광고뿐입니다. PoW 알고리즘이 가치가 있다면 Cryptonote가 정말 빛을 발할 곳입니다. 그렇지 않다 정말 SHA-256, 실제로는 스크립트가 아닙니다. 새롭고, 메모리에 묶여 있으며, 비재귀적입니다.

6 추가 장점 6.1 원활한 방출 CryptoNote 디지털 코인의 전체 금액에 대한 상한선은 다음과 같습니다: MSupply = 264 −1 원자 단위. 이는 직관이 아닌 구현 한계에만 근거한 자연스러운 제한입니다. “N개의 코인은 누구에게나 충분해야 합니다”와 같은 것입니다. 방출 과정의 원활함을 보장하기 위해 블록에 대해 다음 공식을 사용합니다. 보상: BaseReward = (MSupply −A) ≫18, 여기서 A는 이전에 생성된 코인의 양입니다. 6.2 조정 가능한 매개변수 6.2.1 어려움 CryptoNote에는 모든 블록의 난이도를 변경하는 타겟팅 알고리즘이 포함되어 있습니다. 이 네트워크 hashrate가 급격히 증가하거나 감소할 때 시스템의 반응 시간을 줄입니다. 일정한 차단율을 유지합니다. 원래 Bitcoin 메서드는 실제 관계를 계산합니다. 그리고 마지막 2016개 블록 사이의 목표 시간 범위를 현재 블록의 승수로 사용합니다. 어려움. 분명히 이것은 빠른 재계산(큰 관성 때문에)에는 적합하지 않습니다. 진동이 발생합니다. 우리 알고리즘의 기본 아이디어는 노드가 완료한 모든 작업을 합산하고 그것을 그들이 보낸 시간으로 나눕니다. 작업의 척도는 해당 난이도 값입니다. 각 블록에. 그러나 부정확하고 신뢰할 수 없는 타임스탬프로 인해 정확한 정보를 확인할 수 없습니다. 블록 사이의 시간 간격. 사용자는 자신의 타임스탬프를 미래와 다음 시간으로 이동할 수 있습니다. 간격은 거의 작거나 심지어 음수일 수도 있습니다. 아마 사건사고는 거의 없을 것 같아요 이런 종류이므로 타임스탬프를 정렬하고 이상값(예: 20%)을 잘라낼 수 있습니다. 범위 나머지 값은 해당 블록의 80%에 소요된 시간입니다. 6.2.2 크기 제한 사용자는 blockchain 저장 비용을 지불하고 크기에 따라 투표할 자격이 있습니다. 모든 광부 비용과 수수료로 인한 이익 사이의 균형을 맞추고 스스로 설정합니다. 블록 생성을 위한 "소프트 리미트". 또한 최대 블록 크기에 대한 핵심 규칙이 필요합니다. blockchain이 가짜 거래로 인해 범람하는 것을 방지합니다. 그러나 이 값은 하드 코딩하지 마십시오. MN을 마지막 N 블록 크기의 중앙값으로 설정합니다. 그런 다음 크기에 대한 "하드 제한" 수용 블록 수는 2 \(\cdot\) MN입니다. blockchain이 부풀어오르는 것을 방지하지만 여전히 한계를 허용합니다. 필요한 경우 시간이 지남에 따라 천천히 성장하십시오. 트랜잭션 크기를 명시적으로 제한할 필요는 없습니다. 블록 크기에 따라 제한됩니다. 그리고 누군가가 수백 개의 입력/출력(또는 링 서명의 높은 모호성 정도), 충분한 수수료를 지불하면 그렇게 할 수 있습니다. 6.2.3 크기 초과 페널티 채굴자는 여전히 최대 수수료까지 자신의 수수료 없는 거래로 블록을 가득 채울 수 있습니다. 크기 \(2 \cdot M_b\). 대다수의 채굴자만이 중앙값을 이동할 수 있지만 여전히 13 6 추가 장점 6.1 원활한 방출 CryptoNote 디지털 코인의 전체 금액에 대한 상한선은 다음과 같습니다: MSupply = 264 −1 원자 단위. 이는 직관이 아닌 구현 한계에만 근거한 자연스러운 제한입니다. “N개의 코인은 누구에게나 충분해야 합니다”와 같은 것입니다. 방출 과정의 원활함을 보장하기 위해 블록에 대해 다음 공식을 사용합니다. 보상: BaseReward = (MSupply −A) ≫18, 여기서 A는 이전에 생성된 코인의 양입니다. 6.2 조정 가능한 매개변수 6.2.1 어려움 CryptoNote에는 모든 블록의 난이도를 변경하는 타겟팅 알고리즘이 포함되어 있습니다. 이 네트워크 hashrate가 심하게 증가하거나 감소할 때 시스템의 반응 시간을 줄입니다. 일정한 차단율을 유지합니다. 원래 Bitcoin 메서드는 실제 관계를 계산합니다. 그리고 마지막 2016개 블록 사이의 목표 시간 범위를 현재 블록의 승수로 사용합니다. 어려움. 분명히 이것은 빠른 재계산(큰 관성 때문에)에는 적합하지 않습니다. 진동이 발생합니다. 우리 알고리즘의 기본 아이디어는 노드가 완료한 모든 작업을 합산하고 그것을 그들이 보낸 시간으로 나눕니다. 작업의 척도는 해당 난이도 값입니다. 각 블록에. 그러나 부정확하고 신뢰할 수 없는 타임스탬프로 인해 정확한 정보를 확인할 수 없습니다. 블록 사이의 시간 간격. 사용자는 자신의 타임스탬프를 미래와 다음 시간으로 이동할 수 있습니다. 간격은 거의 작거나 심지어 음수일 수도 있습니다. 아마 사건사고는 거의 없을 것 같아요 이런 종류이므로 타임스탬프를 정렬하고 이상값(예: 20%)을 잘라낼 수 있습니다. 범위 나머지 값은 해당 블록의 80%에 소요된 시간입니다. 6.2.2 크기 제한 사용자는 blockchain 저장 비용을 지불하고 크기에 따라 투표할 자격이 있습니다. 모든 광부 균형 간의 균형을 다룹니다.수수료로 인한 비용과 이익을 스스로 정하고 블록 생성을 위한 "소프트 리미트". 또한 최대 블록 크기에 대한 핵심 규칙이 필요합니다. blockchain이 가짜 거래로 인해 범람하는 것을 방지합니다. 그러나 이 값은 하드 코딩하지 마십시오. MN을 마지막 N 블록 크기의 중앙값으로 설정합니다. 그런 다음 크기에 대한 "하드 제한" 수용 블록 수는 2 \(\cdot\) MN입니다. blockchain이 부풀어 오르는 것을 방지하지만 여전히 한도는 허용합니다. 필요한 경우 시간이 지남에 따라 천천히 성장하십시오. 트랜잭션 크기를 명시적으로 제한할 필요는 없습니다. 블록 크기에 따라 제한됩니다. 그리고 누군가가 수백 개의 입력/출력(또는 링 서명의 높은 모호성 정도), 충분한 수수료를 지불하면 그렇게 할 수 있습니다. 6.2.3 크기 초과 페널티 채굴자는 여전히 최대 수수료까지 자신의 수수료 없는 거래로 블록을 가득 채울 수 있습니다. 크기 \(2 \cdot M_b\). 대다수의 채굴자만이 중앙값을 이동할 수 있지만 여전히 13 23 원자 단위. 나는 그것을 좋아한다. 사토시랑 동급인가요? 그렇다면 이는 1,850억 개의 암호화폐가 있다는 의미입니다. 나는 이것이 결국 몇 페이지에서 조정되어야 한다는 것을 알고 있습니다. 아니면 오타가 있을 수도 있습니다. 기본 보상이 "남은 모든 코인"인 경우 모든 코인을 얻기 위해서는 단 하나의 블록만으로도 충분합니다. 인스타그램. 반면에 이것이 어떤 식으로든 비례한다고 가정하면 지금과 일부 코인 생산 종료 날짜 사이의 시간 차이는 무엇입니까? 그럴 것이다 말이 되네요. 또한 내 세계에서는 이와 같은 두 개의 보다 큰 기호는 "보다 훨씬 크다"는 의미입니다. 작성자가 그랬나요? 아마도 다른 의미일까요? 어려움에 대한 조정이 모든 블록에서 발생하면 공격자는 매우 큰 규모의 팜을 보유할 수 있습니다. 기계는 신중하게 선택한 시간 간격으로 켜지고 꺼집니다. 난이도 조정 공식이 적절하게 감쇠되지 않으면 난이도에서 혼란스러운 폭발(또는 0으로 충돌)이 발생할 수 있습니다. Bitcoin의 방법이 빠른 재계산에 적합하지 않다는 것은 의심할 여지가 없지만 관성의 개념은 이러한 시스템에서는 당연한 것으로 받아들여지는 것이 아니라 입증되어야 합니다. 게다가 진동 네트워크의 어려움은 표면의 진동을 초래하지 않는 한 반드시 문제가 되는 것은 아닙니다. 코인 공급 - 그리고 매우 빠르게 변화하는 어려움을 갖는 것은 "과도한 수정"을 유발할 수 있습니다. 특히 몇 분과 같은 짧은 기간 동안 소요된 시간은 "총 시간"에 비례합니다. 네트워크에 생성된 블록의 수입니다." 비례상수는 그 자체로 커질 것입니다. 시간이 지남에 따라 CN이 성공하면 아마도 기하급수적으로 증가할 것입니다. 단순히 난이도를 조정하여 "생성된 전체 블록을 유지하는 것이 더 나은 생각일 수 있습니다. 마지막 블록이 메인 체인에 추가된 이후 네트워크"라는 상수 값 내에서 또는 제한된 변형 또는 이와 유사한 것. 계산적으로 적응형 알고리즘을 사용하는 경우 구현하기 쉽다고 판단되면 문제가 해결되는 것 같습니다. 그런데 그 방법을 사용하면 큰 광산 농장을 가진 사람이 농장을 폐쇄할 수도 있습니다. 몇 시간 동안 다시 켜십시오. 처음 몇 블록 동안 해당 농장은 은행. 따라서 실제로 이 방법은 흥미로운 점을 제시합니다. 채굴은 (평균적으로) 특히 더 많은 사람들이 네트워크에 접속함에 따라 ROI 없이 게임에서 패배합니다. 채굴이 어려운 경우 매우 밀접하게 추적되는 네트워크 hashrate, 사람들이 그만큼 채굴할지는 의문입니다. 현재 그렇습니다. 또는 광산 농장을 연중무휴 24시간 운영하는 대신 광산을 운영할 수도 있습니다. 6시간 동안 켜짐, 2시간 동안 켜짐, 6시간 동안 켜짐, 2시간 동안 꺼짐 등. 그냥 다른 코인으로 바꾸세요 몇 시간 동안 난이도가 떨어질 때까지 기다렸다가 추가로 몇 가지를 얻으려면 다시 시작하세요. 네트워크가 적응함에 따라 수익성이 저하됩니다. 그리고 그거 알아? 이것은 실제로 아마도 내가 생각한 더 나은 채굴 시나리오 중 하나... 이는 순환적일 수 있지만, 블록 생성 시간이 평균 약 1분이라면, "소요 시간"에 대한 프록시로 블록 수를 사용합니까?

6 추가 장점 6.1 원활한 방출 CryptoNote 디지털 코인의 전체 금액에 대한 상한선은 다음과 같습니다: MSupply = 264 −1 원자 단위. 이는 직관이 아닌 구현 한계에만 근거한 자연스러운 제한입니다. “N개의 코인은 누구에게나 충분해야 합니다”와 같은 것입니다. 방출 과정의 원활함을 보장하기 위해 블록에 대해 다음 공식을 사용합니다. 보상: BaseReward = (MSupply −A) ≫18, 여기서 A는 이전에 생성된 코인의 양입니다. 6.2 조정 가능한 매개변수 6.2.1 어려움 CryptoNote에는 모든 블록의 난이도를 변경하는 타겟팅 알고리즘이 포함되어 있습니다. 이 네트워크 hashrate가 급격히 증가하거나 감소할 때 시스템의 반응 시간을 줄입니다. 일정한 차단율을 유지합니다. 원래 Bitcoin 메서드는 실제 관계를 계산합니다. 그리고 마지막 2016개 블록 사이의 목표 시간 범위를 현재 블록의 승수로 사용합니다. 어려움. 분명히 이것은 빠른 재계산(큰 관성 때문에)에는 적합하지 않습니다. 진동이 발생합니다. 우리 알고리즘의 기본 아이디어는 노드가 완료한 모든 작업을 합산하고 그것을 그들이 보낸 시간으로 나눕니다. 작업의 척도는 해당 난이도 값입니다. 각 블록에. 그러나 부정확하고 신뢰할 수 없는 타임스탬프로 인해 정확한 정보를 확인할 수 없습니다. 블록 사이의 시간 간격. 사용자는 자신의 타임스탬프를 미래와 다음 시간으로 이동할 수 있습니다. 간격은 거의 작거나 심지어 음수일 수도 있습니다. 아마 사건사고는 거의 없을 것 같아요 이런 종류이므로 타임스탬프를 정렬하고 이상값(예: 20%)을 잘라낼 수 있습니다. 범위 나머지 값은 해당 블록의 80%에 소요된 시간입니다. 6.2.2 크기 제한 사용자는 blockchain 저장 비용을 지불하고 크기에 따라 투표할 자격이 있습니다. 모든 광부 비용과 수수료로 인한 이익 사이의 균형을 맞추고 스스로 설정합니다. 블록 생성을 위한 "소프트 리미트". 또한 최대 블록 크기에 대한 핵심 규칙이 필요합니다. blockchain이 가짜 거래로 인해 범람하는 것을 방지합니다. 그러나 이 값은 하드 코딩하지 마십시오. MN을 마지막 N 블록 크기의 중앙값으로 설정합니다. 그런 다음 크기에 대한 "하드 제한" 수용 블록 수는 2 \(\cdot\) MN입니다. blockchain이 부풀어오르는 것을 방지하지만 여전히 한계를 허용합니다. 필요한 경우 시간이 지남에 따라 천천히 성장하십시오. 트랜잭션 크기를 명시적으로 제한할 필요는 없습니다. 블록 크기에 따라 제한됩니다. 그리고 누군가가 수백 개의 입력/출력(또는 링 서명의 높은 모호성 정도), 충분한 수수료를 지불하면 그렇게 할 수 있습니다. 6.2.3 크기 초과 페널티 채굴자는 여전히 최대 수수료까지 자신의 수수료 없는 거래로 블록을 가득 채울 수 있습니다. 크기 \(2 \cdot M_b\). 대다수의 채굴자만이 중앙값을 이동할 수 있지만 여전히 13 6 추가 장점 6.1 원활한 방출 CryptoNote 디지털 코인의 전체 금액에 대한 상한선은 다음과 같습니다: MSupply = 264 −1 원자 단위. 이는 직관이 아닌 구현 한계에만 근거한 자연스러운 제한입니다. “N개의 코인은 누구에게나 충분해야 합니다”와 같은 것입니다. 방출 과정의 원활함을 보장하기 위해 블록에 대해 다음 공식을 사용합니다. 보상: BaseReward = (MSupply −A) ≫18, 여기서 A는 이전에 생성된 코인의 양입니다. 6.2 조정 가능한 매개변수 6.2.1 어려움 CryptoNote에는 모든 블록의 난이도를 변경하는 타겟팅 알고리즘이 포함되어 있습니다. 이 네트워크 hashrate가 급격히 증가하거나 감소할 때 시스템의 반응 시간을 줄입니다. 일정한 차단율을 유지합니다. 원래 Bitcoin 메서드는 실제 관계를 계산합니다. 그리고 마지막 2016개 블록 사이의 목표 시간 범위를 현재 블록의 승수로 사용합니다. 어려움. 분명히 이것은 빠른 재계산(큰 관성 때문에)에는 적합하지 않습니다. 진동이 발생합니다. 우리 알고리즘의 기본 아이디어는 노드가 완료한 모든 작업을 합산하고 그것을 그들이 보낸 시간으로 나눕니다. 작업의 척도는 해당 난이도 값입니다. 각 블록에. 그러나 부정확하고 신뢰할 수 없는 타임스탬프로 인해 정확한 정보를 확인할 수 없습니다. 블록 사이의 시간 간격. 사용자는 자신의 타임스탬프를 미래와 다음 시간으로 이동할 수 있습니다. 간격은 거의 작거나 심지어 음수일 수도 있습니다. 아마 사건사고는 거의 없을 것 같아요 이런 종류이므로 타임스탬프를 정렬하고 이상값(예: 20%)을 잘라낼 수 있습니다. 범위 나머지 값은 해당 블록의 80%에 소요된 시간입니다. 6.2.2 크기 제한 사용자는 blockchain 저장 비용을 지불하고 크기에 따라 투표할 자격이 있습니다. 모든 광부 균형 간의 균형을 다룹니다.수수료로 인한 비용과 이익을 스스로 정하고 블록 생성을 위한 "소프트 리미트". 또한 최대 블록 크기에 대한 핵심 규칙이 필요합니다. blockchain이 가짜 거래로 인해 범람하는 것을 방지합니다. 그러나 이 값은 하드 코딩하지 마십시오. MN을 마지막 N 블록 크기의 중앙값으로 설정합니다. 그런 다음 크기에 대한 "하드 제한" 수용 블록 수는 2 \(\cdot\) MN입니다. blockchain이 부풀어 오르는 것을 방지하지만 여전히 한계를 허용합니다. 필요한 경우 시간이 지남에 따라 천천히 성장하십시오. 트랜잭션 크기를 명시적으로 제한할 필요는 없습니다. 블록 크기에 따라 제한됩니다. 그리고 누군가가 수백 개의 입력/출력(또는 링 서명의 높은 모호성 정도), 충분한 수수료를 지불하면 그렇게 할 수 있습니다. 6.2.3 크기 초과 페널티 채굴자는 여전히 최대 수수료까지 자신의 수수료 없는 거래로 블록을 가득 채울 수 있습니다. 크기 \(2 \cdot M_b\). 대다수의 채굴자만이 중앙값을 이동할 수 있지만 여전히 13 24 좋습니다. blockchain이 있고 각 블록에는 단순히 존재하는 것 외에도 타임스탬프가 있습니다. 주문했다. 타임스탬프는 언급했듯이 매우 신뢰할 수 없습니다. 체인에 모순되는 타임스탬프를 가질 수 있습니까? 체인에서 블록 A가 블록 B보다 먼저 나오고 재정적인 측면에서 모든 것이 일관된다면, 그런데 A블록은 B블록 이후에 생성된 것 같은데요? 아마도 누군가가 소유했기 때문일 것입니다. 네트워크의 큰 부분? 괜찮나요? 아마도 재정이 엉망이 아니기 때문일 것입니다. 좋아요, 그래서 저는 이 임의적인 "블록의 80%만이 메인 blockchain에 대해 합법적입니다"라는 말을 싫어합니다. 접근. 거짓말쟁이가 타임스탬프를 변경하는 것을 방지하기 위한 것입니까? 그런데 지금은 더해진다. 모든 사람이 자신의 타임스탬프에 대해 거짓말을 하고 중앙값만 선택하도록 유도합니다. 정의해주세요. "이 블록의 경우 더 높은 수수료를 포함하는 거래만 포함함을 의미합니다. p%보다 우선적으로 수수료가 2p%보다 큰 경우" 또는 이와 유사한 것입니까? 가짜란 무슨 뜻인가요? 거래가 과거 거래 내역과 일치하는 경우 blockchain, 거래에는 채굴자를 만족시키는 수수료가 포함되어 있는데, 그것만으로는 충분하지 않습니까? 글쎄, 아니요, 반드시 그런 것은 아닙니다. 최대 블록 크기가 없으면 악의적인 사용자를 막을 수 있는 방법이 없습니다. 단순히 속도를 늦추기 위해 대량의 거래 블록을 자신에게 한꺼번에 업로드하는 것부터 네트워크. 최대 블록 크기에 대한 핵심 규칙은 사람들이 엄청난 양의 쓰레기를 넣는 것을 방지합니다. 속도를 늦추기 위해 blockchain에 대한 데이터를 한 번에 모두 사용합니다. 그러나 그러한 규칙은 확실히 적응력을 갖추세요. 예를 들어 크리스마스 시즌에는 트래픽이 급증할 것으로 예상할 수 있습니다. 블록 크기가 매우 커지고 그 직후에 블록 크기가 계속해서 감소합니다. 다시. 따라서 a) 일종의 적응형 한도 또는 b) 99%의 사용자가 사용할 수 있을 만큼 충분히 큰 한도가 필요합니다. 합리적인 크리스마스 피크는 한계를 깨지 않습니다. 물론 두 번째는 불가능하다. 추정 - 통화가 인기를 끌지 누가 알겠습니까? 적응하고 걱정하지 않는 것이 좋습니다 그것에 대해. 하지만 제어 이론 문제가 있습니다. 공격에 취약하거나 거칠고 미친 진동이 있습니까? 적응형 방법은 악의적인 사용자가 소량을 축적하는 것을 막지 못합니다. blockchain에서 시간이 지남에 따라 정크 데이터가 늘어나 장기적인 부풀림이 발생합니다. 이건 다른 문제야 전체적으로 암호화폐 동전에 심각한 문제가 있는 것입니다.

6 추가 장점 6.1 원활한 방출 CryptoNote 디지털 코인의 전체 금액에 대한 상한선은 다음과 같습니다: MSupply = 264 −1 원자 단위. 이는 직관이 아닌 구현 한계에만 근거한 자연스러운 제한입니다. “N개의 코인은 누구에게나 충분해야 합니다”와 같은 것입니다. 방출 과정의 원활함을 보장하기 위해 블록에 대해 다음 공식을 사용합니다. 보상: BaseReward = (MSupply −A) ≫18, 여기서 A는 이전에 생성된 코인의 양입니다. 6.2 조정 가능한 매개변수 6.2.1 어려움 CryptoNote에는 모든 블록의 난이도를 변경하는 타겟팅 알고리즘이 포함되어 있습니다. 이 네트워크 hashrate가 급격히 증가하거나 감소할 때 시스템의 반응 시간을 줄입니다. 일정한 차단율을 유지합니다. 원래 Bitcoin 메서드는 실제 관계를 계산합니다. 그리고 마지막 2016개 블록 사이의 목표 시간 범위를 현재 블록의 승수로 사용합니다. 어려움. 분명히 이것은 빠른 재계산(큰 관성 때문에)에는 적합하지 않습니다. 진동이 발생합니다. 우리 알고리즘의 기본 아이디어는 노드가 완료한 모든 작업을 합산하고 그것을 그들이 보낸 시간으로 나눕니다. 작업의 척도는 해당 난이도 값입니다. 각 블록에. 그러나 부정확하고 신뢰할 수 없는 타임스탬프로 인해 정확한 정보를 확인할 수 없습니다. 블록 사이의 시간 간격. 사용자는 자신의 타임스탬프를 미래와 다음 시간으로 이동할 수 있습니다. 간격은 거의 작거나 심지어 음수일 수도 있습니다. 아마 사건사고는 거의 없을 것 같아요 이런 종류이므로 타임스탬프를 정렬하고 이상값(예: 20%)을 잘라낼 수 있습니다. 범위 나머지 값은 해당 블록의 80%에 소요된 시간입니다. 6.2.2 크기 제한 사용자는 blockchain 저장 비용을 지불하고 크기에 따라 투표할 자격이 있습니다. 모든 광부 비용과 수수료로 인한 이익 사이의 균형을 맞추고 스스로 설정합니다. 블록 생성을 위한 "소프트 리미트". 또한 최대 블록 크기에 대한 핵심 규칙이 필요합니다. blockchain이 가짜 거래로 인해 범람하는 것을 방지합니다. 그러나 이 값은 하드 코딩하지 마십시오. MN을 마지막 N 블록 크기의 중앙값으로 설정합니다. 그런 다음 크기에 대한 "하드 제한" 수용 블록 수는 2 \(\cdot\) MN입니다. blockchain이 부풀어오르는 것을 방지하지만 여전히 한계를 허용합니다. 필요한 경우 시간이 지남에 따라 천천히 성장하십시오. 트랜잭션 크기를 명시적으로 제한할 필요는 없습니다. 블록 크기에 따라 제한됩니다. 그리고 누군가가 수백 개의 입력/출력(또는 링 서명의 높은 모호성 정도), 충분한 수수료를 지불하면 그렇게 할 수 있습니다. 6.2.3 크기 초과 페널티 채굴자는 여전히 최대 수수료까지 자신의 수수료 없는 거래로 블록을 가득 채울 수 있습니다. 크기 \(2 \cdot M_b\). 대다수의 채굴자만이 중앙값을 이동할 수 있지만 여전히 13 6 추가 장점 6.1 원활한 방출 CryptoNote 디지털 코인의 전체 금액에 대한 상한선은 다음과 같습니다: MSupply = 264 −1 원자 단위. 이는 직관이 아닌 구현 한계에만 근거한 자연스러운 제한입니다. “N개의 코인은 누구에게나 충분해야 합니다”와 같은 것입니다. 방출 과정의 원활함을 보장하기 위해 블록에 대해 다음 공식을 사용합니다. 보상: BaseReward = (MSupply −A) ≫18, 여기서 A는 이전에 생성된 코인의 양입니다. 6.2 조정 가능한 매개변수 6.2.1 어려움 CryptoNote에는 모든 블록의 난이도를 변경하는 타겟팅 알고리즘이 포함되어 있습니다. 이 네트워크 hashrate가 급격히 증가하거나 감소할 때 시스템의 반응 시간을 줄입니다. 일정한 차단율을 유지합니다. 원래 Bitcoin 메서드는 실제 관계를 계산합니다. 그리고 마지막 2016개 블록 사이의 목표 시간 범위를 현재 블록의 승수로 사용합니다. 어려움. 분명히 이것은 빠른 재계산(큰 관성 때문에)에는 적합하지 않습니다. 진동이 발생합니다. 우리 알고리즘의 기본 아이디어는 노드가 완료한 모든 작업을 합산하고 그것을 그들이 보낸 시간으로 나눕니다. 작업의 척도는 해당 난이도 값입니다. 각 블록에. 그러나 부정확하고 신뢰할 수 없는 타임스탬프로 인해 정확한 정보를 확인할 수 없습니다. 블록 사이의 시간 간격. 사용자는 자신의 타임스탬프를 미래와 다음 시간으로 이동할 수 있습니다. 간격은 거의 작거나 심지어 음수일 수도 있습니다. 아마 사건사고는 거의 없을 것 같아요 이런 종류이므로 타임스탬프를 정렬하고 이상값(예: 20%)을 잘라낼 수 있습니다. 범위 나머지 값은 해당 블록의 80%에 소요된 시간입니다. 6.2.2 크기 제한 사용자는 blockchain 저장 비용을 지불하고 크기에 따라 투표할 자격이 있습니다. 모든 광부 균형 간의 균형을 다룹니다.수수료로 인한 비용과 이익을 스스로 정하고 블록 생성을 위한 "소프트 리미트". 또한 최대 블록 크기에 대한 핵심 규칙이 필요합니다. blockchain이 가짜 거래로 인해 범람하는 것을 방지합니다. 그러나 이 값은 하드 코딩하지 마십시오. MN을 마지막 N 블록 크기의 중앙값으로 설정합니다. 그런 다음 크기에 대한 "하드 제한" 수용 블록 수는 2 \(\cdot\) MN입니다. blockchain이 부풀어오르는 것을 방지하지만 여전히 한계를 허용합니다. 필요한 경우 시간이 지남에 따라 천천히 성장하십시오. 트랜잭션 크기를 명시적으로 제한할 필요는 없습니다. 블록 크기에 따라 제한됩니다. 그리고 누군가가 수백 개의 입력/출력(또는 링 서명의 높은 모호성 정도), 충분한 수수료를 지불하면 그렇게 할 수 있습니다. 6.2.3 크기 초과 페널티 채굴자는 여전히 최대 수수료까지 자신의 수수료 없는 거래로 블록을 가득 채울 수 있습니다. 크기 \(2 \cdot M_b\). 대다수의 채굴자만이 중앙값을 이동할 수 있지만 여전히 13 25 한 단위의 시간이 N 블록이 되도록 시간을 재조정하면 이론적으로 평균 블록 크기는 2t에 비례하여 기하급수적으로 증가할 수 있습니다. 반면에 좀 더 일반적인 캡은 다음 블록의 일부 함수 f에 대해서는 M_nf(M_n)이 됩니다. f의 어떤 속성이 블록 크기의 "합리적인 성장"을 보장하기 위해 선택합니까? 의 진행 블록 크기(재조정 시간 후)는 다음과 같습니다. M_n f(M_n)M_n f(f(M_n)M_n)f(M_n)M_n f(f(f(M_n)M_n)f(M_n)M_n)f(f(M_n)M_n)f( ... 그리고 여기서 목표는 이 수열이 선형적으로 증가하는 것보다 더 빠르게 증가하지 않도록 f를 선택하는 것입니다. 또는 Log(t)로도 가능합니다. 물론, 어떤 상수 a에 대해 f(M_n) = a라면 이 수열은 다음과 같습니다. 실제로 M_n aM_n aˆ2M_n aˆ3M_n ... 그리고 물론 이것이 최대 선형 성장으로 제한될 수 있는 유일한 방법은 a=1을 선택하는 것입니다. 물론 이것은 실현 불가능합니다. 전혀 성장을 허용하지 않습니다. 반면, f(M_n)이 상수가 아닌 함수라면 상황은 훨씬 더 복잡해집니다. 복잡하고 우아한 솔루션을 제공할 수 있습니다. 나는 이것에 대해 잠시 생각해 볼 것이다. 이 수수료는 다음 섹션의 초과 크기 벌금을 할인할 수 있을 만큼 커야 합니다. 왜 일반 사용자를 남성으로 가정하는 걸까요? 응?

