Підпис адаптера та його застосування в крос-ланцюгових атомних обмінах

З розвитком рішень для розширення масштабу Bitcoin Layer2 частота переміщення крос-ланцюгових активів між Bitcoin та його мережею Layer2 значно зросла. Ця тенденція обумовлена більшою масштабованістю, нижчими комісійними витратами та високою пропускною спроможністю, які забезпечує технологія Layer2. Ці досягнення сприяють більш ефективним та економічним транзакціям, що, в свою чергу, сприяє більш широкому впровадженню та інтеграції Bitcoin у різноманітні застосування. Отже, взаємодія між Bitcoin та мережею Layer2 стає ключовим складовим елементом криптовалютної екосистеми, стимулюючи інновації та надаючи користувачам більше різноманітних та потужних фінансових інструментів.

Біткойн та крос-ланцюгові交易 між Layer2 в основному мають три рішення: централізовані крос-ланцюгові交易, BitVM крос-ланцюговий міст та крос-ланцюговий атомарний обмін. Ці три технології відрізняються за припущеннями довіри, безпекою, зручністю, обсягом交易 тощо, що дозволяє задовольнити різні потреби застосування.

Переваги централізованої крос-ланцюгової торгівлі полягають у швидкості та відносно простому процесі угоди. Однак її безпека повністю залежить від надійності та репутації централізованих установ; якщо у централізованої установи виникнуть проблеми, кошти користувачів піддаються високому ризику. Крім того, централізована крос-ланцюгова торгівля може також призвести до витоку конфіденційності користувачів.

Технологія моста BitVM крос-ланцюгів є відносно складною, включає багатосторонній підпис і оптимістичний механізм викликів. Ця технологія в основному підходить для надвеликих транзакцій, використовується рідше.

Крос-ланцюг атомарний обмін є децентралізованою технологією, що має переваги, такі як відсутність цензури та хороша захист приватності, і широко використовується на децентралізованих біржах. Наразі крос-ланцюг атомарний обмін в основному включає два рішення: на основі хеш-часового замка (HTLC) та підписів адаптерів.

На відміну від HTLC, атомарний обмін на основі підпису адаптера має такі переваги:

1. замінив сценарії на ланцюгах, займає менше місця на ланцюгах, витрати нижчі;
2. торгівля не може бути з’єднана, забезпечуючи кращий захист конфіденційності.

Ця стаття головним чином описує підпис адаптера та його застосування в крос-ланцюговому атомному обміні, включаючи такі кілька аспектів:

1. Принципи підпису адаптера Schnorr та ECDSA
2. Реалізація крос-ланцюгового атомного обміну
3. Проблема безпеки випадкових чисел у підписах адаптерів та рішення
4. Проблеми системної та алгоритмічної гетерогенності в крос-ланцюгових сценаріях та рішення
5. Застосування підпису адаптера в неінтерактивному зберіганні цифрових активів

Підписання адаптера Шнора та атомарний обмін

Процес генерації підпису Schnorr є таким:

1. Виберіть випадкове число r, обчисліть R = r * G
2. Обчислити виклик c = H(R||P||m)
3. Обчисліть s = r + cx

Тут G - це базова точка, P - це публічний ключ, m - це повідомлення, x - це приватний ключ. Підпис - це (R, s).

Процес верифікації: перевірка sG ?= R + cP

Процес генерації підпису адаптера Schnorr виглядає так:

1. Виберіть випадкове число r, обчисліть R = r * G
2. Обчисліть виклик c = H(R + Y||P||m), де Y є точкою адаптації
3. обчисліть s' = r + cx

Попередній підпис – це (R,s'). Повний підпис – це (R,s = s' + y), де y є значенням адаптації, що задовольняє Y = y * G.

