Schnorr imzası

ECDSA imzaları 71 veya 72 bayt tutar ve birleştirilemez; Schnorr imzaları ise her zaman 64 bayttır ve birleştirilebilir. Bu fark, iki imzalayıcının, hatta on beşinin, tek bir genel anahtarla doğrulanan tek bir imza üretebilmesinin ve zincir üstünde kaç kişi olduğuna dair hiçbir iz kalmamasının nedenidir. Bitcoin bu şemayı Ocak 2020'de oluşturulan ve 709.632 numaralı bloktan itibaren uygulanabilen BIP-340 ile aldı.

Nasıl çalışır

Şema, Bitcoin'in her zaman kullandığı aynı eliptik eğriyi, secp256k1, ve aynı özel anahtarları kullanır. Değişen, bunların etrafındaki cebirdir.

İmzalamak için gizli bir nonce seçersiniz, bunun ürettiği noktayı R olarak yayımlarsınız ve nonce'tan, R ile genel anahtarın ve mesajın bir hash'inden ve özel anahtarınızdan tek bir s sayısı hesaplarsınız. İmza, her biri 32 bayt olarak yazılan R ve s'den oluşur; sabit 64 baytlık uzunluk buradan gelir. Doğrulama aynı denklemi yeniden düzenler ve iki noktanın eşleştiğini kontrol eder. ECDSA bu hesabın ortasında modüler bir ters çevirme işlemine ihtiyaç duyar; Schnorr buna ihtiyaç duymaz ve eksik olan bu ters çevirme, her şeyin doğrusal kalmasının nedenidir.

Doğrusallık pratikteki getirisidir. İki özel anahtarı toplayın, toplam, iki genel anahtarın toplamı için imza üretir; böylece bir grup aralarında tek bir görünür anahtar tutabilir. Ayrıca toplu doğrulamaya da imkan verir: bir bloğu doğrulayan düğüm, yüzlerce imzayı tek tek değil tek bir birleştirilmiş işlemde kontrol edebilir; bu en çok ilk blok indirmesi sırasında önemlidir.

BIP-340 içinde iki ayrıntı, kolayca düşülebilecek tuzakları önlemek için vardır. Genel anahtarlar x-only'dir, yani 32 bayttır ve y koordinatı örtüktür; bu, aynı anahtarın iki kodlamasının eskiden yarattığı belirsizliği ortadan kaldırır. Ve her hash etiketli bir hash'tir, başına bir alan dizesi eklenir; böylece bir amaç için yapılan bir imza, benzer baytların hash'ini tesadüfen hesaplayan başka bir protokolde geçerli olarak asla tekrar oynatılamaz.

Nonce keskin kenar olmaya devam eder. Bir nonce'u iki farklı mesajda yeniden kullanmak, özel anahtarı basit aritmetikle açığa çıkarır; tıpkı ECDSA'da olduğu gibi. Bu nedenle BIP-340, seçimi uygulayıcılara bırakmak yerine isteğe bağlı yardımcı rastgelelikle karıştırılmış deterministik bir türetme belirtir.

Bunların hiçbirinin 2009 yılında gelmemesinin bir nedeni var. Claus Schnorr, şema üzerinde 4.995.082 sayılı ABD patentine sahipti ve bu patent, Bitcoin whitepaper'ı ortaya çıkmadan birkaç ay önce, Şubat 2008'e kadar sona ermedi. O zamanlar ECDSA patent yükü olmayan standarttı, bu yüzden Bitcoin ikinci en iyi seçenekle yola çıktı ve bunu düzeltmek için on iki yıl bekledi.

Bitcoin satın alırken bu neden önemli

Tek anahtarlı bir cüzdanda etkisi yuvarlama hatası kadardır; ciddi bir tutarı koruyan biri için ise Bitcoin'in eklediği en faydalı kriptografidir.

Önce bitcoinlerinizi birkaç cihazda tutmanın maliyetiyle başlayın. 2/3'lük bir düzen eski yöntemle harcandığında her işlemde iki imza ve üç genel anahtar yayımlar, yani fonları her taşıdığınızda tüm politikanın bedelini ödersiniz. Taproot üzerinden işbirliğiyle harcandığında tek bir imza yayımlar ve diğer anahtarlar hiç görünmez. Küçük tutarları birleştirirseniz tasarruf birikir; uzun vadeli sahiplerin sonunda yaptığı tam olarak budur.