blockchain을 부풀리고 노드에 추가 로드를 생성할 가능성이 있습니다. 낙담시키다 악의적인 참가자가 큰 블록을 생성하는 것을 방지하기 위해 페널티 기능을 도입합니다. NewReward = 기본 보상 \(\cdot\) Blk크기 미네소타 -1 2 이 규칙은 BlkSize가 최소 여유 블록 크기보다 큰 경우에만 적용됩니다. max(10kb, \(M_N \cdot 110\%\))에 가까워야 합니다. 채굴자는 "일반적인 크기"의 블록을 생성할 수 있으며 심지어 전체 수수료가 페널티를 초과하면 이익으로 초과합니다. 하지만 수수료 인상 가능성은 낮아 페널티 값과 2차적으로 다르기 때문에 균형이 유지됩니다. 6.3 거래 스크립트 CryptoNote에는 매우 최소한의 스크립팅 하위 시스템이 있습니다. 발신자는 Φ = 표현식을 지정합니다. f (x1, x2, . . . , xn), 여기서 n은 대상 공개 키의 수 {Pi}n 나는 = 1입니다. 단 5개의 바이너리만 지원되는 연산자는 min, max, sum, mul 및 cmp입니다. 수신자가 이 지불금을 지출하면, 그는 \(0 \leq k \leq n\) 서명을 생성하고 이를 거래 입력에 전달합니다. 검증 과정 공개 키 Pi에 대한 유효한 서명을 확인하기 위해 xi = 1로 Φ를 평가하고 xi = 0을 사용합니다. 검증자는 ﬀΦ > 0인 경우 증명을 수락합니다. 단순함에도 불구하고 이 접근 방식은 가능한 모든 경우를 포괄합니다. • 다중/임계값 서명. Bitcoin 스타일의 "M-out-of-N" 다중 서명(예: 수신자는 최소한 \(0 \leq M \leq N\) 유효한 서명을 제공해야 합니다) Φ = x1+x2+. . .+xN \(\geq M\) (명확하게 하기 위해 우리는 일반적인 대수 표기법을 사용합니다). 가중치 임계값 서명 (일부 키는 다른 키보다 더 중요할 수 있음)은 Φ = \(w_1 \cdot x_1\) + \(w_2 \cdot x_2\) + . . . + \(w_N \cdot x_N\) \(\geq wM\). 그리고 마스터 키가 Φ =에 해당하는 시나리오 max(\(M \cdot x\), x1 + x2 + . . . + xN) \(\geq M\). 어떤 정교한 케이스라도 가능하다는 것을 보여주는 것은 쉽습니다. 이러한 연산자로 표현됩니다. 즉, 기초를 형성합니다. • 비밀번호 보호. 비밀 비밀번호를 소유하는 것은 다음 사항을 알고 있는 것과 동일합니다. 비밀번호에서 결정론적으로 파생된 개인 키: k = KDF(s). 따라서 수신기 키 k 아래에 또 다른 서명을 제공하여 그가 비밀번호를 알고 있음을 증명할 수 있습니다. 발신자는 해당 공개 키를 자신의 출력에 추가하기만 하면 됩니다. 참고하세요 방법은 Bitcoin [13]에서 사용된 "트랜잭션 퍼즐"보다 훨씬 더 안전합니다. 비밀번호는 입력에 명시적으로 전달됩니다. • 변질된 사례. Φ = 1은 누구나 돈을 쓸 수 있음을 의미합니다. Φ = 0은 영원히 쓸 수 없는 것으로 출력됩니다. 공개키와 결합된 출력 스크립트가 송신자에게 너무 큰 경우, 수신자가 이 데이터를 입력에 넣을 것임을 나타내는 특수 출력 유형을 사용할 수 있습니다. 발신자는 그 중 hash만 제공합니다. 이 접근 방식은 Bitcoin의 "pay-to-hash"과 유사합니다. 기능이지만 새 스크립트 명령을 추가하는 대신 데이터 구조에서 이 경우를 처리합니다. 수준. 7 결론 우리는 Bitcoin의 주요 결함을 조사하고 몇 가지 가능한 해결책을 제안했습니다. 이러한 유리한 기능과 지속적인 개발로 인해 새로운 전자 현금 시스템인 CryptoNote가 탄생했습니다. Bitcoin의 심각한 라이벌로 모든 포크를 능가합니다. 14 blockchain을 부풀리고 노드에 추가 로드를 생성할 가능성이 있습니다. 낙담시키다 악의적인 참가자가 큰 블록을 생성하는 것을 방지하기 위해 페널티 기능을 도입합니다. NewReward = 기본 보상 \(\cdot\) Blk크기 미네소타 -1 2 이 규칙은 BlkSize가 최소 여유 블록 크기보다 큰 경우에만 적용됩니다. max(10kb, \(M_N \cdot 110\%\))에 가까워야 합니다. 채굴자는 "일반적인 크기"의 블록을 생성할 수 있으며 심지어 전체 수수료가 페널티를 초과하면 이익으로 초과합니다. 하지만 수수료 인상 가능성은 낮아 페널티 값과 2차적으로 다르기 때문에 균형이 유지됩니다. 6.3 거래 스크립트 CryptoNote에는 매우 최소한의 스크립팅 하위 시스템이 있습니다. 발신자는 Φ = 표현식을 지정합니다. f (x1, x2, . . . , xn), 여기서 n은 대상 공개 키의 수 {Pi}n 나는 = 1입니다. 단 5개의 바이너리만 지원되는 연산자는 min, max, sum, mul 및 cmp입니다. 수신자가 이 지불금을 지출하면, 그는 \(0 \leq k \leq n\) 서명을 생성하고 이를 거래 입력에 전달합니다. 검증 과정 공개 키 Pi에 대한 유효한 서명을 확인하기 위해 xi = 1로 Φ를 평가하고 xi = 0을 사용합니다. 검증자는 ﬀΦ > 0인 경우 증명을 수락합니다. 단순함에도 불구하고 이 접근 방식은 가능한 모든 경우를 포괄합니다. • 다중/임계값 서명. Bitcoin 스타일의 "M-out-of-N" 다중 서명(예: 수신자는 최소한 \(0 \leq M \leq N\) 유효한 서명을 제공해야 합니다) Φ = x1+x2+. . .+xN \(\geq M\) (명확하게 하기 위해 우리는 일반적인 대수 표기법을 사용합니다). 가중치 임계값 서명 (일부 키는 다른 키보다 더 중요할 수 있음)은 Φ = \(w_1 \cdot x_1\) + \(w_2 \cdot x_2\) + . . . + \(w_N \cdot x_N\) \(\geq wM\). 그리고 시나리오io 여기서 마스터 키는 Φ =에 해당합니다. max(\(M \cdot x\), x1 + x2 + . . . + xN) \(\geq M\). 어떤 정교한 케이스라도 가능하다는 것을 보여주는 것은 쉽습니다. 이러한 연산자로 표현됩니다. 즉, 기초를 형성합니다. • 비밀번호 보호. 비밀 비밀번호를 소유하는 것은 다음 사항을 알고 있는 것과 동일합니다. 비밀번호에서 결정론적으로 파생된 개인 키: k = KDF(s). 따라서 수신기 키 k 아래에 또 다른 서명을 제공하여 그가 비밀번호를 알고 있음을 증명할 수 있습니다. 발신자는 해당 공개 키를 자신의 출력에 추가하기만 하면 됩니다. 참고하세요 방법은 Bitcoin [13]에서 사용된 "트랜잭션 퍼즐"보다 훨씬 더 안전합니다. 비밀번호는 입력에 명시적으로 전달됩니다. • 변질된 사례. Φ = 1은 누구나 돈을 쓸 수 있음을 의미합니다. Φ = 0은 영원히 쓸 수 없는 것으로 출력됩니다. 공개키와 결합된 출력 스크립트가 송신자에게 너무 큰 경우, 수신자가 이 데이터를 입력에 넣을 것임을 나타내는 특수 출력 유형을 사용할 수 있습니다. 발신자는 그 중 hash만 제공합니다. 이 접근 방식은 Bitcoin의 "pay-to-hash"와 유사합니다. 기능이지만 새 스크립트 명령을 추가하는 대신 데이터 구조에서 이 경우를 처리합니다. 수준. 7 결론 우리는 Bitcoin의 주요 결함을 조사하고 몇 가지 가능한 해결책을 제안했습니다. 이러한 유리한 기능과 지속적인 개발로 인해 새로운 전자 현금 시스템인 CryptoNote가 탄생했습니다. 모든 포크를 능가하는 Bitcoin의 심각한 라이벌입니다. 14 26 시간이 지남에 따라 블록 크기를 제한하는 방법을 알아낼 수 있다면 이는 불필요할 수 있습니다. 이 역시 정확할 수 없습니다. 그들은 단지 "NewReward"를 위쪽을 향한 포물선으로 설정했습니다. 블록 크기는 독립 변수입니다. 그래서 새로운 보상이 무한대로 불어납니다. 만약, 반면에 손에서 새 보상은 Max(0,Base Reward(1-(BlkSize/Mn - 1)ˆ2))이고 새 보상은 블록 크기 = Mn에서 피크를 갖고 절편이 있는 하향 포물선이 됩니다. 블록 크기 = 0 및 블록 크기 = 2Mn. 그리고 그것이 그들이 묘사하려고 하는 것인 것 같습니다. 그러나 이것은 그렇지 않습니다

追跡できない取引

このセクションでは、追跡不可能性と追跡不可能性の両方を満たす完全匿名トランザクションのスキームを提案します。そしてリンク解除条件。私たちのソリューションの重要な特徴は、送信側の自律性です。取引を行うために他のユーザーまたは信頼できる第三者と協力する必要はありません。したがって、各参加者は独立してカバートラフィックを生成します。 4.1 文献レビュー私たちのスキームは、グループ署名と呼ばれる暗号化プリミティブに依存しています。最初に提示されたのは D. Chaum と E. van Heyst [19] を使用すると、ユーザーがグループを代表して自分のメッセージに署名できるようになります。メッセージに署名した後、ユーザーは自分自身の単一の公開情報ではなく (検証目的で) 提供します。 1これはいわゆる「ソフトリミット」、つまり新しいブロックを作成するための参照クライアント制限です。ハード最大値可能なブロックサイズは 1 MB でした 4 必要に応じてそれらを使用すると、主な欠点が生じます。残念ながら、いつ起こるかを予測するのは困難です。定数の変更が必要になる場合があり、定数を置き換えるとひどい結果につながる可能性があります。悲惨な結果をもたらすハードコードされた制限変更の好例は、次のブロックです。サイズ制限は 250kb1 に設定されています。この制限は、約 10000 件の標準トランザクションを保持するには十分です。で 2013 年の初めには、この制限にほぼ達していたので、上限を増やすことで合意に達しました。限界。この変更はウォレットバージョン0.8で実装され、24ブロックのチェーン分割で終了しました。そして二重支出攻撃[9]が成功しました。バグは Bitcoin プロトコルにはありませんでしたが、むしろデータベースエンジンに問題があった場合、単純なストレステストで簡単に検出できたはずです。人為的に導入されたブロックサイズ制限はありません。定数は、一元化ポイントの形式としても機能します。ピアツーピアの性質にもかかわらず、 Bitcoin、圧倒的多数のノードは、によって開発された公式リファレンスクライアント [10] を使用しています。少人数のグループ。このグループは、プロトコルへの変更を実装する決定を下します。そしてほとんどの人は、その「正しさ」に関係なく、こうした変化を受け入れます。いくつかの決定が引き起こした白熱した議論が行われ、ボイコット [11] さえ呼び掛けられています。これは、コミュニティと開発者はいくつかの重要な点で意見が異なる場合があります。したがって、プロトコルを持つことは論理的であると思われますこれらの問題を回避する可能な方法として、ユーザーが構成可能で自己調整可能な変数を使用します。 2.5 かさばるスクリプト Bitcoin のスクリプトシステムは、重くて複雑な機能です。それは潜在的に人が作成することを可能にします洗練されたトランザクション [12] ですが、セキュリティ上の懸念から一部の機能が無効になっています。 [13] は一度も使用されていないものもあります。スクリプト (送信側と受信側の両方の部分を含む) Bitcoin で最も人気のあるトランザクションは次のようになります。 OP DUP OP HASH160 OP EQUALVERIFY OP CHECKSIG。スクリプトの長さは 164 バイトですが、その唯一の目的は、受信者が彼の署名を検証するために必要な秘密鍵。 3 クリプトノートテクノロジー Bitcoin テクノロジーの制限について説明したので、次は次の点に集中します。 CryptoNoteの機能を紹介します。 4 追跡できない取引このセクションでは、追跡不可能性と追跡不可能性の両方を満たす完全匿名トランザクションのスキームを提案します。そしてリンク解除条件。私たちのソリューションの重要な特徴は、送信側の自律性です。取引を行うために他のユーザーまたは信頼できる第三者と協力する必要はありません。したがって、各参加者は独立してカバートラフィックを生成します。 4.1 文献レビュー私たちのスキームは、グループ署名と呼ばれる暗号化プリミティブに依存しています。最初に提示されたのは D. Chaum と E. van Heyst [19] では、ユーザーがグループを代表して自分のメッセージに署名できるようになります。メッセージに署名した後、ユーザーは自分自身の単一の公開情報ではなく (検証目的で) 提供します。 1これはいわゆる「ソフトリミット」、つまり新しいブロックを作成するための参照クライアント制限です。ハード最大値可能なブロックサイズは 1 MB でした 4 7 振り返ってみると、コード内でブロックサイズを固定制限にしたのは大きな間違いだったようです。 Visa と Mastercard は、数十万とは言わないまでも、数千の取引を処理できます毎秒。ただし、トランザクションは確率的なプロセスで発生し、場合によっては大規模なバーストで発生します。時には何時間も静かに過ごすこともあります。ビットコイン交換の量を考えてみましょう。必要に応じてブロックサイズを動的に増加させるシステムを設計するという壮大なアイデアのように思えますトランザクショントラフィックの増加に対応し、必要に応じて動的にトラフィックを削減します。帯域幅効率が向上します。次に、その概念をすべてのシステムパラメーターに適用します。そして、私たちがそれを保つように注意している限り、システムが制御不能になるのを防ぎます、これはうまくいくかもしれない。 https://github.com/bitcoin/bips/blob/master/bip-0050.mediawiki 前述したように、変数が自動調整される場合は、いくつかの制御を課す必要があります。システムが制御不能になって暴走するのを防ぎます。それについては説明します。これがウィキペディアの記事であれば、「STUB」というラベルが付けられます。確かにその中にいますが、「Bitcoin の問題」を紹介するセクションで、ここでもう少し詳しく説明したいと思います。なぜですか単純な「秘密鍵のチェック」タスクに 164 バイトは受け入れられませんか?どれくらい小さくできるか合理的なスクリプト言語でしょうか?ただし、私はコンピューター科学者ではありません。 http://download.springer.com/static/pdf/412/chp%253A10.1007%252F3-540-46416-6_22.pdf?auth66=140 説明したように、グループ署名にはグループマネージャーが必要です。グループマネージャーは有能です署名者の匿名性を取り消すこと。したがって、グループ内には集中化が組み込まれています。署名スキーム。

キーですが、彼のグループのすべてのユーザーのキーです。検証者は、本物の署名者がグループのメンバーですが、署名者を排他的に特定することはできません。元のプロトコルでは、信頼できる第三者 (グループマネージャーと呼ばれる) が必要であり、彼は署名者を追跡できる唯一の人。リングシグネチャと呼ばれる次のバージョンが導入されましたリベストらによる。 [34] では、グループマネージャーや匿名性のない自律的なスキームでした取り消し。このスキームのさまざまな修正が後に現れました: リンク可能なリング署名 [26, 27, 17] 2 つの署名が同じグループメンバーによって作成されたかどうかを判断でき、追跡可能指輪の署名 [24, 23] は、署名者を追跡する可能性を提供することで過度の匿名性を制限しました。同じメタ情報 ([24] の用語では「タグ」) に関する 2 つのメッセージ。同様の暗号構造は、アドホックグループ署名としても知られています [16、38]。それは、任意のグループ形成を強調しますが、グループ/リング署名スキームはむしろ、メンバーの固定セット。私たちのソリューションの大部分は、E. Fujisaki の著作「Traceable Ring Signature」に基づいています。および K. スズキ [24]。元のアルゴリズムと変更を区別するために、後者をワンタイム呼び出し署名と呼び、ユーザーが有効な呼び出し音を 1 つだけ作成できることを強調します。彼の秘密鍵の下にある署名。トレーサビリティ性を弱め、リンク性を維持ワンタイム性を提供するためだけに: 公開鍵は多くの外部検証セットに現れる可能性があり、秘密キーは、一意の匿名署名を生成するために使用できます。二重支払いの場合これら 2 つの署名はリンクされますが、署名者を明らかにする必要はありません。私たちの目的のために。 4.2 定義 4.2.1 楕円曲線パラメータ基本署名アルゴリズムとして、高速スキーム EdDSA を使用することを選択しました。 DJによって実装されました。バーンスタインら。 [18]。 Bitcoin の ECDSA と同様、楕円曲線に基づいています離散対数問題なので、私たちのスキームは将来 Bitcoin にも適用される可能性があります。共通パラメータは次のとおりです。 q：素数。 q = 2255 -19; ｄ：Ｆｑの要素。 d = −121665/121666; Ｅ：楕円曲線方程式。 −x2 + y2 = 1 + dx2y2; Ｇ：基点。 G = (x, −4/5); l: 基点の素数順序。 l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 暗号 hash 関数 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 決定論的 hash 関数 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\)。 4.2.2 用語プライバシーを強化するには、Bitcoin エンティティと混同しないようにするための新しい用語が必要です。 private ec-key は標準の楕円曲線秘密鍵です: 数値 \(a \in [1, l - 1]\)。 public ec-key は標準の楕円曲線公開鍵です: 点 A = aG; ワンタイムキーペアは、秘密 EC キーと公開 EC キーのペアです。 5 キーですが、彼のグループのすべてのユーザーのキーです。検証者は、本物の署名者がグループのメンバーですが、署名者を排他的に特定することはできません。元のプロトコルでは、信頼できる第三者 (グループマネージャーと呼ばれる) が必要であり、彼は署名者を追跡できる唯一の人。リングシグネチャと呼ばれる次のバージョンが導入されましたリベストらによる。 [34] では、グループマネージャーや匿名性のない自律的なスキームでした取り消し。このスキームのさまざまな修正が後に現れました: リンク可能なリング署名 [26, 27, 17] 2 つの署名が同じグループメンバーによって作成されたかどうかを判断でき、追跡可能指輪の署名 [24, 23] は、署名者を追跡する可能性を提供することで過度の匿名性を制限しました。同じメタ情報 ([24] の用語では「タグ」) に関する 2 つのメッセージ。同様の暗号構造は、アドホックグループ署名としても知られています [16、38]。それは、任意のグループ形成を強調しますが、グループ/リング署名スキームはむしろ、メンバーの固定セット。私たちのソリューションの大部分は、E. Fujisaki の著作「Traceable Ring Signature」に基づいています。および K. スズキ [24]。元のアルゴリズムと変更を区別するために、後者をワンタイム呼び出し署名と呼び、ユーザーが有効な呼び出し音を 1 つだけ作成できることを強調します。彼の秘密鍵の下にある署名。トレーサビリティ性を弱め、リンク性を維持ワンタイム性を提供するためだけに: 公開キーは多くの外部検証セットに現れる可能性があり、秘密キーは、一意の匿名署名を生成するために使用できます。二重支払いの場合これら 2 つの署名はリンクされますが、署名者を明らかにする必要はありません。私たちの目的のために。 4.2 定義 4.2.1 楕円曲線パラメータ基本的な署名アルゴリズムとして、e 開発された高速スキーム EdDSA を使用します。 DJによって実装されました。バーンスタインら。 [18]。 Bitcoin の ECDSA と同様、楕円曲線に基づいています離散対数問題なので、私たちのスキームは将来 Bitcoin にも適用される可能性があります。共通パラメータは次のとおりです。 q：素数。 q = 2255 -19; ｄ：Ｆｑの要素。 d = −121665/121666; Ｅ：楕円曲線方程式。 −x2 + y2 = 1 + dx2y2; Ｇ：基点。 G = (x, −4/5); l: 基点の素数順序。 l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 暗号 hash 関数 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 決定論的 hash 関数 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\)。 4.2.2 用語プライバシーを強化するには、Bitcoin エンティティと混同しないようにするための新しい用語が必要です。 private ec-key は標準の楕円曲線秘密鍵です: 数値 \(a \in [1, l - 1]\)。 public ec-key は標準の楕円曲線公開鍵です: 点 A = aG; ワンタイムキーペアは、秘密 EC キーと公開 EC キーのペアです。 5 8 指輪の署名は次のように機能します。アレックスは、雇用主に関するメッセージをウィキリークスにリークしたいと考えています。彼女の会社のすべての従業員は、秘密鍵と公開鍵のペア (Ri、Ui) を持っています。彼女は作曲します彼女のメッセージとして設定された入力を含む彼女の署名、m、秘密鍵、Ri、および全員の公開鍵、(Ui;i=1...n)。誰でも (秘密鍵を知らなくても) 簡単に検証できます。 何らかのペア (Rj, Uj) が署名の構築に使用されたに違いありません...働いている人アレックスの雇用主の場合...しかし、それがどれであるかを理解するのは基本的にランダムな推測です。 http://en.wikipedia.org/wiki/Ring_signature#Crypto-currencies http://link.springer.com/chapter/10.1007/3-540-45682-1_32#page-1 http://link.springer.com/chapter/10.1007/11424826_65 http://link.springer.com/chapter/10.1007/978-3-540-27800-9_28 http://link.springer.com/chapter/10.1007%2F11774716_9 ここで説明するリンク可能なリング署名は、「リンク不可能」の反対のようなものであることに注意してください。上で説明した。ここでは 2 つのメッセージを傍受し、同じメッセージかどうかを判断できます。当事者がそれらを送信しましたが、その当事者が誰であるかをまだ特定できないはずです。の Cryptonote の構築に使用される「リンク不可能」の定義は、次のいずれかを判断できないことを意味します。同じ当事者がそれらを受信しています。したがって、ここで実際に起こっているのは 4 つのことです。システムはリンク可能であることも、送信者であるかどうかを判断できるかどうかに応じて、リンク不可 2 つのメッセージは同じです (匿名性を取り消す必要があるかどうかに関係なく)。そしてシステムは、次のことが可能かどうかに応じて、リンク不能または非リンク可能になります。 2 つのメッセージの受信者が同じかどうかを判断します (かどうかに関係なく) これには匿名性を取り消す必要があります)。このひどい用語のせいで私を責めないでください。グラフ理論家はおそらくそうあるべきです満足です。「送信者リンク可能」よりも「受信者リンク可能」の方が使いやすい人もいるかもしれません。 http://link.springer.com/chapter/10.1007/978-3-540-71677-8_13 これを読んだとき、これはばかげた機能のように思えました。それから、それが次の機能である可能性があることを読みました電子投票、それは理にかなっているように思えました。そういう観点から見ると、ちょっとクールですね。でも私は追跡可能なリング署名を意図的に実装するかどうかは完全にはわかりません。 http://search.ieice.org/bin/summary.php?id=e95-a_1_151