Перевірка процесу: перевірити sG ?= R + Y + cP

Процес атомного обміну:

1. Аліса генерує попередній підпис і надсилає його Бобу
2. Боб підтверджує попередній підпис, генерує свій власний попередній підпис і надсилає його Алісі.
3. Аліса перевіряє попередній підпис Боба, транслює свій повний підпис
4. Боб витягує y з повного підпису Аліси, завершуючи свій підпис і транслюючи його.

Підпис адаптера ECDSA та атомарний обмін

Процес генерації підпису ECDSA виглядає наступним чином:

1. Виберіть випадкове число k, обчисліть R = k * G, r = R_x mod n
2. Обчисліть s = k^(-1)(H(m) + rx) mod n

Де G є базовою точкою, n - порядком кривої, x - приватним ключем, m - повідомленням. Підпис є (r, s).

Процес верифікації: перевірити R'_x ?= r, де R' = s^(-1)H(m)G + s^(-1)rP

Процес генерації підпису адаптера ECDSA виглядає наступним чином:

1. Виберіть випадкове число k, обчисліть R = k * G, r = R_x mod n
2. Обчисліть s' = k^(-1)(H(m) + r(x + y)) mod n, де y є значенням адаптації

Попередній підпис – це (R,s'). Повний підпис – це (R,s = s' * (x + y) / x).

Процес верифікації: перевірка R'_x ?= r, де R' = s^(-1)H(m)G + s^(-1)r(P + Y)

Процес атомного обміну схожий на Schnorr.

Проблема випадкових чисел та рішення

Препідписані підписи адаптера Schnorr/ECDSA роблять зобов'язання до випадкового числа r. Якщо випадкове число буде розкрито або повторно використано, це призведе до витоку приватного ключа.

Рішення полягає в використанні RFC 6979, шляхом детермінованого методу для отримання випадкових чисел з приватного ключа та повідомлення:

К = SHA256(sk, мсг, counter)

Це забезпечує унікальність k для кожного повідомлення, одночасно забезпечуючи відтворюваність для однакового введення, зменшуючи ризик витоку приватного ключа, пов'язаного з генераторами випадкових чисел.

Проблеми та рішення в крос-ланцюгових сценаріях

UTXO та облікові моделі системи є різнотипними: Біткойн використовує модель UTXO, тоді як ефір використовує модель облікового запису. У моделі облікового запису неможливо попередньо підписати транзакцію на повернення. Рішення полягає в реалізації логіки атомарного обміну через смарт-контракти на стороні ефіру.

Однакові криві різні алгоритми: Якщо два ланцюги використовують однакову криву, але різні алгоритми підпису (, наприклад, один з Schnorr, а інший з ECDSA ), підпис адаптера все ще є безпечним.

Різні криві: Якщо дві ланцюги використовують різні криві, підпис адаптера буде небезпечним, оскільки порядки кривих різні, а модульні коефіцієнти різні.

Застосування зберігання цифрових активів

Підпис адаптера може бути використаний для реалізації неінтерактивного зберігання цифрових активів:

1. Аліса та Боб створюють 2-з-2 мультипідписний вихід
2. Аліса і Боб відповідно генерують попередньо підписані документи та шифрують свої адаптивні значення за допомогою публічного ключа тримача.
3. У разі виникнення суперечок, депозитарій може розшифрувати адаптоване значення та надіслати його одній стороні для підписання.

Це рішення є більш гнучким і децентралізованим порівняно з традиційним триманням.

Перевірена криптографія є ключовою технологією для реалізації цього рішення, основними з яких є Purify та Juggling. Purify реалізується на основі zkSNARK, тоді як Juggling використовує методи шардінгу та діапазонного доказу.

В цілому, підпис адаптера відкриває нові можливості для застосувань, таких як крос-ланцюг атомарних обмінів та зберігання цифрових активів, але в реальних застосуваннях все ще потрібно враховувати питання безпеки випадкових чисел, системної гетерогенності тощо. У майбутньому, з подальшим розвитком відповідних технологій, підпис адаптера має потенціал відігравати важливу роль у більшій кількості сценаріїв.