Sonra gizlilik sonucu gelir, ki bu daha büyüktür. Zincir analizi firmaları adresleri şekillerine göre sınıflandırır ve multisig her zaman gürültülü bir şekil olmuştur. İncelememizdeki donanım cüzdanları bu tür düzenlerde ortak imzalayıcı olarak görev yapabilir ve Taproot'tan önce kendinizi doğru şekilde korumanız, gözlemcilere korumaya değer bir şeyiniz olduğunu söylüyordu. İşbirliğine dayalı bir Schnorr harcaması, hiçbir şeyi zayıflatmadan bu ipucunu ortadan kaldırır.

Bir miras planı için de hesap değişir. Bir Taproot ağacının kullanılmayan dalları bedava olduğundan, bir aile üyesi için zamana bağlı bir kurtarma yolu ekleyebilirsiniz ve bunun bedelini her olağan harcamada ödemezsiniz. Bu gerçekten yeni bir seçenektir ve böyle bir plan tasarlamadan önce güvenlik rehberimizi okumanızda fayda var; çünkü akıllıca bir saklama düzeninin başarısızlık biçimi soyulmak değil, erişimi kaybetmektir.

MuSig2: iki imzalayıcı, tek imza

BIP-327 olarak standartlaştırılan MuSig2, doğrusallığı cüzdanların gerçekten kullanabileceği bir şeye dönüştüren protokoldür.

Genel anahtarları saf biçimde toplamak güvenli değildir. Bir katılımcı, kendi anahtarını duyurmadan önce diğer herkesin anahtarını öğrenirse, diğerlerini sıfırlayan bir anahtar üretebilir ve tek başına imza atabilir hale gelir. Bu, kötü niyetli anahtar saldırısıdır ve MuSig2 bunu, her anahtarı tüm kümeden türetilen bir katsayıyla ağırlıklandırarak boşa çıkarır; böylece hiçbir katılımcı kendi anahtarını serbestçe seçemez.

İmzalama akışı iki turdur. Her taraf önce nonce taahhütleri gönderir, sonra her taraf kısmi bir imza gönderir ve kısmi imzalar birleşerek birleştirilmiş anahtar altında tek bir geçerli Schnorr imzası oluşturur. İki tur önemlidir çünkü ilki önceden yapılabilir; şemanın imzaların sürekli değiş tokuş edildiği Lightning kanallarında kullanılabilir olmasını sağlayan budur.

Zincir üstüne ulaşan şey, tek bir anahtar yolu çıktısını harcayan tek bir 64 baytlık imzadır. İki tarafın işbirliğine dayalı harcaması yaklaşık 57,5 vbyte tutar; bu, diğer herhangi bir giriş türünden düşüktür ve gözlemci bunu bir kişinin mi yoksa bir komitenin mi yetkilendirdiğini anlayamaz.

Schnorr imzası vs imza

Bitcoin'de yalın "imza" sözcüğü hâlâ genellikle ECDSA anlamına gelir ve iki şema da günlük kullanımdadır. 1, 3 veya bc1q ile başlayan bir adreste duran bitcoinler, tıpkı 2010 yılında olduğu gibi ECDSA ile harcanır. bc1p adresindeki bitcoinler Schnorr ile harcanır. Her ikisini de tutan bir cüzdan, ki geçmişi olan cüzdanların çoğu böyledir, bunu belirtmeden aynı oturumda iki tür imzayı da üretir. Size Bitcoin'in ECDSA kullandığını söyleyip noktayı koyan biri, protokolü Kasım 2021 öncesindeki haliyle anlatıyordur.

Schnorr imzası vs MuSig2

Schnorr imza şemasıdır; MuSig2 ise onun üzerine kurulu bir protokoldür. Schnorr'u sonsuza kadar tek bir anahtarla kullanabilir ve MuSig2'ye hiç dokunmayabilirsiniz; bugün her sıradan Taproot cüzdanının yaptığı budur. MuSig2 yalnızca birkaç taraf tek bir taraf gibi görünmek istediğinde devreye girer ve aynı özellik üzerine kurulu tek seçenek de değildir: eksik bir imzalayıcıyı tolere eden eşik şemaları ve atomik takaslarda ve Lightning'de kullanılan adaptör imzaları, aynı doğrusallıktan yararlanan ayrı yapılardır.