キーですが、彼のグループのすべてのユーザーのキーです。検証者は、本物の署名者がグループのメンバーですが、署名者を排他的に特定することはできません。元のプロトコルでは、信頼できる第三者 (グループマネージャーと呼ばれる) が必要であり、彼は署名者を追跡できる唯一の人。リングシグネチャと呼ばれる次のバージョンが導入されましたリベストらによる。 [34] では、グループマネージャーや匿名性のない自律的なスキームでした取り消し。このスキームのさまざまな修正が後に現れました: リンク可能なリング署名 [26, 27, 17] 2 つの署名が同じグループメンバーによって作成されたかどうかを判断でき、追跡可能指輪の署名 [24, 23] は、署名者を追跡する可能性を提供することで過度の匿名性を制限しました。同じメタ情報 ([24] の用語では「タグ」) に関する 2 つのメッセージ。同様の暗号構造は、アドホックグループ署名としても知られています [16、38]。それは、任意のグループ形成を強調しますが、グループ/リング署名スキームはむしろ、メンバーの固定セット。私たちのソリューションの大部分は、E. Fujisaki の著作「Traceable Ring Signature」に基づいています。および K. スズキ [24]。元のアルゴリズムと変更を区別するために、後者をワンタイム呼び出し署名と呼び、ユーザーが有効な呼び出し音を 1 つだけ作成できることを強調します。彼の秘密鍵の下にある署名。トレーサビリティ性を弱め、リンク性を維持ワンタイム性を提供するためだけに: 公開キーは多くの外部検証セットに現れる可能性があり、秘密キーは、一意の匿名署名を生成するために使用できます。二重支払いの場合これら 2 つの署名はリンクされますが、署名者を明らかにする必要はありません。私たちの目的のために。 4.2 定義 4.2.1 楕円曲線パラメータ基本署名アルゴリズムとして、高速スキーム EdDSA を使用することを選択しました。 DJによって実装されました。バーンスタインら。 [18]。 Bitcoin の ECDSA と同様、楕円曲線に基づいています離散対数問題なので、私たちのスキームは将来 Bitcoin にも適用される可能性があります。共通パラメータは次のとおりです。 q：素数。 q = 2255 -19; ｄ：Ｆｑの要素。 d = −121665/121666; Ｅ：楕円曲線方程式。 −x2 + y2 = 1 + dx2y2; Ｇ：基点。 G = (x, −4/5); l: 基点の素数順序。 l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 暗号 hash 関数 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 決定論的 hash 関数 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\)。 4.2.2 用語プライバシーを強化するには、Bitcoin エンティティと混同しないようにするための新しい用語が必要です。 private ec-key は標準の楕円曲線秘密鍵です: 数値 \(a \in [1, l - 1]\)。 public ec-key は標準の楕円曲線公開鍵です: 点 A = aG; ワンタイムキーペアは、秘密 EC キーと公開 EC キーのペアです。 5 キーですが、彼のグループのすべてのユーザーのキーです。検証者は、本物の署名者がグループのメンバーですが、署名者を排他的に特定することはできません。元のプロトコルでは、信頼できる第三者 (グループマネージャーと呼ばれる) が必要であり、彼は署名者を追跡できる唯一の人。リングシグネチャと呼ばれる次のバージョンが導入されましたリベストらによる。 [34] では、グループマネージャーや匿名性のない自律的なスキームでした取り消し。このスキームのさまざまな修正が後に現れました: リンク可能なリング署名 [26, 27, 17] 2 つの署名が同じグループメンバーによって作成されたかどうかを判断でき、追跡可能指輪の署名 [24, 23] は、署名者を追跡する可能性を提供することで過度の匿名性を制限しました。同じメタ情報 ([24] の用語では「タグ」) に関する 2 つのメッセージ。同様の暗号構造は、アドホックグループ署名としても知られています [16、38]。それは、任意のグループ形成を強調しますが、グループ/リング署名スキームはむしろ、メンバーの固定セット。私たちのソリューションの大部分は、E. Fujisaki の著作「Traceable Ring Signature」に基づいています。および K. スズキ [24]。元のアルゴリズムと変更を区別するために、後者をワンタイム呼び出し署名と呼び、ユーザーが有効な呼び出し音を 1 つだけ作成できることを強調します。彼の秘密鍵の下にある署名。トレーサビリティ性を弱め、リンク性を維持ワンタイム性を提供するためだけに: 公開キーは多くの外部検証セットに現れる可能性があり、秘密キーは、一意の匿名署名を生成するために使用できます。二重支払いの場合これら 2 つの署名はリンクされますが、署名者を明らかにする必要はありません。私たちの目的のために。 4.2 定義 4.2.1 楕円曲線パラメータ基本的な署名アルゴリズムとして、e 開発された高速スキーム EdDSA を使用します。 DJによって実装されました。バーンスタインら。 [18]。 Bitcoin の ECDSA と同様、楕円曲線に基づいています離散対数問題なので、私たちのスキームは将来 Bitcoin にも適用される可能性があります。共通パラメータは次のとおりです。 q：素数。 q = 2255 -19; ｄ：Ｆｑの要素。 d = −121665/121666; Ｅ：楕円曲線方程式。 −x2 + y2 = 1 + dx2y2; Ｇ：基点。 G = (x, −4/5); l: 基点の素数順序。 l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 暗号 hash 関数 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 決定論的 hash 関数 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\)。 4.2.2 用語プライバシーを強化するには、Bitcoin エンティティと混同しないようにするための新しい用語が必要です。 private ec-key は標準の楕円曲線秘密鍵です: 数値 \(a \in [1, l - 1]\)。 public ec-key は標準の楕円曲線公開鍵です: 点 A = aG; ワンタイムキーペアは、秘密 EC キーと公開 EC キーのペアです。 5 9 ああ、このホワイトペーパーの著者なら、これをもっと適切に表現できたはずです。たとえば、従業員所有の会社は、特定の新規企業を買収するかどうかについて投票を行いたいと考えていますアレックスとブレンダは両方とも従業員です。会社は従業員一人ひとりに「提案 A に賛成票を投じます!」のようなメッセージメタ情報「問題」を持つ [PROP A] そして、その提案を支持する場合は、追跡可能な指輪の署名で署名するように求めます。従来のリング署名を使用すると、不正な従業員がメッセージに何度も署名する可能性があります。おそらく、好きなだけ投票するために、さまざまな nonce を使用しているのでしょう。一方では追跡可能なリング署名スキームで、アレックスは投票に行き、彼女の秘密鍵は問題 [PROP A] で使用されました。アレックスが「私、ブレンダは賛成します」のようなメッセージに署名しようとすると、提案Ａ！」ブレンダを「フレーム化」して二重投票する場合、この新しいメッセージにも問題が発生します [プロップA]。 Alex の秘密鍵はすでに [PROP A] 問題を解決しているため、Alex の身元はすぐに詐欺だと判明します。正直言って、これはかなりクールです!暗号化により投票の平等が強制されました。 http://link.springer.com/chapter/10.1007/978-3-540-71677-8_13 この論文は興味深いもので、基本的にはアドホックなリング署名を作成しますが、他の参加者の同意。署名の構造は異なる場合があります。掘ってないよ深くて安全かどうかはわかりません。 https://people.csail.mit.edu/rivest/AdidaHohenbergerRivest-AdHocGroupSignaturesFromHijackedKeypai アドホックグループ署名は次のとおりです。リング署名。グループのないグループ署名です。マネージャ、一元化はありませんが、アドホックグループのメンバーが次のことを証明できるように主張できます。グループを代表して匿名の署名を発行したことはありません（発行していません）。 http://link.springer.com/chapter/10.1007/11908739_9 私の理解では、これは完全に正しくありません。そして私の理解はおそらく次のように変わるでしょうこのプロジェクトにさらに深く関わっていきます。しかし、私の理解では、階層は次のようになります。グループ署名: グループマネージャーはトレーサビリティとメンバーの追加または削除の機能を制御します。署名者であることから。 Ring sigs: グループマネージャーのいない任意のグループ形成。匿名性の取り消しはありません。特定の署名を拒否する方法はありません。追跡可能でリンク可能なリング付き署名、匿名性はある程度拡張可能です。アドホックグループ署名: リング署名と似ていますが、メンバーは自分が作成したものではないことを証明できます。特定の署名。これは、グループ内の誰もが署名を作成できる場合に重要です。 http://link.springer.com/chapter/10.1007/978-3-540-71677-8_13 藤崎と鈴木のアルゴリズムは、一度限りのものを提供するために作者によって後で調整されます。それで藤崎氏と鈴木氏のアルゴリズムを新しいアルゴリズムと並行して分析します。ここでそれを検討するよりも。

キーですが、彼のグループのすべてのユーザーのキーです。検証者は、本物の署名者がグループのメンバーですが、署名者を排他的に特定することはできません。元のプロトコルでは、信頼できる第三者 (グループマネージャーと呼ばれる) が必要であり、彼は署名者を追跡できる唯一の人。リングシグネチャと呼ばれる次のバージョンが導入されましたリベストらによる。 [34] では、グループマネージャーや匿名性のない自律的なスキームでした取り消し。このスキームのさまざまな修正が後に現れました: リンク可能なリング署名 [26, 27, 17] 2 つの署名が同じグループメンバーによって作成されたかどうかを判断でき、追跡可能指輪の署名 [24, 23] は、署名者を追跡する可能性を提供することで過度の匿名性を制限しました。同じメタ情報 ([24] の用語では「タグ」) に関する 2 つのメッセージ。同様の暗号構造は、アドホックグループ署名としても知られています [16、38]。それは、任意のグループ形成を強調しますが、グループ/リング署名スキームはむしろ、メンバーの固定セット。私たちのソリューションの大部分は、E. Fujisaki の著作「Traceable Ring Signature」に基づいています。および K. スズキ [24]。元のアルゴリズムと変更を区別するために、後者をワンタイム呼び出し署名と呼び、ユーザーが有効な呼び出し音を 1 つだけ作成できることを強調します。彼の秘密鍵の下にある署名。トレーサビリティ性を弱め、リンク性を維持ワンタイム性を提供するためだけに: 公開キーは多くの外部検証セットに現れる可能性があり、秘密キーは、一意の匿名署名を生成するために使用できます。二重支払いの場合これら 2 つの署名はリンクされますが、署名者を明らかにする必要はありません。私たちの目的のために。 4.2 定義 4.2.1 楕円曲線パラメータ基本署名アルゴリズムとして、高速スキーム EdDSA を使用することを選択しました。 DJによって実装されました。バーンスタインら。 [18]。 Bitcoin の ECDSA と同様、楕円曲線に基づいています離散対数問題なので、私たちのスキームは将来 Bitcoin にも適用される可能性があります。共通パラメータは次のとおりです。 q：素数。 q = 2255 -19; ｄ：Ｆｑの要素。 d = −121665/121666; Ｅ：楕円曲線方程式。 −x2 + y2 = 1 + dx2y2; Ｇ：基点。 G = (x, −4/5); l: 基点の素数順序。 l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 暗号 hash 関数 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 決定論的 hash 関数 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\)。 4.2.2 用語プライバシーを強化するには、Bitcoin エンティティと混同しないようにするための新しい用語が必要です。 private ec-key は標準の楕円曲線秘密鍵です: 数値 \(a \in [1, l - 1]\)。 public ec-key は標準の楕円曲線公開鍵です: 点 A = aG; ワンタイムキーペアは、秘密 EC キーと公開 EC キーのペアです。 5 キーですが、彼のグループのすべてのユーザーのキーです。検証者は、本物の署名者がグループのメンバーですが、署名者を排他的に特定することはできません。元のプロトコルでは、信頼できる第三者 (グループマネージャーと呼ばれる) が必要であり、彼は署名者を追跡できる唯一の人。リングシグネチャと呼ばれる次のバージョンが導入されましたリベストらによる。 [34] では、グループマネージャーや匿名性のない自律的なスキームでした取り消し。このスキームのさまざまな修正が後に現れました: リンク可能なリング署名 [26, 27, 17] 2 つの署名が同じグループメンバーによって作成されたかどうかを判断でき、追跡可能指輪の署名 [24, 23] は、署名者を追跡する可能性を提供することで過度の匿名性を制限しました。同じメタ情報 ([24] の用語では「タグ」) に関する 2 つのメッセージ。同様の暗号構造は、アドホックグループ署名としても知られています [16、38]。それは、任意のグループ形成を強調しますが、グループ/リング署名スキームはむしろ、メンバーの固定セット。私たちのソリューションの大部分は、E. Fujisaki の著作「Traceable Ring Signature」に基づいています。および K. スズキ [24]。元のアルゴリズムと変更を区別するために、後者をワンタイム呼び出し署名と呼び、ユーザーが有効な呼び出し音を 1 つだけ作成できることを強調します。彼の秘密鍵の下にある署名。トレーサビリティ性を弱め、リンク性を維持ワンタイム性を提供するためだけに: 公開キーは多くの外部検証セットに現れる可能性があり、秘密キーは、一意の匿名署名を生成するために使用できます。二重支払いの場合これら 2 つの署名はリンクされますが、署名者を明らかにする必要はありません。私たちの目的のために。 4.2 定義 4.2.1 楕円曲線パラメータ基本的な署名アルゴリズムとして、e 開発された高速スキーム EdDSA を使用します。 DJによって実装されました。バーンスタインら。 [18]。 Bitcoin の ECDSA と同様、楕円曲線に基づいています離散対数問題なので、私たちのスキームは将来 Bitcoin にも適用される可能性があります。共通パラメータは次のとおりです。 q：素数。 q = 2255 -19; ｄ：Ｆｑの要素。 d = −121665/121666; Ｅ：楕円曲線方程式。 −x2 + y2 = 1 + dx2y2; Ｇ：基点。 G = (x, −4/5); l: 基点の素数順序。 l = 2252 + 27742317777372353535851937790883648493; \(H_s\): 暗号 hash 関数 \(\{0, 1\}^* \to \mathbb{F}_q\); \(H_p\): 決定論的 hash 関数 \(E(\mathbb{F}_q) \to E(\mathbb{F}_q)\)。 4.2.2 用語プライバシーを強化するには、Bitcoin エンティティと混同しないようにするための新しい用語が必要です。 private ec-key は標準の楕円曲線秘密鍵です: 数値 \(a \in [1, l - 1]\)。 public ec-key は標準の楕円曲線公開鍵です: 点 A = aG; ワンタイムキーペアは、秘密 EC キーと公開 EC キーのペアです。 5 10 「リンク可能なリング署名」という意味でのリンク可能性とは、ソースが誰であるかを明らかにすることなく、2 つの発信トランザクションが同じソースからのものであるかどうかを判断できることを意味します。作者は弱体化した (a) プライバシーを維持しながら、(b) 秘密キーを使用してトランザクションを特定するためのリンク性 2回目は無効です。さて、これは順序立てての質問です。次のシナリオを考えてみましょう。私の採掘コンピュータには現在の blockchain があり、それが呼び出す独自のトランザクションブロックがあります。正当な場合、proof-of-work パズルのそのブロックで動作し、次のブロックに追加される保留中のトランザクションのリスト。新作も発信していきますトランザクションを保留中のトランザクションのプールに追加します。次のブロックを解かなければ、他の人がそうすれば、blockchain の更新されたコピーを入手できます。私が取り組んでいたブロックと私の保留中のトランザクションのリストには、どちらにも現在組み込まれているトランザクションが含まれている可能性があります blockchain に入力します。保留中のブロックを解明し、それを保留中のトランザクションのリストと組み合わせて、それを呼び出します私の保留中のトランザクションのプール。現在正式に blockchain に含まれているものはすべて削除してください。さて、どうすればいいでしょうか？まず「二重支出をすべて削除する」必要がありますか?一方ではリストを検索して、各秘密鍵がまだ作成されていないことを確認する必要がありますか? 使用済みであり、リスト内ですでに使用されている場合は、最初のコピーを先に受け取ったため、それ以上のコピーは違法です。したがって、最初のインスタンスの後のすべてのインスタンスを単純に削除します。同じ秘密鍵の。代数幾何学は私の得意分野ではありませんでした。 http://en.wikipedia.org/wiki/EdDSA このスピード、すごいですね。これは勝利のための代数幾何学です。何もわかるわけじゃないけどそれについて。問題があるかどうかにかかわらず、離散ログは非常に高速になっています。そして量子コンピューターはそれらを食べる朝食に。 http://link.springer.com/article/10.1007/s13389-012-0027-1 これは非常に重要な数字になりますが、それがどのように行われるかについての説明や引用はありません。が選ばれました。既知の大きな素数を 1 つ選択するだけなら問題ありませんが、既知の素数が存在する場合は、この大きな素数に関する事実は、私たちの選択に影響を与える可能性があります。暗号通貨のさまざまな亜種異なる値を選択することもできますまあ、しかし、それがどのようにして起こるかについては、この文書では議論されていません。選択は、5 ページにリストされている他のグローバルパラメーターの選択に影響します。この文書には、パラメーター値の選択に関するセクションが必要です。

ユーザー秘密キーは、2 つの異なる秘密 EC キーのペア (a、b) です。追跡キーは秘密鍵と公開 EC 鍵のペア (a, B) です (B = bG および a ̸= b)。公開ユーザー鍵は、(a, b) から派生した 2 つの公開 EC 鍵のペア (A, B) です。標準アドレスは、人間にわかりやすい文字列で与えられた公開ユーザーキーの表現です。エラー訂正あり。切り詰められたアドレスは、指定された公開ユーザーキーの後半 (ポイント B) を表します。エラー修正を行って人間に優しい文字列に変換します。トランザクション構造は Bitcoin の構造と同様であり、すべてのユーザーが選択できます。複数の独立した入金 (トランザクション出力) に対応する署名を付けます。秘密鍵を取得して別の宛先に送信します。ユーザーが一意の秘密鍵と公開鍵を所有する Bitcoin のモデルとは対照的に、提案されたモデルでは、送信者は受信者のアドレスに基づいてワンタイム公開鍵を生成し、ランダムなデータ。この意味で、同じ受信者に対する受信トランザクションは、ワンタイム公開キー (一意のアドレスに直接ではない) であり、受信者のみがそのキーを回復できます。彼の資金を償還するための対応するプライベート部分（彼の一意の秘密キーを使用）。受信者は次のことができます指輪の署名を使用して資金を使い、所有権と実際の支出を匿名にします。プロトコルの詳細については、次のサブセクションで説明します。 4.3 リンクできない支払い従来の Bitcoin アドレスは、公開されると、受信者の明確な識別子になります。支払いをリンクし、受取人の仮名に結び付ける。誰かがそうしたいなら「結合されていない」トランザクションを受け取った場合、プライベートチャネルで自分のアドレスを送信者に伝える必要があります。同じ所有者に属することが証明できない異なるトランザクションを受け取りたい場合彼はさまざまなアドレスをすべて生成し、決して自分のペンネームで公開すべきではありません。公共プライベートアリスキャロルボブのアドレス 1 ボブのアドレス 2 ボブの鍵 1 ボブの鍵 2 ボブ図 2. 従来の Bitcoin キー/トランザクションモデル。ユーザーが単一のアドレスを公開し、無条件で受信できるソリューションを提案します。リンクできない支払い。各 CryptoNote 出力の宛先 (デフォルト) は公開キーです。受信者のアドレスと送信者のランダムなデータから導き出されます。 Bitcoin に対する主な利点すべての宛先キーはデフォルトで一意であるということです (送信者が各宛先キーに同じデータを使用しない限り) 同じ受信者に対する彼のトランザクションの内容）。したがって、「アドレスの再利用」などの問題は発生しません。設計上、トランザクションが特定のアドレスまたはリンクに送信されたかどうかを監視者は判断できません。 2 つのアドレスを一緒にします。 6 ユーザー秘密キーは、2 つの異なる秘密 EC キーのペア (a、b) です。追跡キーは秘密鍵と公開 EC 鍵のペア (a, B) です (B = bG および a ̸= b)。公開ユーザー鍵は、(a, b) から派生した 2 つの公開 EC 鍵のペア (A, B) です。標準アドレスは、人間にわかりやすい文字列で与えられた公開ユーザーキーの表現です。エラー訂正あり。切り詰められたアドレスは、指定された公開ユーザーキーの後半 (ポイント B) を表します。エラー修正を行って人間に優しい文字列に変換します。トランザクション構造は Bitcoin の構造と同様のままです。すべてのユーザーが選択できます。複数の独立した入金 (トランザクション出力) に対応する署名を付けます。秘密鍵を取得して別の宛先に送信します。ユーザーが一意の秘密鍵と公開鍵を所有する Bitcoin のモデルとは対照的に、提案されたモデルでは、送信者は受信者のアドレスに基づいてワンタイム公開鍵を生成し、ランダムなデータ。この意味で、同じ受信者に対する受信トランザクションは、ワンタイム公開キー (一意のアドレスに直接ではない) であり、受信者のみがそのキーを回復できます。彼の資金を償還するための対応するプライベート部分（彼の一意の秘密キーを使用）。受信者は次のことができます指輪の署名を使用して資金を使い、所有権と実際の支出を匿名にします。プロトコルの詳細については、次のサブセクションで説明します。 4.3 リンクできない支払い従来の Bitcoin アドレスは、公開されると、受信者の明確な識別子になります。支払いをリンクし、受取人の仮名に結び付ける。誰かがそうしたいなら「結合されていない」トランザクションを受け取った場合、プライベートチャネルで自分のアドレスを送信者に伝える必要があります。同じ所有者に属することが証明できない異なるトランザクションを受け取りたい場合彼はさまざまなアドレスをすべて生成し、決して自分のペンネームで公開すべきではありません。公共プライベートアリスキャロルボブのアドレス 1 ボブのアドレス 2 ボブの鍵 1 ボブの鍵 2 ボブ図 2. 従来の Bitcoin キー/トランザクション modエル。ユーザーが単一のアドレスを公開し、無条件で受信できるソリューションを提案します。リンクできない支払い。各 CryptoNote 出力の宛先 (デフォルト) は公開キーです。受信者のアドレスと送信者のランダムなデータから導き出されます。 Bitcoin に対する主な利点すべての宛先キーはデフォルトで一意であるということです (送信者が各宛先キーに同じデータを使用しない限り) 同じ受信者に対する彼のトランザクションの内容）。したがって、「アドレスの再利用」などの問題は発生しません。設計上、トランザクションが特定のアドレスまたはリンクに送信されたかどうかを監視者は判断できません。 2 つのアドレスを一緒にします。 6 11 つまり、これは Bitcoin に似ていますが、無限の匿名私書箱があり、受取人のみが引き換えることができます。リング署名と同じくらい匿名性の高い秘密キーを生成します。 Bitcoin はこのように機能します。アレックスがフランクから受け取ったばかりの財布に 0.112 Bitcoin が入っている場合、彼女は本当に署名を持っています。メッセージ「私、[FRANK]、0.112 Bitcoin を [alex] + H0 + N0 に送信します」ここで、1) フランクはメッセージに秘密鍵 [FRANK] を使用、2) フランクはアレックスの公開鍵でメッセージに署名しました key、[alex]、3) Frank にはビットコインの歴史の何らかの形式が含まれています、H0、および 4) Frank nonce、N0 と呼ばれるランダムなデータビットが含まれています。アレックスが 0.011 Bitcoin をシャーリーンに送信したい場合、彼女はフランクのメッセージを受け取ります。これを H1 に設定し、2 つのメッセージに署名します。1 つはトランザクション用、もう 1 つは変更用です。 H1= "私、[FRANK]、0.112 Bitcoin を [alex] に送信 + H0 + N" "私、[ALEX]、0.011 Bitcoin を [alex] に送信 [charlene] + H1 + N1" 「私、[ALEX]、[alex] + H1 + N2 への変更として 0.101 Bitcoin を送信します。」ここで、Alex は両方のメッセージに彼女の秘密鍵 [ALEX] で署名し、最初のメッセージは Charlene の秘密鍵で署名します。公開鍵 [charlene]、Alex の公開鍵 [alex] を含む 2 番目のメッセージ、および履歴と、ランダムに生成されたいくつかの nonce N1 および N2 が適切に保存されます。 Cryptonote は次のように機能します。アレックスがフランクから受け取ったばかりの 0.112 暗号通貨を財布の中に持っている場合、彼女は本当に署名された暗号を持っています。メッセージ「私、[アドホックグループの誰か] は、[ワンタイムアドレス] + H0 に 0.112 暗号ノートを送信します +N0。」アレックスは、自分の秘密鍵 [ALEX] を照合して、これが自分のお金であることを発見しました。通過するすべてのメッセージに対する [ワンタイムアドレス]。彼女がそれを使いたい場合は、次の方法で。彼女はお金の受取人を選択します。おそらくシャーリーンはドローン攻撃に投票し始めたので、アレックスは代わりにブレンダに送金したいと考えています。そこで、アレックスはブレンダの公開鍵 [brenda] を調べます。そして、彼女自身の秘密鍵 [ALEX] を使用して、ワンタイムアドレス [ALEX+brenda] を生成します。彼女次に、暗号通貨ユーザーのネットワークから任意のコレクション C を選択し、次のように構築します。このアドホックグループからのリング署名。履歴を前のメッセージとして設定し、追加します nonces、通常どおり続行しますか? H1 = 「私、[アドホックグループの誰か]、0.112 暗号通貨を [ワンタイムアドレス] + H0 に送信します +N0。」「私、[コレクション C の誰か] は、[ALEX+brenda から作成した 1 回限りのアドレス] + H1 + N1 に 0.011 暗号通貨を送信します」「私、[コレクション C の誰か] は、[ALEX+alex から作成したワンタイムアドレス] + H1 + N2 への変更として 0.101 暗号通貨を送信します。」現在、Alex と Brenda は両方とも、すべての受信メッセージをスキャンして、ワンタイムアドレスがないかどうかを確認します。キーを使用して作成されます。何かを見つけた場合、そのメッセージは彼ら自身の真新しいものになります。暗号ノート！それでも、トランザクションは依然として blockchain に達します。そのアドレスにコインが入った場合犯罪者、政治献金者、または委員会やアカウントから送信されたことが知られている予算が厳しい場合（横領など）、またはこれらのコインの新しい所有者が間違いを犯した場合そして、これらのコインを、彼が所有していることが知られているコイン、つまり匿名ジグと共通のアドレスに送信します。ビットコインが上がっています。

ユーザー秘密キーは、2 つの異なる秘密 EC キーのペア (a、b) です。追跡キーは秘密鍵と公開 EC 鍵のペア (a, B) です (B = bG および a ̸= b)。公開ユーザー鍵は、(a, b) から派生した 2 つの公開 EC 鍵のペア (A, B) です。標準アドレスは、人間にわかりやすい文字列で与えられた公開ユーザーキーの表現です。エラー訂正あり。切り詰められたアドレスは、指定された公開ユーザーキーの後半 (ポイント B) を表します。エラー修正を行って人間に優しい文字列に変換します。トランザクション構造は Bitcoin の構造と同様であり、すべてのユーザーが選択できます。複数の独立した入金 (トランザクション出力) に対応する署名を付けます。秘密鍵を取得して別の宛先に送信します。ユーザーが一意の秘密鍵と公開鍵を所有する Bitcoin のモデルとは対照的に、提案されたモデルでは、送信者は受信者のアドレスに基づいてワンタイム公開鍵を生成し、ランダムなデータ。この意味で、同じ受信者に対する受信トランザクションは、ワンタイム公開キー (一意のアドレスに直接ではない) であり、受信者のみがそのキーを回復できます。彼の資金を償還するための対応するプライベート部分（彼の一意の秘密キーを使用）。受信者は次のことができます指輪の署名を使用して資金を使い、所有権と実際の支出を匿名にします。プロトコルの詳細については、次のサブセクションで説明します。 4.3 リンクできない支払い従来の Bitcoin アドレスは、公開されると、受信者の明確な識別子になります。支払いをリンクし、受取人の仮名に結び付ける。誰かがそうしたいなら「結合されていない」トランザクションを受け取った場合、プライベートチャネルで自分のアドレスを送信者に伝える必要があります。同じ所有者に属することが証明できない異なるトランザクションを受け取りたい場合彼はさまざまなアドレスをすべて生成し、決して自分のペンネームで公開すべきではありません。公共プライベートアリスキャロルボブのアドレス 1 ボブのアドレス 2 ボブの鍵 1 ボブの鍵 2 ボブ図 2. 従来の Bitcoin キー/トランザクションモデル。ユーザーが単一のアドレスを公開し、無条件で受信できるソリューションを提案します。リンクできない支払い。各 CryptoNote 出力の宛先 (デフォルト) は公開キーです。受信者のアドレスと送信者のランダムなデータから導き出されます。 Bitcoin に対する主な利点すべての宛先キーはデフォルトで一意であるということです (送信者が各宛先キーに同じデータを使用しない限り) 同じ受信者に対する彼のトランザクションの内容）。したがって、「アドレスの再利用」などの問題は発生しません。設計上、トランザクションが特定のアドレスまたはリンクに送信されたかどうかを監視者は判断できません。 2 つのアドレスを一緒にします。 6 ユーザー秘密キーは、2 つの異なる秘密 EC キーのペア (a、b) です。追跡キーは秘密鍵と公開 EC 鍵のペア (a, B) です (B = bG および a ̸= b)。公開ユーザー鍵は、(a, b) から派生した 2 つの公開 EC 鍵のペア (A, B) です。標準アドレスは、人間にわかりやすい文字列で与えられた公開ユーザーキーの表現です。エラー訂正あり。切り詰められたアドレスは、指定された公開ユーザーキーの後半 (ポイント B) を表します。エラー修正を行って人間に優しい文字列に変換します。トランザクション構造は Bitcoin の構造と同様であり、すべてのユーザーが選択できます。複数の独立した入金 (トランザクション出力) に対応する署名を付けます。秘密鍵を取得して別の宛先に送信します。ユーザーが一意の秘密鍵と公開鍵を所有する Bitcoin のモデルとは対照的に、提案されたモデルでは、送信者は受信者のアドレスに基づいてワンタイム公開鍵を生成し、ランダムなデータ。この意味で、同じ受信者に対する受信トランザクションは、ワンタイム公開キー (一意のアドレスに直接ではない) であり、受信者のみがそのキーを回復できます。彼の資金を償還するための対応するプライベート部分（彼の一意の秘密キーを使用）。受信者は次のことができます指輪の署名を使用して資金を使い、所有権と実際の支出を匿名にします。プロトコルの詳細については、次のサブセクションで説明します。 4.3 リンクできない支払い従来の Bitcoin アドレスは、公開されると、受信者の明確な識別子になります。支払いをリンクし、受取人の仮名に結び付ける。誰かがそうしたいなら「結合されていない」トランザクションを受け取った場合、プライベートチャネルで自分のアドレスを送信者に伝える必要があります。同じ所有者に属することが証明できない異なるトランザクションを受け取りたい場合彼はさまざまなアドレスをすべて生成し、決して自分のペンネームで公開すべきではありません。公共プライベートアリスキャロルボブのアドレス 1 ボブのアドレス 2 ボブの鍵 1 ボブの鍵 2 ボブ図 2. 従来の Bitcoin キー/トランザクション modエル。ユーザーが単一のアドレスを公開し、無条件で受信できるソリューションを提案します。リンクできない支払い。各 CryptoNote 出力の宛先 (デフォルト) は公開キーです。受信者のアドレスと送信者のランダムなデータから導き出されます。 Bitcoin に対する主な利点すべての宛先キーはデフォルトで一意であるということです (送信者が各宛先キーに同じデータを使用しない限り) 同じ受信者に対する彼のトランザクションの内容）。したがって、「アドレスの再利用」などの問題は発生しません。設計上、トランザクションが特定のアドレスまたはリンクに送信されたかどうかを監視者は判断できません。 2 つのアドレスを一緒にします。 6 12 したがって、ユーザーがアドレス（実際には公開鍵）からアドレスにコインを送信するのではなく、 (別の公開鍵) 秘密鍵を使用して、ユーザーはワンタイム私書箱からコインを送信します (友人の公開キーを使用して生成) を使用して (同様に) ワンタイム私書箱に送信します。自分の秘密鍵。ある意味、私たちは「わかった、みんなお金が動いている間は手を離してください」と言っているのです。転勤しました！私たちの鍵があの箱を開けることができるということを知るだけで十分です。私たちは箱の中にどれだけのお金が入っているかを知っています。私書箱や郵便ポストには決して指紋を付けないでください。実際に使ってみると、現金が入った箱そのものを取引するだけです。そうすれば誰が送ったか分からなくなりますしかし、これらの公開演説の内容は依然として摩擦がなく、代替可能で、分割可能であり、ビットコインのような、私たちが望むお金の他のすべての優れた性質をまだ持っています。」私書箱の無限のセット。あなたはアドレスを公開しています、私は秘密鍵を持っています。私は私の秘密鍵とあなたのアドレスを使用します、そして公開鍵を生成するためのランダムなデータ。アルゴリズムは次のように設計されています。アドレスは公開キーの生成に使用されました。あなたの秘密キーのみがロックを解除するために機能します。メッセージ。オブザーバーのイブは、あなたがアドレスを公開しているのを見て、私が発表した公開鍵を見ます。ただし、彼女は、私があなたのアドレスに基づいて私の公開鍵を発表したのか、彼女のアドレスに基づいて発表したのか、それともブレンダのアドレスに基づいて発表したのか知りません。シャーリーンのものでも、誰のものでも。彼女は私が発表した公開鍵と自分の秘密鍵を照合しますそしてそれがうまくいかないことがわかります。それは彼女のお金ではありません。彼女は他人の秘密鍵を知りません。メッセージの受信者だけがメッセージのロックを解除できる秘密キーを持っています。だから誰もいない盗聴するだけで、誰がお金を受け取ったのかを特定することができ、ましてやお金を受け取ることはできません。

公共プライベートアリスキャロルワンタイムキーワンタイムキーワンタイムキーボブボブの鍵ボブの住所図 3. CryptoNote のキー/トランザクションモデル。まず、送信者はディフィー・ヘルマン交換を実行してデータから共有秘密を取得し、受信者の住所の半分。次に、共有されたキーを使用して、ワンタイム宛先キーを計算します。秘密とアドレスの後半。受信者には 2 つの異なる EC キーが必要ですこれら 2 つのステップのため、標準の CryptoNote アドレスは Bitcoin ウォレットのほぼ 2 倍の大きさになります。住所。受信者はまた、ディフィー・ヘルマン交換を実行して、対応するデータを回復します。秘密鍵。標準的なトランザクションシーケンスは次のようになります。 1. アリスは、標準住所を公開しているボブに支払いを送金したいと考えています。彼女アドレスを解凍し、ボブの公開鍵 (A、B) を取得します。 2. アリスはランダムな \(r \in [1, l - 1]\) を生成し、ワンタイム公開鍵 \(P = H_s(rA)G +\) を計算します。 B. 3. アリスは、出力の宛先キーとして P を使用し、値 R = rG も (一部として) パックします。 Diﬃe-Hellman 交換の) トランザクションのどこかに。彼女は作成できることに注意してください一意の公開鍵を含む他の出力: 異なる受信者の鍵 (Ai、Bi) は異なる Pi を意味します同じrでも。トランザクション送信公開鍵送信出力金額宛先キー R = rG P = Hs(rA)G + B 受信者の公開鍵送信者のランダムデータ r (A、B) 図 4. 標準的なトランザクション構造。 4. アリスはトランザクションを送信します。 5. ボブは、通過するすべてのトランザクションを自分の秘密鍵 (a, b) でチェックし、P ' = を計算します。 Hs(aR)G + B. ボブを受取人とするアリスの取引がその中にあったとしたら、この場合、aR = arG = rA および P ' = P となります。 7 公共プライベートアリスキャロルワンタイムキーワンタイムキーワンタイムキーボブボブの鍵ボブの住所図 3. CryptoNote のキー/トランザクションモデル。まず、送信者はディフィー・ヘルマン交換を実行してデータから共有秘密を取得し、受信者の住所の半分。次に、共有されたキーを使用して、ワンタイム宛先キーを計算します。秘密とアドレスの後半。受信者には 2 つの異なる EC キーが必要ですこれら 2 つのステップのため、標準の CryptoNote アドレスは Bitcoin ウォレットのほぼ 2 倍の大きさになります。住所。受信者はまた、ディフィー・ヘルマン交換を実行して、対応するデータを回復します。秘密鍵。標準的なトランザクションシーケンスは次のようになります。 1. アリスは、標準住所を公開しているボブに支払いを送金したいと考えています。彼女アドレスを解凍し、ボブの公開鍵 (A、B) を取得します。 2. アリスはランダムな \(r \in [1, l - 1]\) を生成し、ワンタイム公開鍵 \(P = H_s(rA)G +\) を計算します。 B. 3. アリスは、出力の宛先キーとして P を使用し、値 R = rG も (一部として) パックします。 Diﬃe-Hellman 交換の) トランザクションのどこかに。彼女は作成できることに注意してください一意の公開鍵を含む他の出力: 異なる受信者の鍵 (Ai、Bi) は異なる Pi を意味します同じrでも。トランザクション送信公開鍵送信出力金額宛先キー R = rG P = Hs(rA)G + B 受信者の公開鍵送信者のランダムデータ r (A、B) 図 4. 標準的なトランザクション構造。 4. アリスはトランザクションを送信します。 5. ボブは、通過するすべてのトランザクションを自分の秘密鍵 (a, b) でチェックし、P ' = を計算します。 Hs(aR)G + B. ボブを受取人とするアリスの取引がその中にあったとしたら、この場合、aR = arG = rA および P ' = P となります。 7 13 暗号化の選択を実装するのは、どれほど面倒なことだろうかスキーム。楕円形でもそれ以外でも。したがって、将来何らかの計画が破られた場合、通貨は切り替わります心配することなく。おそらく大きなお尻の痛みでしょう。さて、これはまさに前のコメントで説明したことです。ディフィー・ヘルマンタイプ交換はニートです。アレックスとブレンダはそれぞれ秘密の番号 A と B、そして数字を持っているとします。彼らは秘密を守ることを気にしません、aとb。彼らは、共有シークレットを生成することを望んでいます。それを発見したエヴァ。ディフィーとヘルマンは、アレックスとブレンダが情報を共有する方法を考え出しました。公開番号 a と b を使用しますが、非公開番号 A と B は使用せず、共有秘密を生成します。 K. この共有秘密 K を使用すると、Eva がリッスンすることなく、同じものを生成できます。 K、アレックス、ブレンダは、K を秘密暗号化キーとして使用し、秘密メッセージを送り返すことができるようになりました。そして先へ。 100 よりもはるかに大きな数値でも動作するはずですが、可能な動作は次のとおりです。 100 を使用するのは、100 を法とする整数を処理することは「すべてを破棄する」ことと同じであるためです。ただし、数字の下 2 桁です。」アレックスとブレンダはそれぞれ A、a、B、b を選択します。彼らはAとBを秘密にします。アレックスはブレンダにモジュロ 100 の値 (下 2 桁だけ) を伝え、ブレンダはアレックスに伝えます。彼女の b モジュロ 100 の値。今、エヴァは (a,b) モジュロ 100 を知っています。しかし、アレックスは (a,b,A) を知っているので、彼女は x=abA モジュロ 100 を計算できます。アレックスは仕事中なので最後の一桁を除いて全部切ります再び 100 を法とする整数の下で計算します。同様に、ブレンダは (a,b,B) を知っているので計算できます。 y=abB modulo 100。Alex は x を公開し、Brenda は y を公開できるようになりました。しかし、現在、Alex は yA = abBA modulo 100 を計算でき、Brenda は xB を計算できます。 = abBA モジュロ 100。二人とも同じ番号を知っています！しかし、エヴァが聞いたのは次のことだけだ (a、b、abA、abB)。彼女には abA*B を計算する簡単な方法がありません。さて、これは Diﬃe-Hellman 交換に関する最も簡単で最も安全性の低い考え方です。より安全なバージョンが存在します。ただし、ほとんどのバージョンは整数因数分解と離散化により動作します。対数は難しいですが、それらの問題は両方とも量子コンピューターによって簡単に解決されます。量子に耐性のあるバージョンが存在するかどうか調べてみます。 http://en.wikipedia.org/wiki/Diﬃe%E2%80%93Hellman_key_exchange ここにリストされている「標準 txn シーケンス」には、SIGNATURES などの一連のステップが欠落しています。ここではそれらは当然のこととして受け入れられています。これは本当に悪いことです。署名内容、署名メッセージに含まれる情報など...これらすべてが非常に重要ですプロトコルにとって重要です。「「標準トランザクションシーケンス」は、システム全体のセキュリティに疑問を投げかける可能性があります。さらに、この論文の後半で示される証明は、次のような場合には十分に厳密ではない可能性があります。それらが動作するフレームワークは、このセクションと同様に大まかに定義されています。

公共プライベートアリスキャロルワンタイムキーワンタイムキーワンタイムキーボブボブの鍵ボブの住所図 3. CryptoNote のキー/トランザクションモデル。まず、送信者はディフィー・ヘルマン交換を実行してデータから共有秘密を取得し、受信者の住所の半分。次に、共有されたキーを使用して、ワンタイム宛先キーを計算します。秘密とアドレスの後半。受信者には 2 つの異なる EC キーが必要ですこれら 2 つのステップのため、標準の CryptoNote アドレスは Bitcoin ウォレットのほぼ 2 倍の大きさになります。住所。受信者はまた、ディフィー・ヘルマン交換を実行して、対応するデータを回復します。秘密鍵。標準的なトランザクションシーケンスは次のようになります。 1. アリスは、標準住所を公開しているボブに支払いを送金したいと考えています。彼女アドレスを解凍し、ボブの公開鍵 (A、B) を取得します。 2. アリスはランダムな \(r \in [1, l - 1]\) を生成し、ワンタイム公開鍵 \(P = H_s(rA)G +\) を計算します。 B. 3. アリスは、出力の宛先キーとして P を使用し、値 R = rG も (一部として) パックします。 Diﬃe-Hellman 交換の) トランザクションのどこかに。彼女は作成できることに注意してください一意の公開鍵を含む他の出力: 異なる受信者の鍵 (Ai、Bi) は異なる Pi を意味します同じrでも。トランザクション送信公開鍵送信出力金額宛先キー R = rG P = Hs(rA)G + B 受信者の公開鍵送信者のランダムデータ r (A、B) 図 4. 標準的なトランザクション構造。 4. アリスはトランザクションを送信します。 5. ボブは、通過するすべてのトランザクションを自分の秘密鍵 (a, b) でチェックし、P ' = を計算します。 Hs(aR)G + B. ボブを受取人とするアリスの取引がその中にあったとしたら、この場合、aR = arG = rA および P ' = P となります。 7 公共プライベートアリスキャロルワンタイムキーワンタイムキーワンタイムキーボブボブの鍵ボブの住所図 3. CryptoNote のキー/トランザクションモデル。まず、送信者はディフィー・ヘルマン交換を実行してデータから共有秘密を取得し、受信者の住所の半分。次に、共有されたキーを使用して、ワンタイム宛先キーを計算します。秘密とアドレスの後半。受信者には 2 つの異なる EC キーが必要ですこれら 2 つのステップのため、標準の CryptoNote アドレスは Bitcoin ウォレットのほぼ 2 倍の大きさになります。住所。受信者はまた、ディフィー・ヘルマン交換を実行して、対応するデータを回復します。秘密鍵。標準的なトランザクションシーケンスは次のようになります。 1. アリスは、標準住所を公開しているボブに支払いを送金したいと考えています。彼女アドレスを解凍し、ボブの公開鍵 (A、B) を取得します。 2. アリスはランダムな \(r \in [1, l - 1]\) を生成し、ワンタイム公開鍵 \(P = H_s(rA)G +\) を計算します。 B. 3. アリスは、出力の宛先キーとして P を使用し、値 R = rG も (一部として) パックします。 Diﬃe-Hellman 交換の) トランザクションのどこかに。彼女は作成できることに注意してください一意の公開鍵を含む他の出力: 異なる受信者の鍵 (Ai、Bi) は異なる Pi を意味します同じrでも。トランザクション送信公開鍵送信出力金額宛先キー R = rG P = Hs(rA)G + B 受信者の公開鍵送信者のランダムデータ r (A、B) 図 4. 標準的なトランザクション構造。 4. アリスはトランザクションを送信します。 5. ボブは、通過するすべてのトランザクションを自分の秘密鍵 (a, b) でチェックし、P ' = を計算します。 Hs(aR)G + B. ボブを受取人とするアリスの取引がその中にあったとしたら、この場合、aR = arG = rA および P ' = P となります。 7 14 著者は、用語を一貫して正確に保つというひどい仕事をしていることに注意してください。本文もそうですが、特に次の部分で。この文書の次回の発行は必ず次のとおりです。はるかに厳格です。本文中では、P をワンタイム公開鍵と呼んでいます。図では、R を次のように呼んでいます。「送信公開キー」と「宛先キー」としての P。これをもう一度書くとしたら、これらのセクションについて説明する前に、いくつかの用語を非常に具体的に説明します。このエルは巨大です。 5 ページを参照してください。エルを選ぶのは誰ですか？図は、トランザクション公開キー R = rG (ランダムに選択される) を示しています。送信者によるものであり、Tx 出力の一部ではありません。複数で同じになる可能性があるためです複数の人へのトランザクションであり、「後で」使用されることはありません。新しい R が生成される新しい CryptoNote トランザクションをブロードキャストするたびに。なお、Rはのみ使用されますあなたが取引の受取人であるかどうかを確認します。ジャンクデータではありませんが、誰にとってもジャンクです (A,B) に関連付けられた秘密キーなし。一方、Destination キー、P = Hs(rA)G + B は Tx 出力の一部です。みんな通過するすべてのトランザクションのデータをざっと調べて、独自に生成された P* を照合する必要があります。この P を使用して、この通過トランザクションを所有しているかどうかを確認します。未使用のトランザクション出力がある人 (UTXO) には、大量の P が金額とともに転がっているでしょう。過ごすためにd、彼らは P を含む新しいメッセージに署名します。アリスは、未使用のトランザクション出力の宛先キーに関連付けられたワンタイム秘密キーを使用して、このトランザクションに署名する必要があります。アリスが所有する各宛先キーが装備されていますワンタイム秘密鍵も (おそらく) アリスが所有しているものです。アリスが望むたびに宛先キーの内容を私、またはボブ、ブレンダ、チャーリー、またはシャーリーンに送ってください、彼女は彼女の秘密鍵を使用してトランザクションに署名します。取引を受領次第、新しいものを受け取ります送信公開キー、新しい宛先公開キー、そして新しいワンタイム秘密キー x を回復できるようになります。ワンタイム秘密キー x と新しいトランザクションの公開宛先を組み合わせる key(s) は新しいトランザクションの送信方法です

ボブは、対応するワンタイム秘密キーを復元できます: x = Hs(aR) + b、つまり P = xG。 x でトランザクションに署名することで、いつでもこの出力を使用できます。トランザクション送信公開鍵送信出力金額宛先キー P ' = Hs(aR)G + bG ワンタイム公開鍵 x = Hs(aR) + b ワンタイム秘密鍵受信者の秘密鍵 (a、b) R P' ?= P 図 5. 受信トランザクションのチェック。その結果、ボブは、ワンタイム公開鍵に関連付けられた支払いを受け取ります。観客にとってはリンク不可能です。追加の注意事項: • ボブが自分のトランザクションを「認識」したとき (ステップ 5 を参照)、実際にはトランザクションの半分しか使用しません。個人情報: (a、B)。このペアは追跡キーとも呼ばれ、渡すことができます。第三者（キャロル）に。ボブは彼女に新しいトランザクションの処理を委任できます。ボブキャロルはワンタイム秘密鍵 p を回復できないため、明示的に信頼する必要はありません。ボブの完全な秘密鍵 (a、b) はありません。このアプローチは、Bob に帯域幅がない場合に役立ちます。または計算能力（スマートフォン、ハードウェアウォレットなど）。 • アリスがボブのアドレスにトランザクションを送信したことを証明したい場合は、次のいずれかを開示することができます。または、あらゆる種類のゼロ知識プロトコルを使用して、彼女が r を知っていることを証明します（たとえば、署名することによって） rとのトランザクション）。 • ボブが、すべての受信トランザクションが保存される監査互換アドレスを取得したい場合。リンク可能であれば、追跡キーを公開するか、切り捨てられたアドレスを使用することができます。その住所 1 つの公開 EC キー B のみを表し、プロトコルで必要な残りの部分は次のとおりです。そこから次のように導出されます: a = Hs(B) および A = Hs(B)G。どちらの場合でも、すべての人はボブの受信トランザクションをすべて「認識」することはできますが、もちろん、誰もそのトランザクションを費やすことはできません。秘密鍵のない資金がその中に封入されているｂ． 4.4 ワンタイムリングサインワンタイムリング署名に基づくプロトコルにより、ユーザーは無条件のリンク解除を実現できます。残念ながら、通常のタイプの暗号署名では、トランザクションを追跡することができます。それぞれの送信者と受信者。この欠陥に対する私たちの解決策は、別の署名を使用することにあります。現在電子マネーシステムで使用されているものよりも優れたタイプです。まず、明示的な言及はせずに、アルゴリズムの一般的な説明を行います。電子現金。ワンタイムリング署名には 4 つのアルゴリズム (GEN、SIG、VER、LNK) が含まれています。 GEN: 公開パラメータを受け取り、ec-pair (P, x) と公開鍵 I を出力します。 SIG: メッセージ m、公開鍵の集合 \(S'\) {Pi}i̸=s、ペア (Ps, xs) を受け取り、署名 \(\sigma\) を出力します。集合 \(S = \)S'\( \cup \{P_s\}\)。 8
ボブは、対応するワンタイム秘密キーを復元できます: x = Hs(aR) + b、つまり P = xG。 x でトランザクションに署名することで、いつでもこの出力を使用できます。トランザクション送信公開鍵送信出力金額宛先キー P ' = Hs(aR)G + bG ワンタイム公開鍵 x = Hs(aR) + b ワンタイム秘密鍵受信者の秘密鍵 (a、b) R P' ?= P 図 5. 受信トランザクションのチェック。その結果、ボブは、ワンタイム公開鍵に関連付けられた支払いを受け取ります。観客にとってはリンク不可能です。追加の注意事項: • ボブが自分のトランザクションを「認識」したとき (ステップ 5 を参照)、実際にはトランザクションの半分しか使用しません。個人情報: (a、B)。このペアは追跡キーとも呼ばれ、渡すことができます。第三者（キャロル）に。ボブは彼女に新しいトランザクションの処理を委任できます。ボブキャロルはワンタイム秘密鍵 p を回復できないため、明示的に信頼する必要はありません。ボブの完全な秘密鍵 (a、b) はありません。このアプローチは、Bob に帯域幅がない場合に役立ちます。または計算能力（スマートフォン、ハードウェアウォレットなど）。 • アリスがボブのアドレスにトランザクションを送信したことを証明したい場合は、次のいずれかを開示することができます。または、あらゆる種類のゼロ知識プロトコルを使用して、彼女が r を知っていることを証明します（たとえば、署名することによって） rとのトランザクション）。 • ボブが、すべての受信トランザクションが保存される監査互換アドレスを取得したい場合。リンク可能であれば、追跡キーを公開するか、切り捨てられたアドレスを使用することができます。その住所 1 つの公開 EC キー B のみを表し、プロトコルで必要な残りの部分は次のとおりです。そこから次のように導出されます: a = Hs(B) および A = Hs(B)G。どちらの場合でも、すべての人はボブの受信トランザクションをすべて「認識」することはできますが、もちろん、誰もそのトランザクションを費やすことはできません。秘密鍵のない資金がその中に封入されているｂ． 4.4 ワンタイムリングサインワンタイムリング署名に基づくプロトコルにより、ユーザーは無条件のリンク解除を実現できます。残念ながら、通常のタイプの暗号署名では、トランザクションを追跡することができます。それぞれの送信者と受信者。この欠陥に対する私たちの解決策は、別の署名を使用することにあります。現在電子マネーシステムで使用されているものよりも優れたタイプです。まずジェネレーターを提供します明示的な言及のないアルゴリズムの説明電子現金。ワンタイムリング署名には 4 つのアルゴリズム (GEN、SIG、VER、LNK) が含まれています。 GEN: 公開パラメータを受け取り、ec-pair (P, x) と公開鍵 I を出力します。 SIG: メッセージ m、公開鍵の集合 \(S'\) {Pi}i̸=s、ペア (Ps, xs) を受け取り、署名 \(\sigma\) を出力します。集合 \(S = \)S'\( \cup \{P_s\}\)。 8 15 未使用のトランザクション出力はどのようになりますか?この図は、トランザクション出力が金額と宛先キーの 2 つのデータポイントのみで構成されていることを示しています。しかし、これはそうではありませんこの「アウトプット」を使おうとするとき、やはり R=rG を知る必要があるので、これで十分です。 r は送信者によって選択され、R は a) 受信した暗号通貨をあなたのものとして認識するために使用されることを覚えておいてください。 b) 暗号ノートを「要求」するために使用されるワンタイム秘密キーの生成に使用されます。これについて私が理解できない部分は何ですか？理論的には「よし、これはある」署名とトランザクションをプログラミングの世界にやり取りします。「それでは、個人 UTXO を具体的に構成する情報は何ですか?」この質問に答える最善の方法は、完全にコメントされていないコードの本体を詳しく調べることです。頑張れ、バイトコインチーム。思い出してください: リンク可能性とは、「同じ人が送信したか?」ということを意味します。リンク解除可能性は、「同じことをした」ことを意味します人は受け取りますか？」したがって、システムはリンク可能または非リンク可能、またはリンク可能または非リンク可能です。迷惑です、私は知っています。したがって、ニック・ヴァン・セイバーハーゲンがここで「...受信した支払いは1回限りの支払いに関連付けられています」と言うと、観客にとってリンクできない公開鍵」という言葉が何を意味するのか見てみましょう。まず、アリスが同じトランザクションから 2 つの別々のトランザクションをボブに送信する状況を考えてみましょう。同じアドレスに送信します。 Bitcoin の世界では、アリスはすでに間違いを犯しています同じアドレスから送信したため、取引は制限付きでの私たちの希望に応えられませんでした。リンク可能性。しかも彼女は同じ住所に送金したので、我々の望みは裏切られたことになる。リンク解除不可のため。このビットコイントランザクションは、(完全に) リンク可能であり、リンク解除不可能でもありました。一方、暗号ノートの世界では、アリスがボブに暗号ノートを送ったとします。ボブの公開アドレスを使用します。彼女は、難読化する公開鍵のセットとして、既知の公開鍵をすべて選択します。ワシントン DC メトロエリアのキー。 Alex は自分の独自の公開鍵を使用してワンタイム公開鍵を生成します情報とボブの公開情報。彼女はお金を送金します、そして、観察者は誰でもそうします収集できるのは「ワシントン DC 都市圏の誰かが 2.3 枚の暗号通貨を送信した」 1 回限りのパブリックアドレス XYZ123。」ここではリンク可能性を確率的に制御できるため、これを「ほぼリンク不可能」と呼びます。また、送金先の 1 回限りの公開鍵のみが表示されます。たとえ受信者を疑ってもはボブでした。私たちは彼の秘密鍵を持っていないので、トランザクションが成功したかどうかをテストできません暗号通貨を引き換えるためのワンタイム秘密鍵を生成することは言うまでもなく、ボブのものです。それでこれ実際、完全に「リンク不可能」です。したがって、これはすべての中で最も巧妙なトリックです。他のMtGoxを本当に信頼したい人がいるでしょうか？私たちはそうかもしれない Coinbase にある程度の BTC を保管するのは快適ですが、ビットコインの究極のセキュリティは物理的な財布。それは不便です。この場合、あなたの秘密鍵の半分を信頼性を損なうことなく渡すことができます。自分自身のお金の使い方の能力。これを行うとき、あなたがしていることは、リンク解除を解除する方法を誰かに伝えることだけです。もう一つは二重支出に対する証拠など、通貨のように機能する CN の特性は維持されます。何でも。
ボブは、対応するワンタイム秘密キーを復元できます: x = Hs(aR) + b、つまり P = xG。 x でトランザクションに署名することで、いつでもこの出力を使用できます。トランザクション送信公開鍵送信出力金額宛先キー P ' = Hs(aR)G + bG ワンタイム公開鍵 x = Hs(aR) + b ワンタイム秘密鍵受信者の秘密鍵 (a、b) R P' ?= P 図 5. 受信トランザクションのチェック。その結果、ボブは、ワンタイム公開鍵に関連付けられた支払いを受け取ります。観客にとってはリンク不可能です。追加の注意事項: • ボブが自分のトランザクションを「認識」したとき (ステップ 5 を参照)、実際にはトランザクションの半分しか使用しません。個人情報: (a、B)。このペアは追跡キーとも呼ばれ、渡すことができます。第三者（キャロル）に。ボブは彼女に新しいトランザクションの処理を委任できます。ボブキャロルはワンタイム秘密鍵 p を回復できないため、明示的に信頼する必要はありません。ボブの完全な秘密鍵 (a、b) はありません。このアプローチは、Bob に帯域幅がない場合に役立ちます。または計算能力（スマートフォン、ハードウェアウォレットなど）。 • アリスがボブのアドレスにトランザクションを送信したことを証明したい場合は、次のいずれかを開示することができます。または、あらゆる種類のゼロ知識プロトコルを使用して、彼女が r を知っていることを証明します（たとえば、署名することによって） rとのトランザクション）。 • ボブが、すべての受信トランザクションが保存される監査互換アドレスを取得したい場合。リンク可能であれば、追跡キーを公開するか、切り捨てられたアドレスを使用することができます。その住所 1 つの公開 EC キー B のみを表し、プロトコルで必要な残りの部分は次のとおりです。そこから次のように導出されます: a = Hs(B) および A = Hs(B)G。どちらの場合でも、すべての人はボブの受信トランザクションをすべて「認識」することはできますが、もちろん、誰もそのトランザクションを費やすことはできません。秘密鍵のない資金がその中に封入されているｂ． 4.4 ワンタイムリングサインワンタイムリング署名に基づくプロトコルにより、ユーザーは無条件のリンク解除を実現できます。残念ながら、通常のタイプの暗号署名では、トランザクションを追跡することができます。それぞれの送信者と受信者。この欠陥に対する私たちの解決策は、別の署名を使用することにあります。現在電子マネーシステムで使用されているものよりも優れたタイプです。まず、明示的な言及はせずに、アルゴリズムの一般的な説明を行います。電子現金。ワンタイムリング署名には 4 つのアルゴリズム (GEN、SIG、VER、LNK) が含まれています。 GEN: 公開パラメータを受け取り、ec-pair (P, x) と公開鍵 I を出力します。 SIG: メッセージ m、公開鍵の集合 \(S'\) {Pi}i̸=s、ペア (Ps, xs) を受け取り、署名 \(\sigma\) を出力します。集合 \(S = \)S'\( \cup \{P_s\}\)。 8
ボブは、対応するワンタイム秘密キーを復元できます: x = Hs(aR) + b、つまり P = xG。 x でトランザクションに署名することで、いつでもこの出力を使用できます。トランザクション送信公開鍵送信出力金額宛先キー P ' = Hs(aR)G + bG ワンタイム公開鍵 x = Hs(aR) + b ワンタイム秘密鍵受信者の秘密鍵 (a、b) R P' ?= P 図 5. 受信トランザクションのチェック。その結果、ボブは、ワンタイム公開鍵に関連付けられた支払いを受け取ります。観客にとってはリンク不可能です。追加の注意事項: • ボブが自分のトランザクションを「認識」したとき (ステップ 5 を参照)、実際にはトランザクションの半分しか使用しません。個人情報: (a、B)。このペアは追跡キーとも呼ばれ、渡すことができます。第三者（キャロル）に。ボブは彼女に新しいトランザクションの処理を委任できます。ボブキャロルはワンタイム秘密鍵 p を回復できないため、明示的に信頼する必要はありません。ボブの完全な秘密鍵 (a、b) はありません。このアプローチは、Bob に帯域幅がない場合に役立ちます。または計算能力（スマートフォン、ハードウェアウォレットなど）。 • アリスがボブのアドレスにトランザクションを送信したことを証明したい場合は、次のいずれかを開示することができます。または、あらゆる種類のゼロ知識プロトコルを使用して、彼女が r を知っていることを証明します（たとえば、署名することによって） rとのトランザクション）。 • ボブが、すべての受信トランザクションが保存される監査互換アドレスを取得したい場合。リンク可能であれば、追跡キーを公開するか、切り捨てられたアドレスを使用することができます。その住所 1 つの公開 EC キー B のみを表し、プロトコルで必要な残りの部分は次のとおりです。そこから次のように導出されます: a = Hs(B) および A = Hs(B)G。どちらの場合でも、すべての人はボブの受信トランザクションをすべて「認識」することはできますが、もちろん、誰もそのトランザクションを費やすことはできません。秘密鍵のない資金がその中に封入されているｂ． 4.4 ワンタイムリングサインワンタイムリング署名に基づくプロトコルにより、ユーザーは無条件のリンク解除を実現できます。残念ながら、通常のタイプの暗号署名では、トランザクションを追跡することができます。それぞれの送信者と受信者。この欠陥に対する私たちの解決策は、別の署名を使用することにあります。現在電子マネーシステムで使用されているものよりも優れたタイプです。まずジェネレーターを提供します明示的な言及のないアルゴリズムの説明電子現金。ワンタイムリング署名には 4 つのアルゴリズム (GEN、SIG、VER、LNK) が含まれています。 GEN: 公開パラメータを受け取り、ec-pair (P, x) と公開鍵 I を出力します。 SIG: メッセージ m、公開鍵の集合 \(S'\) {Pi}i̸=s、ペア (Ps, xs) を受け取り、署名 \(\sigma\) を出力します。集合 \(S = \)S'\( \cup \{P_s\}\)。 8 16 はい、これで、a) 支払いアドレスと b) 支払い ID が得られました。批評家は、「本当にこれを行う必要があるのでしょうか? 結局のところ、販売者が 112.00678952 を受信した場合、 CN、まさにそれが私の注文で、スクリーンショットか領収書か何かを持っています。非常識な精度で十分ですか？」答えは「おそらく、日常生活ではほとんどの場合、対面取引です。」ただし、より一般的な状況 (特にデジタルの世界) は次のとおりです。それぞれに固定価格が設定されたオブジェクトのセット。オブジェクト A が 0.001 CN、オブジェクト B が 0.01 CN であるとします。オブジェクト C は 0.1 CN です。さて、販売者が 1.618 CN の注文を受け取った場合、多くの顧客に合わせて注文を手配する方法（たくさんあります！）。したがって、何らかの支払い ID がなければ、顧客のいわゆる「ユニークな」注文を、その顧客のいわゆる「ユニークな」コストで識別する注文不可となります。さらに面白いのは、オンラインストアのすべての価格がちょうど 1.0 である場合です。 CN、1 日に 1000 人の顧客が来るのですか?そして、正確に 3 つのオブジェクトを購入したことを証明したいとします。 2週間前？支払い ID をお持ちでない場合は、頑張れ、相棒。簡単に言うと、ボブが支払い住所を公開すると、最終的には支払い ID も同様です (たとえば、Poloniex XMR デポジットを参照)。これは説明されているものとは異なりますここのテキストでは、Alice が支払い ID を生成します。ボブが支払い ID を生成する何らかの方法も必要です。 (a、B) 追跡キー (a、B) は公開できることを思い出してください。「a」の値の秘密が失われると、自分の支出能力を侵害したり、他人があなたから盗むことを許可したりしないでください（そうすればよいと思います...）証明される必要があります)、これにより、ユーザーは受信したすべてのトランザクションを確認できるようになります。この段落で説明されているように、切り捨てられたアドレスは、単にキーの「プライベート」部分を取得します。そしてそれを「パブリック」部分から生成します。「a」の値を明らかにすると、リンク不可能性が解消されますただし、残りのトランザクションは保存されます。リンク不可能とは受信者を指し、リンク可能なものはリンク可能であるため、著者は「リンク不可能ではない」ことを意味します。送信者を指します。また、作成者が、リンク可能性には 2 つの異なる側面があることに気づいていなかったことも明らかです。結局のところ、トランザクションはグラフ上の有向オブジェクトであるため、次の 2 つの質問があります。「これら 2 つの取引は同じ人物に行われますか?」そして、「これら 2 つのトランザクションは来ますか?」同じ人からですか？」これは、CryptoNote の非リンク性プロパティが適用される「後戻り禁止」ポリシーです。条件付き。つまり、ボブは受信トランザクションをリンク解除不可にしないように選択できます。このポリシーを使用して。これは彼らがランダムオラクルモデルに基づいて証明した主張です。それについてはこれから説明します。ランダムオラクルには長所と短所があります。

VER: メッセージ m、集合 S、署名 \(\sigma\) を受け取り、「true」または「false」を出力します。 LNK: 集合 I = {Ii}、署名 \(\sigma\) を受け取り、「linked」または「indep」を出力します。プロトコルの背後にある考え方は非常に単純です。ユーザーは署名を作成します。一意の公開キーではなく、一連の公開キーによってチェックされます。署名者の身元は、所有者が作成するまで、公開鍵がセットに含まれている他のユーザーと区別できません。同じ鍵ペアを使用した 2 番目の署名。秘密鍵 \(\times\)0 \(\cdots\) 西 \(\cdots\) xn 公開鍵 P0 \(\cdots\) 円周率 \(\cdots\) Pn リング署名サイン検証する図 6. リング署名の匿名性。 GEN: 署名者はランダムな秘密鍵 \(x \in [1, l - 1]\) を選択し、対応する鍵を計算します。公開鍵 P = xG。さらに、別の公開鍵 I = xHp(P) を計算します。これを「キー画像」と呼びます。 SIG: 署名者は、非対話型のゼロ知識を使用してワンタイムリング署名を生成します。 [21] のテクニックを使用して証明します。彼は、他のユーザーのデータから n のランダムなサブセット \(S'\) を選択します。公開鍵 Pi、彼自身の鍵ペア (x、P)、および鍵イメージ I。\(0 \leq s \leq n\) を署名者の秘密インデックスとします。 S にあります (つまり、彼の公開鍵は Ps になります)。彼はランダムに {qi | を選びます。 i = 0 。。。 n} と {wi | i = 0 。。。 n, i ̸= s} (1 . . . l) から次の式を適用します。次の変換: 李＝ ( キグ、 i = s の場合 qiG + wiPi、私が ̸= s の場合リ＝ ( qiHp(Pi)、 i = s の場合 qiHp(Pi) + wiI、私が ̸= s の場合次のステップは、非インタラクティブなチャレンジを取得することです。 c = Hs(m, L1, ..., Ln, R1, ..., Rn) 最後に、署名者は応答を計算します。 ci =    ウィ、私が ̸= s の場合 c − nP i=0 シモジュール l、 i = s の場合り＝ ( 気、私が ̸= s の場合 qs -csx モジュール l、 i = s の場合結果の署名は \(\sigma = (I, c_1, \ldots, c_n, r_1, \ldots, r_n)\) です。 9 VER: メッセージ m、集合 S、署名 \(\sigma\) を受け取り、「true」または「false」を出力します。 LNK: 集合 I = {Ii}、署名 \(\sigma\) を受け取り、「linked」または「indep」を出力します。プロトコルの背後にある考え方は非常に単純です。ユーザーは署名を作成します。一意の公開キーではなく、一連の公開キーによってチェックされます。署名者の身元は、所有者が作成するまで、公開鍵がセットに含まれている他のユーザーと区別できません。同じ鍵ペアを使用した 2 番目の署名。秘密鍵 \(\times\)0 \(\cdots\) 西 \(\cdots\) xn 公開鍵 P0 \(\cdots\) 円周率 \(\cdots\) Pn リング署名サイン検証する図 6. リング署名の匿名性。 GEN: 署名者はランダムな秘密鍵 \(x \in [1, l - 1]\) を選択し、対応する鍵を計算します。公開鍵 P = xG。さらに、別の公開鍵 I = xHp(P) を計算します。これを「キー画像」と呼びます。 SIG: 署名者は、非対話型のゼロ知識を使用してワンタイムリング署名を生成します。 [21] のテクニックを使用して証明します。彼は、他のユーザーのデータから n のランダムなサブセット \(S'\) を選択します。公開鍵 Pi、彼自身の鍵ペア (x、P)、および鍵イメージ I。\(0 \leq s \leq n\) を署名者の秘密インデックスとします。 S にあります (つまり、彼の公開鍵は Ps になります)。彼はランダムに {qi | を選びます。 i = 0 。。。 n} と {wi | i = 0 。。。 n, i ̸= s} (1 . . . l) から次の式を適用します。次の変換: 李＝ ( キグ、 i = s の場合 qiG + wiPi、私が ̸= s の場合リ＝ ( qiHp(Pi)、 i = s の場合 qiHp(Pi) + wiI、私が ̸= s の場合次のステップは、非インタラクティブなチャレンジを取得することです。 c = Hs(m, L1, ..., Ln, R1, ..., Rn) 最後に、署名者は応答を計算します。 ci =    ウィ、私が ̸= s の場合 c − nP i=0 シモジュール l、 i = s の場合り＝ ( 気、私が ̸= s の場合 qs -csx モジュール l、 i = s の場合結果の署名は \(\sigma = (I, c_1, \ldots, c_n, r_1, \ldots, r_n)\) です。 9 17 おそらくこれは愚かなことですが、S と P_ を結合するときは注意が必要です。単に追加する場合は、最後の公開鍵を最後まで保持すると、通過するトランザクションを誰かがチェックするため、リンク不可能になります。各トランザクションとブームにリストされている最後の公開キーを確認するだけです。それが公開鍵です送信者に関連付けられています。したがって、結合後、擬似乱数生成器は次のようにする必要があります。選択した公開鍵を並べ替えるのに使用されます。「...所有者が同じ鍵ペアを使用して 2 番目の署名を作成するまで。」著者（たち？）にお願いしますこれについて詳しく説明します。これは、「難読化する公開鍵のセットを選択するたびに、つまり、同じキーが 2 つもないまったく新しいセットを選択することになります。」リンク解除の際に課されるかなり強力な条件。おそらく、「次から新しいランダムなセットを選択します」すべての可能なキー」を前提として、自明ではない交差は避けられないものの、起こりますが、頻繁には起こりません。いずれにせよ、この発言をさらに深く掘り下げる必要があります。これはリング署名を生成しています。ゼロ知識証明は素晴らしいです。あなたが秘密を知っていることを証明してください。秘密を明かさずに。たとえば、ドーナツ型の洞窟の入り口にいるとします。そして洞窟の奥（入り口からは見えないところ）には、あなたが向かう一方通行のドアあなたが鍵を持っていると主張します。一方向に行けば必ず通してもらえますが、一方の方向に行けば、他の方向にはキーが必要です。でもあなたは私に鍵さえ見せたくありません、ましてやそれがドアを開けることを見せてください。でもあなたは私に、その扉を開ける方法を知っていることを証明したいのですね。ドア。インタラクティブな設定では、コインを投げます。表が左、裏が右、そしてあなたは下に進みますコインがどの方向に進んでも、ドーナツの形をした洞窟に行くことができます。視界の向こうの奥にはあなたがドアを開けて反対側に戻ります。コイン投げの実験を繰り返すあなたが鍵を持っていることに満足するまで。しかし、それは明らかに INTERACTIVE のゼロ知識の証明です。あなたと私がコミュニケーションする必要がない非対話型バージョンもあります。こうすることで、盗聴者が妨害することはできなくなります。 http://en.wikipedia.org/wiki/Zero-knowledge_proof これは前の定義とは逆になります。

VER: メッセージ m、集合 S、署名 \(\sigma\) を受け取り、「true」または「false」を出力します。 LNK: 集合 I = {Ii}、署名 \(\sigma\) を受け取り、「linked」または「indep」を出力します。プロトコルの背後にある考え方は非常に単純です。ユーザーは署名を作成します。一意の公開キーではなく、一連の公開キーによってチェックされます。署名者の身元は、所有者が作成するまで、公開鍵がセットに含まれている他のユーザーと区別できません。同じ鍵ペアを使用した 2 番目の署名。秘密鍵 \(\times\)0 \(\cdots\) 西 \(\cdots\) xn 公開鍵 P0 \(\cdots\) 円周率 \(\cdots\) Pn リング署名サイン検証する図 6. リング署名の匿名性。 GEN: 署名者はランダムな秘密鍵 \(x \in [1, l - 1]\) を選択し、対応する鍵を計算します。公開鍵 P = xG。さらに、別の公開鍵 I = xHp(P) を計算します。これを「キー画像」と呼びます。 SIG: 署名者は、非対話型のゼロ知識を使用してワンタイムリング署名を生成します。 [21] のテクニックを使用して証明します。彼は、他のユーザーのデータから n のランダムなサブセット \(S'\) を選択します。公開鍵 Pi、彼自身の鍵ペア (x、P)、および鍵イメージ I。\(0 \leq s \leq n\) を署名者の秘密インデックスとします。 S にあります (つまり、彼の公開鍵は Ps になります)。彼はランダムに {qi | を選びます。 i = 0 。。。 n} と {wi | i = 0 。。。 n, i ̸= s} (1 . . . l) から次の式を適用します。次の変換: 李＝ ( キグ、 i = s の場合 qiG + wiPi、私が ̸= s の場合リ＝ ( qiHp(Pi)、 i = s の場合 qiHp(Pi) + wiI、私が ̸= s の場合次のステップは、非インタラクティブなチャレンジを取得することです。 c = Hs(m, L1, ..., Ln, R1, ..., Rn) 最後に、署名者は応答を計算します。 ci =    ウィ、私が ̸= s の場合 c − nP i=0 シモジュール l、 i = s の場合り＝ ( 気、私が ̸= s の場合 qs -csx モジュール l、 i = s の場合結果の署名は \(\sigma = (I, c_1, \ldots, c_n, r_1, \ldots, r_n)\) です。 9 VER: メッセージ m、集合 S、署名 \(\sigma\) を受け取り、「true」または「false」を出力します。 LNK: 集合 I = {Ii}、署名 \(\sigma\) を受け取り、「linked」または「indep」を出力します。プロトコルの背後にある考え方は非常に単純です。ユーザーは署名を作成します。一意の公開キーではなく、一連の公開キーによってチェックされます。署名者の身元は、所有者が作成するまで、公開鍵がセットに含まれている他のユーザーと区別できません。同じ鍵ペアを使用した 2 番目の署名。秘密鍵 \(\times\)0 \(\cdots\) 西 \(\cdots\) xn 公開鍵 P0 \(\cdots\) 円周率 \(\cdots\) Pn リング署名サイン検証する図 6. リング署名の匿名性。 GEN: 署名者はランダムな秘密鍵 \(x \in [1, l - 1]\) を選択し、対応する鍵を計算します。公開鍵 P = xG。さらに、別の公開鍵 I = xHp(P) を計算します。これを「キー画像」と呼びます。 SIG: 署名者は、非対話型のゼロ知識を使用してワンタイムリング署名を生成します。 [21] のテクニックを使用して証明します。彼は、他のユーザーのデータから n のランダムなサブセット \(S'\) を選択します。公開鍵 Pi、彼自身の鍵ペア (x、P)、および鍵イメージ I。\(0 \leq s \leq n\) を署名者の秘密インデックスとします。 S にあります (つまり、彼の公開鍵は Ps になります)。彼はランダムに {qi | を選びます。 i = 0 。。。 n} と {wi | i = 0 。。。 n, i ̸= s} (1 . . . l) から次の式を適用します。次の変換: 李＝ ( キグ、 i = s の場合 qiG + wiPi、私が ̸= s の場合リ＝ ( qiHp(Pi)、 i = s の場合 qiHp(Pi) + wiI、私が ̸= s の場合次のステップは、非インタラクティブなチャレンジを取得することです。 c = Hs(m, L1, ..., Ln, R1, ..., Rn) 最後に、署名者は応答を計算します。 ci =    ウィ、私が ̸= s の場合 c − nP i=0 シモジュール l、 i = s の場合り＝ ( 気、私が ̸= s の場合 qs -csx モジュール l、 i = s の場合結果の署名は \(\sigma = (I, c_1, \ldots, c_n, r_1, \ldots, r_n)\) です。 9 18 この領域全体は暗号通貨にとらわれず、単にリング署名アルゴリズムを説明するだけです。通貨への言及。一部の表記は論文の残りの部分と一致していると思いますが、でも。たとえば、x は GEN で選択された「ランダムな」秘密鍵であり、公開鍵 P が得られます。この x の値は、パート 6 の 8 ページでボブが計算した値です。つまり、これは次のようになります。前の説明からの混乱の一部が解消され始めています。これはちょっとクールですね。お金は「アリスの公開アドレスからボブの公開アドレスに送金されていない」ワンタイムアドレスからワンタイムアドレスに転送されます。つまり、ある意味、これが物事の仕組みです。もしアレックスが誰かのせいで暗号通貨を持っているとしたらそれらを彼女に送信したということは、彼女がボブにそれらを送信するために必要な秘密鍵を持っていることを意味します。彼女は使っていますボブの公開情報を使用して新しいワンタイムアドレスを生成するディフィー・ヘルマン交換そして暗号通貨はそのアドレスに転送されます。さて、(おそらく安全な) DH 交換が新しいワンタイムアドレスの生成に使用されたため、アレックスが自分の CN を送信した宛先に、ボブは、このメッセージを繰り返すために必要な秘密鍵を持っている唯一の人物です。上。さて、ボブはアレックスです。 http://en.wikipedia.org/wiki/Piecewise#Notation_and_interpretation 合計は i ではなく j にインデックス付けされる必要があります。各 c_i はランダムなジャンクです (w_i はランダムなので) c_iのお尻を除いてこの署名に含まれる実際のキーで割り当てられます。 cの値は前の情報の hash。ただし、これにはインデックス「i」を再利用するよりも悪いタイプミスが含まれている可能性があると思います。明示的ではなく暗黙的に定義されます。実際、この方程式を信仰に基づいて当てはめると、c_s = (1/2)c - (1/2) となります。 sum_i neq s c_i.つまり、hash から大量の乱数を引いたものになります。一方、この合計を読み取ることを目的としている場合は、「c_s = (c - sum_j neq s c_j) mod」となります。 l" の場合、以前の情報の hash を取得し、大量の乱数を生成します。 hash からこれらの乱数をすべて減算すると、c_s が得られます。これはそうです私の直感からすると何が起こっている「はず」であり、10 ページの検証ステップと一致します。しかし、直感は数学ではありません。これについてさらに詳しく掘り下げていきます。以前と同じ。実際の製品に関連するものを除いて、これらはすべてランダムなジャンクになります。署名者の公開鍵 x。今回を除いて、これは私が構造から期待するものです。 r_i は i!=s に対してランダムであり、r_s は秘密 x と s インデックス付きの値によってのみ決定されます。 q_iとc_i。

VER: 検証者は逆変換を適用して署名をチェックします。 ( L' i = リグ + ciPi R' i = riHp(Pi) + ciI 最後に、検証者は次のことを確認します。 nP i=0 シ ?= Hs(m, L' 0、. 。。、L' n、R' 0、. 。。、R' n) mod l この等価性が正しい場合、検証者はアルゴリズム LNK を実行します。それ以外の場合、検証者は拒否します署名。 LNK: 検証者は、I が過去の署名で使用されているかどうかを確認します (これらの値は、セットI）。複数の使用は、2 つの署名が同じ秘密鍵の下で生成されたことを意味します。プロトコルの意味: L 変換を適用することで、署名者は自分が知っていることを証明します。少なくとも 1 つの Pi = xG となる x です。この証明を再現不可能にするために、キー画像を導入します。 I = xHp(P) となります。署名者は、同じ係数 (ri、ci) を使用して、ほぼ同じステートメントを証明します。彼は、少なくとも 1 つの \(H_p(P_i) = I \cdot x^{-1}\) となるような x を知っています。マッピング \(x \to I\) が注入の場合: 1. 誰も鍵イメージから公開鍵を回復して署名者を特定することはできません。 2. 署名者は、異なる I と同じ x を使用して 2 つの署名を行うことはできません。完全なセキュリティ分析は付録 A に記載されています。 4.5 標準の CryptoNote トランザクション両方の方法 (リンク不可能な公開鍵と追跡不可能なリング署名) を組み合わせることで、ボブは次のことを達成しました。元の Bitcoin スキームと比較して、新しいレベルのプライバシー。それは彼にただ保管することだけを要求します 1 つの秘密キー (a、b) と公開 (A、B) を実行して、匿名トランザクションの送受信を開始します。各トランザクションを検証する際、ボブはさらに、出力ごとに 2 つの楕円曲線乗算と 1 つの加算だけを実行して、トランザクションが自分のものであるかどうかを確認します。彼のすべてのために出力ボブはワンタイムキーペア (pi, Pi) を回復し、それをウォレットに保存します。任意の入力が可能です単一のトランザクションに出現した場合にのみ、同じ所有者であることが状況的に証明されます。で実際、一度きりの指輪の署名のせいで、この関係を確立するのははるかに困難です。リング署名を使用すると、ボブはすべての入力を他の人の入力の中に効果的に隠すことができます。あらゆる可能性前の所有者 (アリス) でさえ、それ以上の情報を持っていません。どの観察者でも。トランザクションに署名するとき、ボブは自分のトランザクションと同じ金額の n 個の外国産出物を指定します。他のユーザーの参加なしにそれらすべてを混合して出力します。ボブ自身（そして他の人）これらの支払いのいずれかが使用されたかどうかはわかりません。出力は使用できます。何千もの署名では曖昧さの要因として扱われ、決して隠蔽の対象としては扱われません。ダブル支出チェックは、使用されているキーイメージセットに対してチェックするときに、LNK フェーズで行われます。ボブは曖昧さの度合いを自分で選択できます。n = 1 は、ボブが持つ確率を意味します。出力が消費される確率は 50%、n = 99 では 1% になります。生成される署名のサイズが大きくなる O(n+1) として直線的に増加するため、匿名性の向上により、Bob には追加のトランザクション手数料がかかります。彼もできます n = 0 に設定し、指輪の署名を 1 つの要素だけで構成しますが、これは即座に彼が浪費家であることを明らかにします。 10 VER: 検証者は逆変換を適用して署名をチェックします。 ( L' i = リグ + ciPi R' i = riHp(Pi) + ciI 最後に、検証者は次のことを確認します。 nP i=0 シ ?= Hs(m, L' 0、. 。。、L' n、R' 0、. 。。、R' n) mod l この等価性が正しい場合、検証者はアルゴリズム LNK を実行します。それ以外の場合、検証者は拒否します署名。 LNK: 検証者は、I が過去の署名で使用されているかどうかを確認します (これらの値は、セットI）。複数の使用は、2 つの署名が同じ秘密鍵の下で生成されたことを意味します。プロトコルの意味: L 変換を適用することで、署名者は自分が知っていることを証明します。少なくとも 1 つの Pi = xG となる x です。この証明を再現不可能にするために、キー画像を導入します。 I = xHp(P) となります。署名者は、同じ係数 (ri、ci) を使用して、ほぼ同じステートメントを証明します。彼は、少なくとも 1 つの \(H_p(P_i) = I \cdot x^{-1}\) となるような x を知っています。マッピング \(x \to I\) が注入の場合: 1. 誰も鍵イメージから公開鍵を回復して署名者を特定することはできません。 2. 署名者は、異なる I と同じ x を使用して 2 つの署名を行うことはできません。完全なセキュリティ分析は付録 A に記載されています。 4.5 標準の CryptoNote トランザクション両方の方法 (リンク不可能な公開鍵と追跡不可能なリング署名) を組み合わせることで、ボブは次のことを達成しました。元の Bitcoin スキームと比較して、新しいレベルのプライバシー。それは彼にただ保管することだけを要求します 1 つの秘密キー (a、b) と公開 (A、B) を実行して、匿名トランザクションの送受信を開始します。各トランザクションを検証する際、ボブはさらに、出力ごとに 2 つの楕円曲線乗算と 1 つの加算だけを実行して、トランザクションが自分のものであるかどうかを確認します。彼のすべてのために出力 Bob はワンタイムキーペア (pi, Pi) を回復し、st彼の財布の中にそれが入っています。任意の入力が可能です単一のトランザクションに出現した場合にのみ、同じ所有者であることが状況的に証明されます。で実際、一度きりの指輪の署名のせいで、この関係を確立するのははるかに困難です。リング署名を使用すると、ボブはすべての入力を他の人の入力の中に効果的に隠すことができます。あらゆる可能性前の所有者 (アリス) でさえ、それ以上の情報を持っていません。どの観察者でも。トランザクションに署名するとき、ボブは自分のトランザクションと同じ金額の n 個の外国産出物を指定します。他のユーザーの参加なしにそれらすべてを混合して出力します。ボブ自身（そして他の人）これらの支払いのいずれかが使用されたかどうかはわかりません。出力は使用できます。何千もの署名では曖昧さの要因として扱われ、決して隠蔽の対象としては扱われません。ダブル支出チェックは、使用されているキーイメージセットに対してチェックするときに、LNK フェーズで行われます。ボブは曖昧さの度合いを自分で選択できます。n = 1 は、ボブが持つ確率を意味します。出力が消費される確率は 50%、n = 99 では 1% になります。生成される署名のサイズが大きくなる O(n+1) として直線的に増加するため、匿名性の向上により、Bob には追加のトランザクション手数料がかかります。彼もできます n = 0 に設定し、指輪の署名を 1 つの要素だけで構成しますが、これは即座に彼が浪費家であることを明らかにします。 10 19 この時点で、私はひどく混乱しています。 Alex は、署名 (I,c_1, ..., c_n, r_1, ..., r_n) と公開リスト付きのメッセージ M を受信します。 S キーを押すと、VER が実行されます。これにより、L_i’ と R_i’ が計算されますこれは、前のページの c_s = c - sum_i が s c_i であることを検証します。最初はとても（笑）混乱しました。 L_i’ と R_i’ は誰でも計算できます。実際、各 r_i と c_i が署名で公開されましたシグマと I の値。セット S = すべての公開鍵の P_i も公開されています。シグマとそのセットを見た人は誰でもキー S = P_i は L_i’ と R_i’ に同じ値を取得するため、署名をチェックします。しかし、このセクションは単に署名アルゴリズムについて説明しているだけであり、「チェック」ではないことを思い出しました。署名されている場合は、私に送られてきたかどうかを確認し、送られてきた場合は、お金を使いましょう。」これは単純に、ゲームの特徴的な部分。最終的に付録 A に到達したら、ぜひ読んでみたいと思っています。 Cryptonote と Bitcoin のオペレーションごとの本格的な比較を見てみたいと思います。また、電力/持続可能性。ここで「入力」を構成するアルゴリズムは何ですか? トランザクション入力は、金額と、合計が金額よりも大きい UTXO のセットであると思います。金額。これは不明です。「潜伏対象？」これについて数分間考えましたが、まだ考えていませんそれが何を意味するのか、最も曖昧な考え。二重支出攻撃は、ノードが認識した使用済みキーを操作することによってのみ実行できます。画像は \(I\) に設定されています。「あいまいさの度合い」 = n ですが、トランザクションに含まれる公開鍵の総数は n+1。つまり、曖昧度は「他に何人欲しいですか？」群衆は？」おそらくデフォルトでは、答えは「できるだけ多く」となるでしょう。

VER: 検証者は逆変換を適用して署名をチェックします。 ( L' i = リグ + ciPi R' i = riHp(Pi) + ciI 最後に、検証者は次のことを確認します。 nP i=0 シ ?= Hs(m, L' 0、. 。。、L' n、R' 0、. 。。、R' n) mod l この等価性が正しい場合、検証者はアルゴリズム LNK を実行します。それ以外の場合、検証者は拒否します署名。 LNK: 検証者は、I が過去の署名で使用されているかどうかを確認します (これらの値は、セットI）。複数の使用は、2 つの署名が同じ秘密鍵の下で生成されたことを意味します。プロトコルの意味: L 変換を適用することで、署名者は自分が知っていることを証明します。少なくとも 1 つの Pi = xG となる x です。この証明を再現不可能にするために、キー画像を導入します。 I = xHp(P) となります。署名者は、同じ係数 (ri、ci) を使用して、ほぼ同じステートメントを証明します。彼は、少なくとも 1 つの \(H_p(P_i) = I \cdot x^{-1}\) となるような x を知っています。マッピング \(x \to I\) が注入の場合: 1. 誰も鍵イメージから公開鍵を回復して署名者を特定することはできません。 2. 署名者は、異なる I と同じ x を使用して 2 つの署名を行うことはできません。完全なセキュリティ分析は付録 A に記載されています。 4.5 標準の CryptoNote トランザクション両方の方法 (リンク不可能な公開鍵と追跡不可能なリング署名) を組み合わせることで、ボブは次のことを達成しました。元の Bitcoin スキームと比較して、新しいレベルのプライバシー。それは彼にただ保管することだけを要求します 1 つの秘密キー (a、b) と公開 (A、B) を実行して、匿名トランザクションの送受信を開始します。各トランザクションを検証する際、ボブはさらに、出力ごとに 2 つの楕円曲線乗算と 1 つの加算だけを実行して、トランザクションが自分のものであるかどうかを確認します。彼のすべてのために出力ボブはワンタイムキーペア (pi, Pi) を回復し、それをウォレットに保存します。任意の入力が可能です単一のトランザクションに出現した場合にのみ、同じ所有者であることが状況的に証明されます。で実際、一度きりの指輪の署名のせいで、この関係を確立するのははるかに困難です。リング署名を使用すると、ボブはすべての入力を他の人の入力の中に効果的に隠すことができます。あらゆる可能性前の所有者 (アリス) でさえ、それ以上の情報を持っていません。どの観察者でも。トランザクションに署名するとき、ボブは自分のトランザクションと同じ金額の n 個の外国産出物を指定します。他のユーザーの参加なしにそれらすべてを混合して出力します。ボブ自身（そして他の人）これらの支払いのいずれかが使用されたかどうかはわかりません。出力は使用できます。何千もの署名では曖昧さの要因として扱われ、決して隠蔽の対象としては扱われません。ダブル支出チェックは、使用されているキーイメージセットに対してチェックするときに、LNK フェーズで行われます。ボブは曖昧さの度合いを自分で選択できます。n = 1 は、ボブが持つ確率を意味します。出力が消費される確率は 50%、n = 99 では 1% になります。生成される署名のサイズが大きくなる O(n+1) として直線的に増加するため、匿名性の向上により、Bob には追加のトランザクション手数料がかかります。彼もできます n = 0 に設定し、指輪の署名を 1 つの要素だけで構成しますが、これは即座に彼が浪費家であることを明らかにします。 10 VER: 検証者は逆変換を適用して署名をチェックします。 ( L' i = リグ + ciPi R' i = riHp(Pi) + ciI 最後に、検証者は次のことを確認します。 nP i=0 シ ?= Hs(m, L' 0、. 。。、L' n、R' 0、. 。。、R' n) mod l この等価性が正しい場合、検証者はアルゴリズム LNK を実行します。それ以外の場合、検証者は拒否します署名。 LNK: 検証者は、I が過去の署名で使用されているかどうかを確認します (これらの値は、セットI）。複数の使用は、2 つの署名が同じ秘密鍵の下で生成されたことを意味します。プロトコルの意味: L 変換を適用することで、署名者は自分が知っていることを証明します。少なくとも 1 つの Pi = xG となる x です。この証明を再現不可能にするために、キー画像を導入します。 I = xHp(P) となります。署名者は、同じ係数 (ri、ci) を使用して、ほぼ同じステートメントを証明します。彼は、少なくとも 1 つの \(H_p(P_i) = I \cdot x^{-1}\) となるような x を知っています。マッピング \(x \to I\) が注入の場合: 1. 誰も鍵イメージから公開鍵を回復して署名者を特定することはできません。 2. 署名者は、異なる I と同じ x を使用して 2 つの署名を行うことはできません。完全なセキュリティ分析は付録 A に記載されています。 4.5 標準の CryptoNote トランザクション両方の方法 (リンク不可能な公開鍵と追跡不可能なリング署名) を組み合わせることで、ボブは次のことを達成しました。元の Bitcoin スキームと比較して、新しいレベルのプライバシー。それは彼にただ保管することだけを要求します 1 つの秘密キー (a、b) と公開 (A、B) を実行して、匿名トランザクションの送受信を開始します。各トランザクションを検証する際、ボブはさらに、出力ごとに 2 つの楕円曲線乗算と 1 つの加算だけを実行して、トランザクションが自分のものであるかどうかを確認します。彼のすべてのために出力 Bob はワンタイムキーペア (pi, Pi) を回復し、st彼の財布の中にそれが入っています。任意の入力が可能です単一のトランザクションに出現した場合にのみ、同じ所有者であることが状況的に証明されます。で実際、一度きりの指輪の署名のせいで、この関係を確立するのははるかに困難です。リング署名を使用すると、ボブはすべての入力を他の人の入力の中に効果的に隠すことができます。あらゆる可能性前の所有者 (アリス) でさえ、それ以上の情報を持っていません。どの観察者でも。トランザクションに署名するとき、ボブは自分のトランザクションと同じ金額の n 個の外国産出物を指定します。他のユーザーの参加なしにそれらすべてを混合して出力します。ボブ自身（そして他の人）これらの支払いのいずれかが使用されたかどうかはわかりません。出力は使用できます。何千もの署名では曖昧さの要因として扱われ、決して隠蔽の対象としては扱われません。ダブル支出チェックは、使用されているキーイメージセットに対してチェックするときに、LNK フェーズで行われます。ボブは曖昧さの度合いを自分で選択できます。n = 1 は、ボブが持つ確率を意味します。出力が消費される確率は 50%、n = 99 では 1% になります。生成される署名のサイズが大きくなる O(n+1) として直線的に増加するため、匿名性の向上により、Bob には追加のトランザクション手数料がかかります。彼もできます n = 0 に設定し、指輪の署名を 1 つの要素だけで構成しますが、これは即座に彼が浪費家であることを明らかにします。 10 20 これは興味深いですね。先ほど、受信者であるボブがすべての受信を受信できるようにする方法を提供しました。秘密鍵の半分を決定論的に選択するか、彼の秘密鍵の半分を公開鍵として公開します。これは後戻りできない一種の政策です。ここでわかります。送信者アレックスが単一の送信トランザクションをリンク可能として選択する方法ですが、実際にはこれアレックスがネットワーク全体への送信者であることを明らかにします。これは後戻りできない政策ではありません。これはトランザクションごとです。 3番目のポリシーはありますか?受取人であるボブは、アレックスに固有の支払い ID を生成できますか? おそらくディフィー・ヘルマン交換を使用して変更されることはありませんか？誰かがその支払いを含めた場合 ID はボブのアドレスへの取引のどこかにバンドルされており、アレックスから送られたものに違いありません。このようにして、アレックスは特定のリンクを選択することでネットワーク全体に自分自身を明らかにする必要がなくなります。取引が終了しても、彼女は送金先の相手に自分自身を特定することができます。これがポロニエックスのやっていることではないでしょうか？

トランザクション送信入力出力0 。。。出力。。。出力キー画像署名リングサイン宛先キー出力1 宛先キー出力外国取引送信者の出力宛先キーワンタイムキーペアワンタイム秘密鍵 I = xHp(P) P、\(\times\) 図 7. 標準トランザクションにおけるリング署名の生成。 5 平等主義的証明このセクションでは、新しい proof-of-work アルゴリズムを提案し、基礎にします。私たちの主な目標 CPU (多数派) マイナーと GPU/FPGA/ASIC (少数派) マイナーの間のギャップを埋めることです。それは一部のユーザーが他のユーザーよりも一定の利点を持つことは適切ですが、その投資は電力に応じて少なくとも直線的に増加するはずです。より一般的には、特殊用途のデバイスの製造利益はできるだけ少なくする必要があります。 5.1 関連作品元の Bitcoin proof-of-work プロトコルは、CPU を大量に使用する価格設定関数 SHA-256 を使用します。主に基本的な論理演算子で構成され、演算速度のみに依存します。したがって、マルチコア/コンベアの実装に最適です。ただし、現代のコンピューターは 1 秒あたりの操作数だけによって制限されるわけではありません。メモリサイズによっても異なります。一部のプロセッサは他のプロセッサよりも大幅に高速になる可能性があります[8]、メモリサイズはマシン間で異なる可能性が低くなります。メモリバウンド価格関数は、Abadi らによって最初に導入され、次のように定義されました。「メモリへのアクセスに費やされる時間によって計算時間が支配される関数」 [15]。主なアイデアは、大きなデータブロック (「スクラッチパッド」) を割り当てるアルゴリズムを構築することです。比較的ゆっくりとアクセスできるメモリ (RAM など) 内で、「その中には予測不可能な場所の連続があります。ブロックは保存するのに十分な大きさでなければなりませんデータは、アクセスごとに再計算するよりも有利です。アルゴリズムはまた、内部並列処理を防ぐため、N 個の同時スレッドには N 倍のメモリが必要になりますすぐに。 Dwork ら [22] は、このアプローチを調査して形式化し、別のアプローチを提案しました。価格設定関数のバリエーション:「Mbound」。もう 1 つの作品は F. Coelho [20] のものです。 11 トランザクション送信入力出力0 。。。出力。。。出力キー画像署名リングサイン宛先キー出力1 宛先キー出力外国取引送信者の出力宛先キーワンタイムキーペアワンタイム秘密鍵 I = xHp(P) P、\(\times\) 図 7. 標準トランザクションにおけるリング署名の生成。 5 平等主義的証明このセクションでは、新しい proof-of-work アルゴリズムを提案し、基礎にします。私たちの主な目標 CPU (多数派) マイナーと GPU/FPGA/ASIC (少数派) マイナーの間のギャップを埋めることです。それは一部のユーザーが他のユーザーよりも一定の利点を持つことは適切ですが、その投資は電力に応じて少なくとも直線的に増加するはずです。より一般的には、特殊用途のデバイスの製造利益はできるだけ少なくする必要があります。 5.1 関連作品元の Bitcoin proof-of-work プロトコルは、CPU を大量に使用する価格設定関数 SHA-256 を使用します。主に基本的な論理演算子で構成され、演算速度のみに依存します。したがって、マルチコア/コンベアの実装に最適です。ただし、現代のコンピューターは 1 秒あたりの操作数だけによって制限されるわけではありません。メモリサイズによっても異なります。一部のプロセッサは他のプロセッサよりも大幅に高速になる可能性があります[8]、メモリサイズはマシン間で異なる可能性が低くなります。メモリバウンド価格関数は、Abadi らによって最初に導入され、次のように定義されました。「メモリへのアクセスに費やされる時間によって計算時間が支配される関数」 [15]。主なアイデアは、大きなデータブロック (「スクラッチパッド」) を割り当てるアルゴリズムを構築することです。比較的ゆっくりとアクセスできるメモリ (RAM など) 内で、「その中には予測不可能な場所の連続があります。ブロックは保存するのに十分な大きさでなければなりませんデータは、アクセスごとに再計算するよりも有利です。アルゴリズムはまた、内部並列処理を防ぐため、N 個の同時スレッドには N 倍のメモリが必要になりますすぐに。 Dwork ら [22] は、このアプローチを調査して形式化し、別のアプローチを提案しました。価格設定関数のバリエーション:「Mbound」。もう 1 つの作品は F. Coelho [20] のものです。 11 21 これらは、表向き、UTXO の金額と宛先キーです。 Alex がこの標準トランザクションを構築し、Bob に送信している場合、Alex は秘密鍵も持っています。これらのそれぞれに。この図は以前の質問のいくつかに答えているので、とても気に入っています。 Txn入力の構成一連の Txn 出力と keyのイメージ。その後、すべての内容を含むリング署名で署名されます。アレックスが契約に含まれるすべての外国取引に対して所有する秘密鍵。の Txn 出力は金額と宛先キーで構成されます。トランザクションの受信者は、必要に応じて、この文書で前述したようにワンタイム秘密キーを生成して、お金。これが実際のコードとどの程度一致するかを知るのは楽しいことでしょう... いいえ、Nic van Saberhagen は、プルーフ・オブ・ワーク・アルゴリズムのいくつかの特性について大まかに説明しています。実際にそのアルゴリズムを説明することはありません。 CryptoNight アルゴリズム自体には詳細な分析が必要です。これを読んだとき、私はどもってしまいました。投資は電力に応じて少なくとも直線的に増加する必要があります。投資は電力に応じて最大でも直線的に成長しますか? そして私は気づきました。採掘者または投資家としての私は、通常、「どれだけの電力を得ることができるか」を考えます。投資のためですか？」「一定量の電力を得るためにどれくらいの投資が必要か?」ではありません。もちろん、投資を I、電力を P で表します。I(P) が電力の関数としての投資である場合、 P(I) は投資の関数としての電力であり、それらは互いに逆数になります (どこにいても逆も存在する可能性があります)。そして、I(P) が線形より速い場合、P(I) は線形より遅いです。したがって、投資家にとっての収益率は低下します。つまり、著者がここで言いたいのは、「確かに、投資すればするほど、より多くの利益が得られるでしょう」力。しかし、私たちはそれを収益率の低下につながるように努めるべきです。」 CPU への投資は、最終的には線形に近い形で頭打ちになってしまいます。問題は著者かどうかです。は、ASIC にもこれを強制する POW アルゴリズムを設計しました。仮想の「将来通貨」は常に最も遅い/最も限られたリソースで採掘されるべきでしょうか? Abadi らの論文 (Google と Microsoft のエンジニアが著者となっている) は次のとおりです。基本的に、過去数年間 メモリサイズが大幅に小さくなったという事実を利用します。プロセッサ速度よりもマシン間の差異が少なく、電力に対する投資の比率が線形以上になります。数年後には再評価が必要になるかも知れません！すべては軍拡競争だ… hash 関数の構築は困難です。これらの制約を満たす hash 関数を構築するのはさらに難しいようです。この論文には実際の説明はないようです hashアルゴリズム CryptoNight。これはメモリを必要とする SHA-3 の実装だと思います。フォーラムの投稿に書いてありますが、わかりません...そしてそれが重要です。それは説明されなければなりません。

最も効果的な解決策として「北海道」を提案しました。私たちの知る限り、大きな配列での擬似ランダム検索のアイデアに基づいた最後の作品は次のとおりです。 C. Percival [32] によって「scrypt」として知られるアルゴリズム。これまでの機能とは異なり、重点を置いています proof-of-work システムではなく、キー導出。この事実にもかかわらず、scrypt は私たちの目的を果たすことができます。これは、 Bitcoin。これまでに、scrypt はすでに Litecoin [14] およびその他の Bitcoin フォークに適用されています。ただし、その実装は実際にはメモリに依存しません。つまり、「メモリアクセス時間 / 全体」の比率各インスタンスは 128 KB しか使用しないため、「time」は十分な大きさではありません。これにより GPU マイナーが許可されます効果は約 10 倍であり、相対的に安価だが高効率のマイニングデバイス。さらに、暗号化構造自体により、メモリサイズとメモリサイズの間の線形トレードオフが可能になります。スクラッチパッド内のすべてのブロックが前のブロックからのみ派生するという事実による CPU 速度。たとえば、2 つおきのブロックを保存し、他のブロックを遅延的な方法で再計算することができます。必要になったとき。擬似ランダムインデックスは一様に分布していると仮定されます。したがって、追加ブロックの再計算の期待値は 1 です。 \(2 \cdot N\)、N は数値です反復の。全体の計算時間の増加は半分未満です。スクラッチパッドの準備や hash などの、時間に依存しない (一定時間) 操作すべての反復。メモリコストの 2/3 を節約 1 3・N+1 3 \(\cdot\) \(2 \cdot N\) = N 回の追加の再計算。 9/10 の結果は次のとおりです 1 10・N+。。。 +1 10・9・N＝4.5N。 1 つだけ保存していることを示すのは簡単ですすべてのブロックの時間の増加は s−1 倍未満です２．これは、CPU を搭載したマシンが最新のチップよりも 200 倍高速で、スクラッチパッドを 320 バイトしか保存できません。 5.2 提案されたアルゴリズム proof-of-work 価格設定関数用の新しいメモリ制限アルゴリズムを提案します。依存しているのは遅いメモリへのランダムアクセスであり、レイテンシの依存性が強調されます。毎に暗号化するのとは対照的に、新しいブロック (長さ 64 バイト) は、以前のすべてのブロックに依存します。その結果、仮説としては「メモリセーバー」を使用すると、計算速度が飛躍的に向上するはずです。私たちのアルゴリズムでは、次の理由により、インスタンスごとに約 2 Mb が必要です。 1. 主流になるはずの最新プロセッサの L3 キャッシュ (コアごと) に適合します数年以内に。 2. メガバイトの内部メモリは、最新の ASIC パイプラインではほとんど許容できないサイズです。 3. GPU は数百の同時インスタンスを実行できますが、他の方法で制限されます。 GDDR5 メモリは CPU L3 キャッシュよりも遅く、その帯域幅では注目に値しますが、ランダムアクセス速度。 4. スクラッチパッドを大幅に拡張するには、反復回数を増やす必要があります。ターンは全体的な時間の増加を意味します。トラストレス P2P ネットワークでの「重い」通話は、次のような問題を引き起こす可能性があります。ノードはすべての新しいブロックの proof-of-work をチェックする義務があるため、深刻な脆弱性が存在します。ノードが各 hash 評価にかなりの時間を費やすと、簡単に任意の作業データ (nonce 値) を含む偽のオブジェクトの大量による DDoSed。 12 最も効果的な解決策として「北海道」を提案しました。私たちの知る限り、大きな配列での擬似ランダム検索のアイデアに基づいた最後の作品は次のとおりです。 C. Percival [32] によって「scrypt」として知られるアルゴリズム。これまでの機能とは異なり、重点を置いています proof-of-work システムではなく、キー導出。この事実にもかかわらず、scrypt は私たちの目的を果たすことができます。これは、 Bitcoin。これまでに、scrypt はすでに Litecoin [14] およびその他の Bitcoin フォークに適用されています。ただし、その実装は実際にはメモリに依存しません。つまり、「メモリアクセス時間 / 全体」の比率各インスタンスは 128 KB しか使用しないため、「time」は十分な大きさではありません。これにより GPU マイナーが許可されます効果は約 10 倍であり、相対的に安価だが高効率のマイニングデバイス。さらに、暗号化構造自体により、メモリサイズとメモリサイズの間の線形トレードオフが可能になります。スクラッチパッド内のすべてのブロックが前のブロックからのみ派生するという事実による CPU 速度。たとえば、2 つおきのブロックを保存し、他のブロックを遅延的な方法で再計算することができます。必要になったとき。擬似ランダムインデックスは一様に分布していると仮定されます。したがって、追加ブロックの再計算の期待値は 1 です。 2・N、ここでNは数字です反復の。全体の計算時間の増加は半分未満です。スクラッチパッドの準備や hash などの、時間に依存しない (一定時間) 操作すべての反復。メモリコストの 2/3 を節約 1 3・N+1 3 \(\cdot\) \(2 \cdot N\) = N 回の追加の再計算。 9/10 の結果は次のとおりです 1 10・N+。。。 +1 10・9・N＝4.5N。 1 つだけ保存していることを示すのは簡単ですすべてのブロックの時間の増加は s−1 倍未満です２．これは、CPU を搭載したマシンが最新のチップよりも 200 倍高速で、スクラッチパッドを 320 バイトしか保存できません。 5.2 提案されたアルゴリズム proof-of-work 価格設定関数用の新しいメモリ制限アルゴリズムを提案します。依存しているのは遅いメモリへのランダムアクセスであり、レイテンシの依存性が強調されます。毎に暗号化するのとは対照的に、新しいブロック (長さ 64 バイト) は、以前のすべてのブロックに依存します。その結果、仮説としては「メモリセーバー」を使用すると、計算速度が飛躍的に向上するはずです。私たちのアルゴリズムでは、次の理由により、インスタンスごとに約 2 Mb が必要です。 1. 主流になるはずの最新プロセッサの L3 キャッシュ (コアごと) に適合します数年以内に。 2. メガバイトの内部メモリは、最新の ASIC パイプラインではほとんど許容できないサイズです。 3. GPU は数百の同時インスタンスを実行できますが、他の方法で制限されます。 GDDR5 メモリは CPU L3 キャッシュよりも遅く、その帯域幅では注目に値しますが、ランダムアクセス速度。 4. スクラッチパッドを大幅に拡張するには、反復回数を増やす必要があります。ターンは全体的な時間の増加を意味します。トラストレス P2P ネットワークでの「重い」通話は、次のような問題を引き起こす可能性があります。ノードはすべての新しいブロックの proof-of-work をチェックする義務があるため、深刻な脆弱性が存在します。ノードが各 hash 評価にかなりの時間を費やした場合、簡単に任意の作業データ (nonce 値) を含む偽のオブジェクトの大量による DDoSed。 12 22 気にしないでください、それは暗号コインですか？アルゴリズムはどこにあるのでしょうか?私が見るのは広告だけです。 Cryptonote の PoW アルゴリズムが価値があるのであれば、これが真に輝くところです。そうではありません実際には SHA-256 ですが、実際には暗号ではありません。これは新しく、メモリに依存し、再帰的ではありません。

6 さらなる利点 6.1 スムーズな発光 CryptoNote デジタルコインの総量の上限は次のとおりです: MSupply = 264 −1 原子単位。これは、直感ではなく、実装の制限のみに基づいた自然な制限です。「N コインは誰にとっても十分なはずです」など。放出プロセスのスムーズさを確保するために、ブロックに次の式を使用します。報酬: BaseReward = (MSsupply −A) ≫18、ここで、A は以前に生成されたコインの量です。 6.2 調整可能なパラメータ 6.2.1 難易度 CryptoNote には、ブロックごとの難易度を変更するターゲティングアルゴリズムが含まれています。これネットワークのhashレートが急激に増加または縮小している場合、システムの反応時間を短縮します。一定のブロックレートを維持します。オリジナルの Bitcoin メソッドは、実際の最後の 2016 ブロック間の目標タイムスパンを設定し、それを現在のブロックの乗数として使用します。難しさ。明らかに、これは (慣性が大きいため) 迅速な再計算には適していません。発振の原因となります。私たちのアルゴリズムの背後にある一般的な考え方は、ノードによって完了したすべての作業を合計し、それを費やした時間で割ります。仕事の尺度は、対応する難易度の値です各ブロックにあります。しかし、タイムスタンプが不正確で信頼できないため、正確なタイムスタンプを判断することはできません。ブロック間の時間間隔。ユーザーは自分のタイムスタンプを将来および次回にシフトできます。間隔はありえないほど小さいか、マイナスになる可能性さえあります。おそらく事件も少なくなるでしょうこのようなものなので、タイムスタンプを並べ替えて外れ値 (つまり 20%) を切り捨てるだけです。の範囲残りの値は、対応するブロックの 80% に費やされた時間です。 6.2.2 サイズ制限ユーザーは blockchain を保存するために料金を支払い、そのサイズについて投票する権利を有するものとします。すべての鉱夫コストと手数料による利益のバランスを考慮し、独自の設定を行います。ブロックを作成するための「ソフトリミット」。最大ブロックサイズに関するコアルールも必要です。 blockchain が偽のトランザクションで溢れかえるのを防ぎますが、この値はハードコーディングしないでください。 MN を最後の N 個のブロックサイズの中央値とする。次に、サイズの「ハードリミット」受け入れられるブロックの数は \(2 \cdot M_N\) です。 blockchain の肥大化を回避しますが、それでも制限は許容されます。必要に応じて、時間の経過とともにゆっくりと成長します。トランザクションサイズを明示的に制限する必要はありません。これはブロックのサイズによって制限されます。そして、誰かが何百もの入出力（またはリング署名のあいまいさの度合いが高い）、十分な料金を支払うことでそれを行うことができます。 6.2.3 サイズ超過ペナルティマイナーは、自分自身のゼロ手数料トランザクションを最大限までブロックに詰め込むことができます。サイズ2・MB。大多数のマイナーのみが中央値を移動できるとしても、依然として 13 6 さらなる利点 6.1 スムーズな発光 CryptoNote デジタルコインの総量の上限は次のとおりです: MSupply = 264 −1 原子単位。これは、直感ではなく、実装の制限のみに基づいた自然な制限です。「N コインは誰にとっても十分なはずです」など。放出プロセスのスムーズさを確保するために、ブロックに次の式を使用します。報酬: BaseReward = (MSsupply −A) ≫18、ここで、A は以前に生成されたコインの量です。 6.2 調整可能なパラメータ 6.2.1 難易度 CryptoNote には、ブロックごとの難易度を変更するターゲティングアルゴリズムが含まれています。これネットワークのhashレートが急激に増加または縮小している場合、システムの反応時間を短縮します。一定のブロックレートを維持します。オリジナルの Bitcoin メソッドは、実際の最後の 2016 ブロック間の目標タイムスパンを設定し、それを現在のブロックの乗数として使用します。難しさ。明らかに、これは (慣性が大きいため) 迅速な再計算には適していません。発振の原因となります。私たちのアルゴリズムの背後にある一般的な考え方は、ノードによって完了したすべての作業を合計し、それを費やした時間で割ります。仕事の尺度は、対応する難易度の値です各ブロックにあります。しかし、タイムスタンプが不正確で信頼できないため、正確なタイムスタンプを判断することはできません。ブロック間の時間間隔。ユーザーは自分のタイムスタンプを将来および次回にシフトできます。間隔はありえないほど小さいか、マイナスになる可能性さえあります。おそらく事件も少なくなるでしょうこのようなものなので、タイムスタンプを並べ替えて外れ値 (つまり 20%) を切り捨てるだけです。の範囲残りの値は、対応するブロックの 80% に費やされた時間です。 6.2.2 サイズ制限ユーザーは blockchain を保存するために料金を支払い、そのサイズについて投票する権利を有するものとします。すべての鉱夫バランシング間のトレードオフを扱います。費用と手数料からの利益を自分で設定し、ブロックを作成するための「ソフトリミット」。最大ブロックサイズに関するコアルールも必要です。 blockchain が偽のトランザクションで溢れかえるのを防ぎますが、この値はハードコーディングしないでください。 MN を最後の N 個のブロックサイズの中央値とする。次に、サイズの「ハードリミット」受け入れられるブロックの数は \(2 \cdot M_N\) です。 blockchain の肥大化は回避されますが、それでも制限は許容されます。必要に応じて、時間の経過とともにゆっくりと成長します。トランザクションサイズを明示的に制限する必要はありません。これはブロックのサイズによって制限されます。そして、誰かが何百もの入出力（またはリング署名のあいまいさの度合いが高い）、十分な料金を支払うことでそれを行うことができます。 6.2.3 サイズ超過ペナルティマイナーは、自分自身のゼロ手数料トランザクションを最大限までブロックに詰め込むことができます。サイズ2・MB。大多数のマイナーのみが中央値を移動できるとしても、依然として 13 23 原子単位。私はそれが好きです。これはサトシに相当するのでしょうか？もしそうなら、それは1,850億の暗号通貨が存在することを意味します。これは最終的には数ページで調整する必要があることはわかっていますが、それともタイプミスがあるのでしょうか? 基本報酬が「残りのすべてのコイン」である場合、すべてのコインを取得するには 1 つのブロックだけで十分です。インスタミン。一方、これが何らかの形で比例すると仮定すると、現在とコインの生産終了日との時間差はあるのでしょうか？そうすれば意味が分かる。また、私の世界では、このような「より大きい」記号が 2 つあると、「より大きい」という意味になります。著者がやったのかおそらく何か別の意味でしょうか？ブロックごとに難易度の調整が行われる場合、攻撃者は非常に大規模なファームを所有する可能性があります。マシンは慎重に選択された時間間隔で断続的にマイニングを行います。難易度調整式が適切に抑制されていない場合、これにより難易度が混沌とした爆発 (またはゼロへのクラッシュ) を引き起こす可能性があります。 Bitcoin の方法が迅速な再計算には適していないことは間違いありませんが、慣性の考え方はこれらのシステムでは、当然のこととみなされるのではなく、証明される必要があります。さらに、振動ネットワークの問題は、表向きの変動を引き起こさない限り、必ずしも問題ではありませんコインの供給量が非常に急速に変化するため、「過剰修正」が発生する可能性があります。費やされる時間、特に数分間のような短い期間では、「合計」に比例します。ネットワーク上に作成されたブロックの数。」比例定数自体が大きくなる時間の経過とともに、CN が発生するとおそらく指数関数的に増加します。「上に作成されるブロックの総数」を維持するために、単純に難易度を調整する方が良いかもしれません。最後のブロックがメインチェーンに追加されてからのネットワーク」を何らかの定数値内で、または限界変動とかそういうもの。計算上の適応アルゴリズムの場合、実装が簡単であることが判断できれば、これで問題は解決すると思われます。しかし、その方法を使用すると、大規模なマイニング農場を所有する誰かがその農場を閉鎖する可能性があります。数時間放置してから、再度電源を入れます。最初の数ブロックでは、その農場は銀行。したがって、実際、この方法は興味深い点をもたらします。つまり、マイニングは（平均して）特にネットワークに接続する人が増えると、ROI が得られずに負けてしまいます。採掘の難易度が高い場合非常に厳重に追跡されたネットワークhashレート、人々が彼らと同じくらい採掘するのではないかと私はどういうわけか疑っています現在はそうしています。あるいは、その一方で、マイニングファームを 24 時間 365 日稼働させ続ける代わりに、 6 時間オン、2 時間オフ、6 時間オン、2 時間オフなど。別のコインに切り替えるだけです数時間待って、難易度が下がるのを待ってから、追加のいくつかを獲得するために再び飛び乗りますネットワークが適応するにつれて収益性が低下します。そして、あなたは何を知っていますか？これは実はおそらくこれは私が考えた中で最も優れた採掘シナリオの 1 つです... これは循環する可能性がありますが、ブロックの作成時間が平均約 1 分である場合、「費やした時間」の代用としてブロック数を使用します。

6 さらなる利点 6.1 スムーズな発光 CryptoNote デジタルコインの総量の上限は次のとおりです: MSupply = 264 −1 原子単位。これは、直感ではなく、実装の制限のみに基づいた自然な制限です。「N コインは誰にとっても十分なはずです」など。放出プロセスのスムーズさを確保するために、ブロックに次の式を使用します。報酬: BaseReward = (MSsupply −A) ≫18、ここで、A は以前に生成されたコインの量です。 6.2 調整可能なパラメータ 6.2.1 難易度 CryptoNote には、ブロックごとの難易度を変更するターゲティングアルゴリズムが含まれています。これネットワークのhashレートが急激に増加または縮小している場合、システムの反応時間を短縮します。一定のブロックレートを維持します。オリジナルの Bitcoin メソッドは、実際の最後の 2016 ブロック間の目標タイムスパンを設定し、それを現在のブロックの乗数として使用します。難しさ。明らかに、これは (慣性が大きいため) 迅速な再計算には適していません。発振の原因となります。私たちのアルゴリズムの背後にある一般的な考え方は、ノードによって完了したすべての作業を合計し、それを費やした時間で割ります。仕事の尺度は、対応する難易度の値です各ブロックにあります。しかし、タイムスタンプが不正確で信頼できないため、正確なタイムスタンプを判断することはできません。ブロック間の時間間隔。ユーザーは自分のタイムスタンプを将来および次回にシフトできます。間隔はありえないほど小さいか、マイナスになる可能性さえあります。おそらく事件も少なくなるでしょうこのようなものなので、タイムスタンプを並べ替えて外れ値 (つまり 20%) を切り捨てるだけです。の範囲残りの値は、対応するブロックの 80% に費やされた時間です。 6.2.2 サイズ制限ユーザーは blockchain を保存するために料金を支払い、そのサイズについて投票する権利を有するものとします。すべての鉱夫コストと手数料による利益のバランスを考慮し、独自の設定を行います。ブロックを作成するための「ソフトリミット」。最大ブロックサイズに関するコアルールも必要です。 blockchain が偽のトランザクションで溢れかえるのを防ぎますが、この値はハードコーディングしないでください。 MN を最後の N 個のブロックサイズの中央値とする。次に、サイズの「ハードリミット」受け入れられるブロックの数は \(2 \cdot M_N\) です。 blockchain の肥大化を回避しますが、それでも制限は許容されます。必要に応じて、時間の経過とともにゆっくりと成長します。トランザクションサイズを明示的に制限する必要はありません。これはブロックのサイズによって制限されます。そして、誰かが何百もの入出力（またはリング署名のあいまいさの度合いが高い）、十分な料金を支払うことでそれを行うことができます。 6.2.3 サイズ超過ペナルティマイナーは、自分自身のゼロ手数料トランザクションを最大限までブロックに詰め込むことができます。サイズ2・MB。大多数のマイナーのみが中央値を移動できるとしても、依然として 13 6 さらなる利点 6.1 スムーズな発光 CryptoNote デジタルコインの総量の上限は次のとおりです: MSupply = 264 −1 原子単位。これは、直感ではなく、実装の制限のみに基づいた自然な制限です。「N コインは誰にとっても十分なはずです」など。放出プロセスのスムーズさを確保するために、ブロックに次の式を使用します。報酬: BaseReward = (MSsupply −A) ≫18、ここで、A は以前に生成されたコインの量です。 6.2 調整可能なパラメータ 6.2.1 難易度 CryptoNote には、ブロックごとの難易度を変更するターゲティングアルゴリズムが含まれています。これネットワークのhashレートが急激に増加または縮小している場合、システムの反応時間を短縮します。一定のブロックレートを維持します。オリジナルの Bitcoin メソッドは、実際の最後の 2016 ブロック間の目標タイムスパンを設定し、それを現在のブロックの乗数として使用します。難しさ。明らかに、これは (慣性が大きいため) 迅速な再計算には適していません。発振の原因となります。私たちのアルゴリズムの背後にある一般的な考え方は、ノードによって完了したすべての作業を合計し、それを費やした時間で割ります。仕事の尺度は、対応する難易度の値です各ブロックにあります。しかし、タイムスタンプが不正確で信頼できないため、正確なタイムスタンプを判断することはできません。ブロック間の時間間隔。ユーザーは自分のタイムスタンプを将来および次回にシフトできます。間隔はありえないほど小さいか、マイナスになる可能性さえあります。おそらく事件も少なくなるでしょうこのようなものなので、タイムスタンプを並べ替えて外れ値 (つまり 20%) を切り捨てるだけです。の範囲残りの値は、対応するブロックの 80% に費やされた時間です。 6.2.2 サイズ制限ユーザーは blockchain を保存するために料金を支払い、そのサイズについて投票する権利を有するものとします。すべての鉱夫バランシング間のトレードオフを扱います。費用と手数料からの利益を自分で設定し、ブロックを作成するための「ソフトリミット」。最大ブロックサイズに関するコアルールも必要です。 blockchain が偽のトランザクションで溢れかえるのを防ぎますが、この値はハードコーディングしないでください。 MN を最後の N 個のブロックサイズの中央値とする。次に、サイズの「ハードリミット」受け入れられるブロックの数は \(2 \cdot M_N\) です。 blockchain の肥大化を回避しますが、それでも制限は許容されます。必要に応じて、時間の経過とともにゆっくりと成長します。トランザクションサイズを明示的に制限する必要はありません。これはブロックのサイズによって制限されます。そして、誰かが何百もの入出力（またはリング署名のあいまいさの度合いが高い）、十分な料金を支払うことでそれを行うことができます。 6.2.3 サイズ超過ペナルティマイナーは、自分自身のゼロ手数料トランザクションを最大限までブロックに詰め込むことができます。サイズ2・MB。大多数のマイナーのみが中央値を移動できるとしても、依然として 13 24 さて、blockchain があり、各ブロックには単純にタイムスタンプが追加されています。注文した。これは明らかに、単に難易度を調整するために挿入されたものです。前述したように、非常に信頼性が低いです。チェーン内に矛盾するタイムスタンプを含めることはできますか? チェーン内でブロック A がブロック B より前にあり、財務面ですべてが一貫している場合、しかし、ブロック A はブロック B の後に作成されたように見えますか?おそらく誰かが所有していたので、ネットワークの大部分?それでいいですか？おそらく財政が破綻していないからでしょう。そうですね、私はこの恣意的な「メイン blockchain にとって正当なブロックは 80% だけです」というのが大嫌いです。アプローチする。嘘つきがタイムスタンプを改ざんするのを防ぐことが目的だったのでしょうか？しかし今では、こう付け加えます誰もが自分のタイムスタンプについて嘘をつき、中央値だけを選ぶ動機になります。定義してください。意味「このブロックには、それ以上の手数料を含むトランザクションのみを含める」 p% よりも、優先的に 2p% を超える手数料」とか、そのようなものですか? 偽物とはどういう意味ですか? 取引が過去の履歴と一致している場合 blockchain、トランザクションにはマイナーが満足できる手数料が含まれていますが、それだけでは十分ではありませんか?さて、いいえ、必ずしもそうではありません。最大ブロックサイズが存在しない場合、悪意のあるユーザーを留めておくものは何もありません。単に速度を低下させるために、大量のトランザクションのブロックを自分自身に一度にアップロードするだけではありません。ネットワーク。最大ブロックサイズに関する基本ルールにより、人々が大量のジャンクを置くことを防止します速度を低下させるためだけに、blockchain 上のデータを一度にすべて削除します。しかし、そのようなルールは間違いなくそうしなければなりません適応的であること - たとえば、クリスマスシーズン中はトラフィックが急増することが予想されます。ブロックサイズが非常に大きくなり、その直後にブロックサイズがその後減少するまたまた。したがって、a) 何らかの適応キャップ、または b) 99% の妥当なクリスマスのピークは上限を突破しません。もちろん、2番目のものは不可能です推定 - 通貨が普及するかどうかは誰にもわかりません。適応的にして心配しないほうがいいですそれについて。しかし、制御理論の問題があります。それは、これをどのように適応させるかということです。攻撃に対する脆弱性、または乱暴でクレイジーな振動? 適応型の方法では、悪意のあるユーザーが少額を蓄積するのを阻止できないことに注意してください。 blockchain 上にジャンクデータが時間の経過とともに増加し、長期的な肥大化を引き起こします。これは別の問題ですこれは、暗号通貨コインが深刻な問題を抱えていることを意味します。

6 さらなる利点 6.1 スムーズな発光 CryptoNote デジタルコインの総量の上限は次のとおりです: MSupply = 264 −1 原子単位。これは、直感ではなく、実装の制限のみに基づいた自然な制限です。「N コインは誰にとっても十分なはずです」など。放出プロセスのスムーズさを確保するために、ブロックに次の式を使用します。報酬: BaseReward = (MSsupply −A) ≫18、ここで、A は以前に生成されたコインの量です。 6.2 調整可能なパラメータ 6.2.1 難易度 CryptoNote には、ブロックごとの難易度を変更するターゲティングアルゴリズムが含まれています。これネットワークのhashレートが急激に増加または縮小している場合、システムの反応時間を短縮します。一定のブロックレートを維持します。オリジナルの Bitcoin メソッドは、実際の最後の 2016 ブロック間の目標タイムスパンを設定し、それを現在のブロックの乗数として使用します。難しさ。明らかに、これは (慣性が大きいため) 迅速な再計算には適していません。発振の原因となります。私たちのアルゴリズムの背後にある一般的な考え方は、ノードによって完了したすべての作業を合計し、それを費やした時間で割ります。仕事の尺度は、対応する難易度の値です各ブロックにあります。しかし、タイムスタンプが不正確で信頼できないため、正確なタイムスタンプを判断することはできません。ブロック間の時間間隔。ユーザーは自分のタイムスタンプを将来および次回にシフトできます。間隔はありえないほど小さいか、マイナスになる可能性さえあります。おそらく事件も少なくなるでしょうこのようなものなので、タイムスタンプを並べ替えて外れ値 (つまり 20%) を切り捨てるだけです。の範囲残りの値は、対応するブロックの 80% に費やされた時間です。 6.2.2 サイズ制限ユーザーは blockchain を保存するために料金を支払い、そのサイズについて投票する権利を有するものとします。すべての鉱夫コストと手数料による利益のバランスを考慮し、独自の設定を行います。ブロックを作成するための「ソフトリミット」。最大ブロックサイズに関するコアルールも必要です。 blockchain が偽のトランザクションで溢れかえるのを防ぎますが、この値はハードコーディングしないでください。 MN を最後の N 個のブロックサイズの中央値とする。次に、サイズの「ハードリミット」受け入れられるブロックの数は \(2 \cdot M_N\) です。 blockchain の肥大化を回避しますが、それでも制限は許容されます。必要に応じて、時間の経過とともにゆっくりと成長します。トランザクションサイズを明示的に制限する必要はありません。これはブロックのサイズによって制限されます。そして、誰かが何百もの入出力（またはリング署名のあいまいさの度合いが高い）、十分な料金を支払うことでそれを行うことができます。 6.2.3 サイズ超過ペナルティマイナーは、自分自身のゼロ手数料トランザクションを最大限までブロックに詰め込むことができます。サイズ2・MB。大多数のマイナーのみが中央値を移動できるとしても、依然として 13 6 さらなる利点 6.1 スムーズな発光 CryptoNote デジタルコインの総量の上限は次のとおりです: MSupply = 264 −1 原子単位。これは、直感ではなく、実装の制限のみに基づいた自然な制限です。「N コインは誰にとっても十分なはずです」など。放出プロセスのスムーズさを確保するために、ブロックに次の式を使用します。報酬: BaseReward = (MSsupply −A) ≫18、ここで、A は以前に生成されたコインの量です。 6.2 調整可能なパラメータ 6.2.1 難易度 CryptoNote には、ブロックごとの難易度を変更するターゲティングアルゴリズムが含まれています。これネットワークのhashレートが急激に増加または縮小している場合、システムの反応時間を短縮します。一定のブロックレートを維持します。オリジナルの Bitcoin メソッドは、実際の最後の 2016 ブロック間の目標タイムスパンを設定し、それを現在のブロックの乗数として使用します。難しさ。明らかに、これは (慣性が大きいため) 迅速な再計算には適していません。発振の原因となります。私たちのアルゴリズムの背後にある一般的な考え方は、ノードによって完了したすべての作業を合計し、それを費やした時間で割ります。仕事の尺度は、対応する難易度の値です各ブロックにあります。しかし、タイムスタンプが不正確で信頼できないため、正確なタイムスタンプを判断することはできません。ブロック間の時間間隔。ユーザーは自分のタイムスタンプを将来および次回にシフトできます。間隔はありえないほど小さいか、マイナスになる可能性さえあります。おそらく事件も少なくなるでしょうこのようなものなので、タイムスタンプを並べ替えて外れ値 (つまり 20%) を切り捨てるだけです。の範囲残りの値は、対応するブロックの 80% に費やされた時間です。 6.2.2 サイズ制限ユーザーは blockchain を保存するために料金を支払い、そのサイズについて投票する権利を有するものとします。すべての鉱夫バランシング間のトレードオフを扱います。費用と手数料からの利益を自分で設定し、ブロックを作成するための「ソフトリミット」。最大ブロックサイズに関するコアルールも必要です。 blockchain が偽のトランザクションで溢れかえるのを防ぎますが、この値はハードコーディングしないでください。 MN を最後の N 個のブロックサイズの中央値とする。次に、サイズの「ハードリミット」受け入れられるブロックの数は \(2 \cdot M_N\) です。 blockchain の肥大化を回避しますが、それでも制限は許容されます。必要に応じて、時間の経過とともにゆっくりと成長します。トランザクションサイズを明示的に制限する必要はありません。これはブロックのサイズによって制限されます。そして、誰かが何百もの入出力（またはリング署名のあいまいさの度合いが高い）、十分な料金を支払うことでそれを行うことができます。 6.2.3 サイズ超過ペナルティマイナーは、自分自身のゼロ手数料トランザクションを最大限までブロックに詰め込むことができます。サイズ2・MB。大多数のマイナーのみが中央値を移動できるとしても、依然として 13 25 時間の 1 単位が N ブロックになるように時間を再スケーリングしても、理論的には、平均ブロックサイズは 2 ^ t に比例して指数関数的に増加する可能性があります。一方、より一般的なキャップ次のブロックでは、関数 f に対して M_nf(M_n) になります。 f の性質は次のとおりですブロックサイズの「適度な増加」を保証するために選択するのでしょうか？の進行状況ブロックサイズ (再スケーリング時間後) は次のようになります。 M_n f(M_n)M_n f(f(M_n)M_n)f(M_n)M_n f(f(f(M_n)M_n)f(M_n)M_n)f(f(M_n)M_n)f( ... そして、ここでの目標は、このシーケンスが、たとえば次のような速度で増加しないように f を選択することです。あるいは Log(t) としても使用できます。もちろん、ある定数 a に対して f(M_n) = a の場合、このシーケンスは次のようになります。実は M_n aM_n a＾2M_n a＾3M_n ... そしてもちろん、これを最大線形成長に制限できる唯一の方法は、a=1 を選択することです。もちろん、これは実現不可能です。それはまったく成長を許しません。一方、f(M_n) が非定数関数の場合、状況はさらに複雑になります。複雑であり、洗練された解決策が可能になる可能性があります。これについてはしばらく考えてみます。この料金は、次のセクションで超過サイズのペナルティを割り引くのに十分な大きさにする必要があります。なんで一般ユーザーが男性だと思われてるの？え？

blockchain が肥大化し、ノードに追加の負荷が発生する可能性があります。落胆させるため悪意のある参加者が大きなブロックを作成できないように、ペナルティ関数を導入します。新しい報酬 = 基本報酬 \(\cdot\) ブロックサイズミネソタ州 −1 2 このルールは、BlkSize が最小空きブロックサイズより大きい場合にのみ適用されます。最大(10kb、\(M_N \cdot 110\%\))に近いこと。マイナーは「通常のサイズ」のブロックを作成することが許可されており、全体の手数料が違約金を上回った場合、利益を伴ってそれを超えます。しかし手数料は上がらない可能性が高いペナルティ値とは二次的に異なるため、均衡が生じます。 6.3 トランザクションスクリプト CryptoNote には、非常に最小限のスクリプトサブシステムがあります。送信者は式 Φ = を指定します。 f (x1, x2, ..., xn)、n は宛先公開鍵の数 {Pi}n i=1。バイナリは 5 つだけ min、max、sum、mul、cmp の演算子がサポートされています。受取人がこの支払いを使用すると、 \(0 \leq k \leq n\) の署名を生成し、それらをトランザクション入力に渡します。検証プロセス公開鍵 Pi の有効な署名をチェックするために xi = 1 で Φ を評価するだけであり、xi = 0 です。検証者はΦ > 0 の場合に証明を受け入れます。その単純さにもかかわらず、このアプローチは考えられるすべてのケースをカバーします。 • マルチ/しきい値署名。 Bitcoin スタイルの「M-out-of-N」マルチ署名の場合 (つまり、受信者は少なくとも \(0 \leq M \leq N\) の有効な署名を提供する必要があります (Φ = x1+x2+)。。 .+xN \(\geq M\) (明確にするために、一般的な代数表記を使用しています)。重み付けされたしきい値署名 (一部のキーは他のキーよりも重要になる可能性があります) は、Φ = \(w_1 \cdot x_1\) + として表すことができます。 w2・x2+. 。。 + \(w_N \cdot x_N\) ≧ wM。マスターキーが Φ = に対応するシナリオ max(\(M \cdot x\), x1 + x2 + . . . + xN) \(\geq M\)。あらゆる洗練されたケースが可能であることを示すのは簡単です。これらの演算子で表現されます。つまり、基底を形成します。 • パスワード保護。秘密のパスワードを所有していることは、次のことを知っていることと同等です。パスワードから決定論的に導出される秘密キー: k = KDF(s)。したがって、受信機は、キー k で別の署名を提供することで、パスワードを知っていることを証明できます。送信者は、対応する公開キーを自分の出力に追加するだけです。これに注意してくださいこの方法は、Bitcoin [13] で使用される「トランザクションパズル」よりもはるかに安全です。パスワードは入力で明示的に渡されます。 • 劣化したケース。 Φ = 1 は誰でもお金を使うことができることを意味します。 Φ = 0 は、永久に消費できないものとして出力されます。公開鍵と組み合わせた出力スクリプトが送信者にとって大きすぎる場合、送信者は受信者がこのデータを入力に入れることを示す特別な出力タイプを使用できます。一方、送信者はその hash だけを提供します。このアプローチは、Bitcoin の「hash に支払う」と似ています。機能ですが、新しいスクリプトコマンドを追加する代わりに、データ構造でこのケースを処理します。レベル。 7 結論私たちは Bitcoin の主な欠陥を調査し、考えられる解決策をいくつか提案しました。これらの有利な機能と継続的な開発により、新しい電子マネーシステム CryptoNote が誕生します。 Bitcoin の深刻なライバルであり、そのすべてのフォークを上回っています。 14 blockchain が肥大化し、ノードに追加の負荷が発生する可能性があります。落胆させるため悪意のある参加者が大きなブロックを作成できないように、ペナルティ関数を導入します。新しい報酬 = 基本報酬 \(\cdot\) ブロックサイズミネソタ州 −1 2 このルールは、BlkSize が最小空きブロックサイズより大きい場合にのみ適用されます。最大(10kb、\(M_N \cdot 110\%\))に近いこと。マイナーは「通常のサイズ」のブロックを作成することが許可されており、全体の手数料が違約金を上回った場合、利益を伴ってそれを超えます。しかし手数料は上がらない可能性が高いペナルティ値とは二次的に異なるため、均衡が生じます。 6.3 トランザクションスクリプト CryptoNote には、非常に最小限のスクリプトサブシステムがあります。送信者は式 Φ = を指定します。 f (x1, x2, ..., xn)、n は宛先公開鍵の数 {Pi}n i=1。バイナリは 5 つだけ min、max、sum、mul、cmp の演算子がサポートされています。受取人がこの支払いを使用すると、 \(0 \leq k \leq n\) の署名を生成し、それらをトランザクション入力に渡します。検証プロセス公開鍵 Pi の有効な署名をチェックするために xi = 1 で Φ を評価するだけであり、xi = 0 です。検証者はΦ > 0 の場合に証明を受け入れます。その単純さにもかかわらず、このアプローチは考えられるすべてのケースをカバーします。 • マルチ/しきい値署名。 Bitcoin スタイルの「M-out-of-N」マルチ署名の場合 (つまり、受信者は少なくとも \(0 \leq M \leq N\) の有効な署名を提供する必要があります (Φ = x1+x2+)。。 .+xN \(\geq M\) (明確にするために、一般的な代数表記を使用しています)。重み付けされたしきい値署名 (一部のキーは他のキーよりも重要になる可能性があります) は、Φ = \(w_1 \cdot x_1\) + として表すことができます。 w2・x2+. 。。 + \(w_N \cdot x_N\) ≧ wM。そしてシナリオio ここで、マスターキーは Φ = に対応します。 max(\(M \cdot x\), x1 + x2 + . . . + xN) \(\geq M\)。あらゆる洗練されたケースが可能であることを示すのは簡単です。これらの演算子で表現されます。つまり、基底を形成します。 • パスワード保護。秘密のパスワードを所有していることは、次のことを知っていることと同等です。パスワードから決定論的に導出される秘密キー: k = KDF(s)。したがって、受信機は、キー k で別の署名を提供することで、パスワードを知っていることを証明できます。送信者は、対応する公開キーを自分の出力に追加するだけです。これに注意してくださいこの方法は、Bitcoin [13] で使用される「トランザクションパズル」よりもはるかに安全です。パスワードは入力で明示的に渡されます。 • 劣化したケース。 Φ = 1 は誰でもお金を使うことができることを意味します。 Φ = 0 は、永久に消費できないものとして出力されます。公開鍵と組み合わせた出力スクリプトが送信者にとって大きすぎる場合、送信者は受信者がこのデータを入力に入れることを示す特別な出力タイプを使用できます。一方、送信者はその hash だけを提供します。このアプローチは、Bitcoin の「hash に支払う」と似ています。機能ですが、新しいスクリプトコマンドを追加する代わりに、データ構造でこのケースを処理します。レベル。 7 結論私たちは Bitcoin の主な欠陥を調査し、考えられる解決策をいくつか提案しました。これらの有利な機能と継続的な開発により、新しい電子マネーシステム CryptoNote が誕生します。 Bitcoin の深刻なライバルであり、そのすべてのフォークを上回っています。 14 26 時間の経過とともにブロックサイズを制限する方法を見つけ出すことができれば、これは不要になるかもしれません... これも正解とは言えません。「NewReward」を上向きの放物線に設定するだけです。ブロックサイズは独立変数です。したがって、新しい報酬は無限に膨れ上がります。一方、もし、新しい報酬は Max(0,Base Reward(1-(BlkSize/Mn - 1)＾2)) で、新しい報酬はは、ブロックサイズ = Mn にピークがあり、次のように切片がある下向きの放物線になります。ブロックサイズ = 0 およびブロックサイズ = 2Mn。そしてそれが彼らが表現しようとしているもののようです。ただし、これはそうではありません

분석

Bitcoin network total computation speed chart showing hashrate and difficulty from 2012 to 2013

5 전 세계 10억 명의 사람들이 1달러 미만의 돈으로 살아간다는 것이 그다지 중요한 것은 아닙니다. 어떤 종류의 채굴 네트워크에도 참여할 희망이 없습니다... 하지만 경제적 1-CPU-1-표를 사용하는 P2P 통화 시스템이 주도하는 세계는 아마도 더 많을 것입니다. 부분지급준비은행에 의해 운영되는 시스템보다 공정합니다. 하지만 Cryptonote의 프로토콜에는 여전히 51%의 정직한 사용자가 필요합니다. 예를 들어 Cryptonote를 참조하세요. 개발자 중 한 명인 Pliskov는 전통적인 데이터 교체 blockchain 51% 공격이 여전히 작동할 수 있다고 말합니다. https://forum.cryptonote.org/viewtopic.php?f=2&t=198 실제로 51%의 정직한 사용자가 필요한 것은 아닙니다. 당신은 정말로 "단 한 명의 부정직한 사람도 필요하지 않습니다" 네트워크의 hash 힘의 51% 이상을 보유한 세력입니다." 소위 비트코인의 문제를 '적응적 경직성'이라고 부르자. Cryptonote의 적응형 솔루션 강성은 프로토콜 매개변수 값의 적응형 유연성입니다. 더 큰 블록 크기가 필요한 경우, 문제 없습니다. 네트워크는 내내 부드럽게 조정되었을 것입니다. 즉, Bitcoin이 시간이 지남에 따라 어려움을 조정하는 방식은 모든 프로토콜에서 복제될 수 있습니다. 프로토콜을 업데이트하기 위해 네트워크 합의를 얻을 필요가 없도록 매개변수를 설정합니다. 표면적으로 이것은 좋은 생각처럼 보이지만 신중한 사전 고려 없이는 자체 조정이 가능합니다. 시스템은 매우 예측 불가능하고 혼란스러워질 수 있습니다. 이에 대해서는 나중에 더 자세히 살펴보겠습니다. 기회가 생깁니다. "좋은" 시스템은 적응적으로 엄격한 시스템과 적응적인 시스템 사이의 어딘가에 있습니다. 유연하고 어쩌면 강성 자체도 적응력이 있을 수 있습니다. 우리가 정말로 "1-CPU-1-투표"를 가졌다면 51%에 도달하기 위해 풀을 협력하고 개발해야 합니다. 더 어려울 것입니다. 우리는 전 세계의 모든 CPU가 휴대폰에서 채굴될 것으로 예상합니다. 충전하는 동안 Tesla의 온보드 CPU에 연결됩니다. http://en.wikipedia.org/wiki/Pareto_principle 나는 파레토 균형이 다소 불가피하다고 주장합니다. 시스템의 20%가 CPU의 80%를 소유하거나 시스템의 20%가 ASIC의 80%를 소유하게 됩니다. 나는 사회의 기본 부의 분배가 이미 파레토 분포를 보이고 있기 때문에 이것을 가정합니다. 새로운 채굴자가 합류하면 기본 배포판에서 추출됩니다. 그러나 나는 1-CPU-1-투표 프로토콜이 하드웨어에서 ROI를 볼 것이라고 주장합니다. 블록 노드당 보상은 네트워크의 노드 수에 더 밀접하게 비례합니다. 노드 전반에 걸쳐 성능 분포가 훨씬 더 엄격해집니다. Bitcoin, 다른 한편으로는 계산 능력에 더 비례하는 블록 보상(노드당)을 봅니다. 노드. 즉, 여전히 채굴 게임에는 "큰 소년들"만이 남아 있다는 것입니다. 반면에, 1CPU 1표 세계에서는 파레토 원칙이 여전히 적용되더라도 모든 사람은 네트워크 보안에 참여하고 약간의 채굴 수입을 얻습니다. ASIC 세계에서는 모든 XBox와 휴대폰을 광산에 장착하는 것은 합리적이지 않습니다. 1CPU 1표 세계에서는 채굴 보상 측면에서 매우 합리적입니다. 기분 좋은 결과로, 투표 수가 많아지면 51%의 득표율을 얻는 것이 더 어렵습니다. 네트워크 보안에 이점이 있습니다..이전에 설명한 하드웨어. 다음 경우에도 글로벌 hash 비율이 크게 감소한다고 가정합니다. 잠시 후 그는 채굴 능력을 사용하여 체인을 포크하고 이중 지출을 할 수 있습니다. 앞으로 살펴보겠지만 이 기사의 뒷부분에서는 이전에 설명한 사건이 발생할 가능성이 거의 없습니다. 2.3 불규칙한 방출 Bitcoin에는 미리 결정된 방출 속도가 있습니다. 해결된 각 블록은 고정된 양의 코인을 생성합니다. 대략 4년마다 이 보상은 절반으로 줄어듭니다. 원래 의도는 만들려고 했는데 지수적 붕괴로 제한된 부드러운 방출을 수행하지만 실제로는 조각별 선형 방출이 있습니다. 중단점이 Bitcoin 인프라에 문제를 일으킬 수 있는 함수입니다. 중단점이 발생하면 채굴자는 이전 가치의 절반만 받기 시작합니다. 보상. 12.5와 6.25 BTC(2020년 예상) 사이의 절대적인 차이는 견딜 수 있을 것 같습니다. 그러나 11월에 발생한 50~25BTC 하락을 살펴보면 2012년 28일, 광산 커뮤니티의 상당수 구성원에게 부적절하다고 느꼈습니다. 그림 1은 정확히 11월 말에 네트워크의 hash비율이 급격히 감소한 것을 보여줍니다. 반감기가 일어났습니다. 이 사건은 악의적인 개인에게 완벽한 순간이었을 수도 있습니다. 이중 지출 공격 [36]을 수행하기 위해 proof-of-work 함수 섹션에 설명되어 있습니다. 그림 1. Bitcoin hash비율 차트 (출처: http://bitcoin.sipa.be) 2.4 하드코딩된 상수 Bitcoin에는 하드 코딩된 제한이 많이 있으며 일부는 원래 디자인의 자연스러운 요소입니다(예: 차단 빈도, 최대 통화 공급량, 확인 횟수) 반면 다른 인위적인 제약인 것 같습니다. 한계가 아니라 빠르게 변화할 수 없다는 점입니다. 3 이전에 설명한 하드웨어. 다음 경우에도 글로벌 hash 비율이 크게 감소한다고 가정합니다. 잠시 후 그는 채굴 능력을 사용하여 체인을 포크하고 이중 지출을 할 수 있습니다. 앞으로 살펴보겠지만 이 기사의 뒷부분에서는 이전에 설명한 사건이 발생할 가능성이 거의 없습니다. 2.3 불규칙한 방출 Bitcoin에는 미리 결정된 방출 속도가 있습니다. 각 해결된 블록은 고정된 양의 코인을 생성합니다. 대략 4년마다 이 보상은 절반으로 줄어듭니다. 원래 의도는 만들려고 했는데 지수적 붕괴로 제한된 부드러운 방출을 수행하지만 실제로는 조각별 선형 방출이 있습니다. 중단점이 Bitcoin 인프라에 문제를 일으킬 수 있는 함수입니다. 중단점이 발생하면 채굴자는 이전 가치의 절반만 받기 시작합니다. 보상. 12.5와 6.25 BTC(2020년 예상) 사이의 절대적인 차이는 견딜 수 있을 것 같습니다. 그러나 11월에 발생한 50~25BTC 하락을 살펴보면 2012년 28일, 광산 커뮤니티의 상당수 구성원에게 부적절하다고 느꼈습니다. 그림 1은 정확히 11월 말에 네트워크의 hash비율이 급격히 감소한 것을 보여줍니다. 반감기가 일어났습니다. 이 사건은 악의적인 개인에게 완벽한 순간이었을 수도 있습니다. 이중 지출 공격 [36]을 수행하기 위해 proof-of-work 함수 섹션에 설명되어 있습니다. 그림 1. Bitcoin hash비율 차트 (출처: http://bitcoin.sipa.be) 2.4 하드코딩된 상수 Bitcoin에는 하드 코딩된 제한이 많이 있으며 일부는 원래 디자인의 자연스러운 요소입니다(예: 차단 빈도, 최대 통화 공급량, 확인 횟수) 반면 다른 인위적인 제약인 것 같습니다. 한계가 아니라 빠르게 변화할 수 없다는 점입니다. 3 6 이것을 좀비 공격이라고 부르자. 지속적으로 방출하는 방법에 대해 논의해 보겠습니다. 좀비 공격 시나리오의 one-cpu-one-vote와 관련이 있습니다. 1CPU 1표 세계에서는 유휴 상태일 때마다 모든 휴대폰과 자동차가 채굴을 할 것입니다. 광산 농장을 만들기 위해 값싼 하드웨어 더미를 모으는 것은 매우 쉬울 것입니다. 모든 것에는 CPU가 있습니다. 반면에 그 시점의 CPU 수는 51% 공격을 시작하는 데 필요한 요구 사항은 매우 놀라운 일이라고 생각합니다. 게다가, 정확하게 왜냐하면 값싼 하드웨어를 모으는 것이 쉽기 때문에 우리는 합리적인 가격을 기대할 수 있습니다. 많은 사람들이 CPU로 무엇이든 쌓아두기 시작합니다. 1CPU 1표 세계의 군비 경쟁 ASIC 세계보다 반드시 더 평등주의적입니다. 따라서 네트워크의 단절 배출율로 인한 보안은 1CPU 1표 세계에서는 문제가 덜 됩니다. 그러나 두 가지 사실이 남아 있습니다. 1) 방출 속도의 불연속성은 영상의 말더듬 효과로 이어질 수 있습니다. 경제와 네트워크 보안 모두 나쁘고, 2) 51% 공격에도 불구하고 값싼 하드웨어를 수집하는 사람이 수행하는 작업은 여전히 1-CPU-1에서 발생할 수 있습니다.-세계에 투표하세요, 더 힘들어야 할 것 같습니다. 아마도 이에 대한 안전 장치는 모든 부정직한 행위자가 이 방법을 시도할 것이라는 것입니다. 동시에 우리는 Bitcoin의 이전 보안 개념인 "우리는 부정직한 행위를 요구하지 않습니다"로 돌아갑니다. 네트워크의 51% 이상을 통제하는 세력입니다." 저자는 여기서 비트코인의 한 가지 문제점은 코인 방출의 불연속성이라고 주장하고 있습니다. 속도로 인해 네트워크 참여가 갑자기 감소하여 네트워크 보안이 저하될 수 있습니다. 따라서, 연속적이고 미분 가능하며 원활한 코인 방출 속도가 바람직합니다. 저자가 틀린 것은 아닙니다. 네트워크 참여가 갑자기 감소하면 그러한 문제를 야기할 수 있으며, 그 원인 중 하나를 제거할 수 있다면 제거해야 합니다. 그러고보니 그렇군요 갑작스러운 변화로 인해 장기간 "상대적으로 일정한" 코인 방출이 중단될 가능성이 있습니다. 경제적 관점에서 볼 때 이상적인 방법입니다. 나는 경제학자가 아니다. 그렇다면 아마도 우리는 경제적인 것을 위해 네트워크 보안을 교환할지 결정해야 합니다. 여기서는 무엇입니까? http://arxiv.org/abs/1402.2009필요한 경우 주요 단점이 발생합니다. 아쉽게도 언제 출시될지 예측하기 어렵습니다. 상수를 변경해야 할 수도 있고 이를 교체하면 끔찍한 결과를 초래할 수도 있습니다. 비참한 결과를 초래하는 하드코딩된 제한 변경의 좋은 예는 블록입니다. 크기 제한이 250kb1로 설정되었습니다. 이 한도는 약 10000개의 표준 트랜잭션을 보유하는 데 충분했습니다. 에서 2013년 초, 이 한도에 거의 도달했고, 이를 늘리기로 합의했습니다. 한계. 변경 사항은 지갑 버전 0.8에서 구현되었으며 24블록 체인 분할로 끝났습니다. 성공적인 이중 지출 공격 [9]. 버그는 Bitcoin 프로토콜에는 없었지만 오히려 데이터베이스 엔진에서는 간단한 스트레스 테스트를 통해 쉽게 발견할 수 있었습니다. 인위적으로 도입된 블록 크기 제한이 없습니다. 상수는 중앙집중화 지점의 역할도 합니다. P2P 성격에도 불구하고 Bitcoin, 압도적 다수의 노드가 개발한 공식 참조 클라이언트 [10]을 사용합니다. 소수의 사람들. 이 그룹은 프로토콜 변경을 구현하기로 결정합니다. 그리고 대부분의 사람들은 "정확성"에 관계없이 이러한 변경 사항을 받아들입니다. 일부 결정으로 인해 발생 열띤 토론을 벌이고 보이콧을 요구하기까지 합니다 [11]. 이는 커뮤니티와 개발자는 몇 가지 중요한 사항에 동의하지 않을 수 있습니다. 따라서 프로토콜을 갖는 것이 논리적인 것 같습니다. 이러한 문제를 방지하기 위한 가능한 방법으로 사용자가 구성할 수 있고 자체 조정 가능한 변수를 사용합니다. 2.5 부피가 큰 스크립트 Bitcoin의 스크립팅 시스템은 무겁고 복잡한 기능입니다. 잠재적으로 다음을 만들 수 있습니다. 정교한 거래 [12]이지만 보안 문제로 인해 일부 기능이 비활성화되어 있으며 일부는 한 번도 사용된 적이 없습니다([13]). 스크립트(발신자 및 수신자 부분 모두 포함) Bitcoin에서 가장 인기 있는 거래는 다음과 같습니다. OP DUP OP HASH160 OP EQUALVERIFY OP CHECKSIG. 스크립트의 길이는 164바이트이지만 유일한 목적은 수신자가 해당 스크립트를 소유하고 있는지 확인하는 것입니다. 서명을 확인하려면 비밀 키가 필요합니다.

分析

Bitcoin network total computation speed chart showing hashrate and difficulty from 2012 to 2013

5 世界中の10億人が1ドル未満で暮らしているとしても、それはそれほど重要ではない一日中、どんな種類のマイニングネットワークにも参加する希望はありません...しかし経済的 1 CPU 1 票の P2P 通貨システムによって駆動される世界は、おそらく、さらに大きくなるでしょう。部分準備銀行業務によって推進されるシステムよりも公平です。しかし、Cryptonote のプロトコルでは依然として 51% の正直なユーザーが必要です...たとえば、Cryptonote を参照してください。フォーラムでは、開発者の 1 人である Pliskov が、従来のblockchain 51% のデータを置き換える攻撃はまだ機能する可能性があると述べています。 https://forum.cryptonote.org/viewtopic.php?f=2&t=198 51% の正直なユーザーは実際には必要ないことに注意してください。本当に必要なのは「不正は一切ない」ネットワークのhash力の51%以上を握る派閥です。」このいわゆるビットコインの問題を「適応的硬直性」と呼びましょう。 Cryptonote の適応型ソリューション剛性とは、プロトコルパラメーター値の適応的な柔軟性です。より大きなブロックサイズが必要な場合は、問題ありません。ネットワークは常に緩やかに調整されています。つまり、 Bitcoin が時間の経過とともに難易度を調整する方法は、すべてのプロトコルで再現できます。パラメータを変更することで、プロトコルを更新するためにネットワークの合意を得る必要がなくなります。表面的には、これは良いアイデアのように見えますが、注意深く事前に検討しないと、自動的に調整されてしまいます。システムは非常に予測不能で混沌としたものになる可能性があります。これについては後ほどさらに詳しく見ていきますので、チャンスが生まれます。「優れた」システムは、適応的に剛性が高いシステムと適応的に剛性が高いシステムの間のどこかにあります。柔軟性があり、おそらく剛性自体も適応可能です。本当に「1 CPU 1 票」であれば、共同でプールを開発して 51% を達成することになります。もっと難しいでしょう。私たちは、世界中のすべての CPU が携帯電話からマイニングされることを期待しています。充電中に Tesla のオンボード CPU に接続します。 http://en.wikipedia.org/wiki/Pareto_principle 私は、パレート均衡はある程度避けられないと主張します。システムの 20% が CPU の 80% を所有するか、システムの 20% が ASIC の 80% を所有します。私がこのような仮説を立てるのは、社会における富の根本的な分布がすでにパレート分布を示しているからです。そして、新しいマイナーが参加すると、その基礎となるディストリビューションから抽出されます。ただし、1 CPU 1 票のプロトコルではハードウェアの ROI が見られると私は主張します。ブロックノードあたりの報酬は、ネットワーク内のノード数により密接に比例します。ノード間のパフォーマンスの分散はより厳密になります。一方、Bitcoin 一方、ブロック報酬 (ノードごと) はその計算能力に比例すると考えられます。ノード。つまり、まだ「大手」だけがマイニングゲームに参加しているのです。一方、たとえパレートの法則がまだ機能しているとしても、1 CPU 1 票の世界では、全員ネットワークセキュリティに参加し、少しのマイニング収入を獲得します。 ASIC の世界では、すべての XBox や携帯電話をマイニング用に装備するのは賢明ではありません。 onecpu-one-vote の世界では、マイニング報酬の観点からは非常に賢明です。嬉しい結果として、投票数が増えると、投票の 51% を獲得するのが難しくなり、素晴らしい結果が得られます。ネットワークセキュリティにメリットがあります。前述したハードウェア。世界全体のhash率が、たとえ一瞬にして、彼は自分のマイニングパワーを利用してチェーンをフォークし、二重に使うことができるようになります。これから見るようにこの記事の後半で説明しますが、前述のイベントが発生する可能性は低くありません。 2.3 不規則発光 Bitcoin には所定の排出率があり、解決された各ブロックは固定量のコインを生成します。この報酬は約 4 年ごとに半分になります。当初の目的は、指数関数的な減衰を伴う限られた滑らかな放射ですが、実際には区分的に線形な放射があります。ブレークポイントが Bitcoin インフラストラクチャに問題を引き起こす可能性のある関数。ブレークポイントが発生すると、マイナーは以前の値の半分だけを受け取り始めます。報酬。 12.5 BTC と 6.25 BTC (2020 年の予測) の絶対差は、耐えられるようです。しかし、11月に起こった50から25BTCの下落を調べると、 2012 年 2 月 28 日、鉱山コミュニティの相当数のメンバーにとって不適切であると感じました。図 1 は、11 月末にネットワークの hash レートが劇的に減少したことを示しています。半減が起こった。この出来事は悪意のある人物にとって完璧な瞬間だったかもしれない proof-of-work 機能セクションで説明されているように、二重支出攻撃 [36] を実行します。図 1. Bitcoin hash レートチャート (出典: http://bitcoin.sipa.be) 2.4 ハードコードされた定数 Bitcoin には多くのハードコーディングされた制限があり、その一部は元の設計の自然な要素です (例: ブロック頻度、通貨供給量の最大値、確認の数）、その他人為的な制約のようです。それは限界というよりも、すぐに変化することができないことです。 3 前述したハードウェア。グローバルなhashレートが、たとえ一瞬にして、彼は自分のマイニングパワーを利用してチェーンをフォークし、二重に使うことができるようになります。これから見るようにこの記事の後半で説明しますが、前述のイベントが発生する可能性は低くありません。 2.3 不規則発光 Bitcoin には所定の排出率があり、解決された各ブロックは固定量のコインを生成します。この報酬は約 4 年ごとに半分になります。当初の目的は、指数関数的な減衰を伴う限られた滑らかな放射ですが、実際には区分的に線形な放射があります。ブレークポイントが Bitcoin インフラストラクチャに問題を引き起こす可能性のある関数。ブレークポイントが発生すると、マイナーは以前の値の半分だけを受け取り始めます。報酬。 12.5 BTC と 6.25 BTC (2020 年の予測) の絶対差は、耐えられるようです。しかし、11月に起こった50から25BTCの下落を調べると、 2012 年 2 月 28 日、鉱山コミュニティの相当数のメンバーにとって不適切であると感じました。図 1 は、11 月末にネットワークの hash レートが劇的に減少したことを示しています。半減が起こった。この出来事は悪意のある人物にとって完璧な瞬間だったかもしれない proof-of-work 関数セクションで説明されているように、二重支出攻撃 [36] を実行します。図 1. Bitcoin hash レートチャート (出典: http://bitcoin.sipa.be) 2.4 ハードコードされた定数 Bitcoin には多くのハードコーディングされた制限があり、その一部は元の設計の自然な要素です (例: ブロック頻度、通貨供給量の最大値、確認の数）、その他人為的な制約のようです。それは限界というよりも、すぐに変化することができないことです。 3 6 これを何というか、ゾンビ攻撃と呼びましょう。継続的な放出がどのように行われるかを議論しましょうゾンビ攻撃シナリオにおける 1 CPU 1 票に関連します。 1 CPU 1 票の世界では、すべての携帯電話と自動車は、アイドル状態のときは常にマイニングを行っていることになります。大量の安価なハードウェアを集めてマイニングファームを作成するのは非常に簡単です。ほぼすべてのものにCPUが搭載されています。一方、その時点でのCPUの数は、 51% 攻撃を開始するのに必要なコストは非常に驚くべきものであると私は思います。さらに、まさに「安価なハードウェアを集めるのが簡単だから」、多くの人が CPU を使って何でもため込み始めます。 1 CPU 1 票の世界における軍備競争 ASIC の世界よりも必然的に平等主義的です。したがって、ネットワークの不連続性が発生します 1 CPU 1 票の世界では、排出率によるセキュリティはそれほど問題ではないはずです。ただし、次の 2 つの事実が残ります: 1) 放出速度の不連続性は、音の途切れ効果を引き起こす可能性があります。経済とネットワークセキュリティの両方に悪影響を及ぼします。2) たとえ 51% の攻撃があったとしても安価なハードウェアを収集する誰かによって実行される場合でも、1 CPU 1 で発生する可能性があります。-投票の世界、もっと難しいはずのようです。おそらく、これに対する安全策は、「すべての」不正行為者がこれを試みることです。同時に、Bitcoin の以前のセキュリティ概念に戻ります。「不正行為は要求しません」ネットワークの51%以上を支配する派閥。」著者はここで、ビットコインの問題の一つはコイン発行の不連続性であると主張している。速度が低下すると、ネットワークへの参加が突然低下し、ネットワークのセキュリティが低下する可能性があります。したがって、継続的で微分可能でスムーズなコイン排出率が望ましいです。著者は必ずしも間違っていません。ネットワークへの参加が突然減少すると、このような問題が発生する可能性があり、その原因を 1 つ取り除くことができるのであれば、そうすべきです。そうは言っても、それは長期にわたって「比較的一定した」コイン発行が突然の変化によって中断される可能性経済学の観点からは理想的な方法です。私は経済学者ではありません。それで、おそらく私たちは、ネットワークセキュリティを経済的なものと引き換えにするかどうかを決定する必要があります。ここには何があるでしょうか? http://arxiv.org/abs/1402.2009必要に応じてそれらを使用すると、主な欠点が生じます。残念ながら、いつ起こるかを予測するのは困難です。定数の変更が必要になる場合があり、定数を置き換えるとひどい結果につながる可能性があります。悲惨な結果をもたらすハードコードされた制限変更の好例は、次のブロックです。サイズ制限は 250kb1 に設定されています。この制限は、約 10000 件の標準トランザクションを保持するには十分です。で 2013 年の初めには、この制限にほぼ達していたので、上限を増やすことで合意に達しました。限界。この変更はウォレットバージョン0.8で実装され、24ブロックのチェーン分割で終了しました。そして二重支出攻撃[9]が成功しました。このバグは Bitcoin プロトコルにはありませんでしたが、むしろデータベースエンジンに問題があった場合、単純なストレステストで簡単に検出できたはずです。人為的に導入されたブロックサイズ制限はありません。定数は、一元化ポイントの形式としても機能します。ピアツーピアの性質にもかかわらず、 Bitcoin、圧倒的多数のノードは、によって開発された公式リファレンスクライアント [10] を使用しています。少人数のグループ。このグループは、プロトコルへの変更を実装する決定を下します。そしてほとんどの人は、その「正しさ」に関係なく、こうした変化を受け入れます。いくつかの決定が引き起こした白熱した議論が行われ、ボイコット [11] さえ呼び掛けられています。これは、コミュニティと開発者はいくつかの重要な点で意見が異なる場合があります。したがって、プロトコルを持つことは論理的であると思われますこれらの問題を回避する可能な方法として、ユーザーが構成可能で自己調整可能な変数を使用します。 2.5 かさばるスクリプト Bitcoin のスクリプトシステムは、重くて複雑な機能です。それは潜在的に人が作成することを可能にします洗練されたトランザクション [12] ですが、セキュリティ上の懸念から一部の機能が無効になっています。 [13] は一度も使用されていないものもあります。スクリプト (送信側と受信側の両方の部分を含む) Bitcoin で最も人気のあるトランザクションは次のようになります。 OP DUP OP HASH160 OP EQUALVERIFY OP CHECKSIG。スクリプトの長さは 164 バイトですが、その唯一の目的は、受信者が彼の署名を検証するために必要な秘密鍵。