整理《RING CONFIDENTIAL TRANSACTIONS》by Shen Noether- Monero Research Labs
https://ledger.pitt.edu/ojs/ledger/article/view/34

Ring CT 2016

• Introduction
• • 加密货币中的环签名
• Multilayered Linkable Spontaneous Anonymous Group signatures (MLSAG)
• • Ring coin(2015)的环签名
  • MLSAG
• Confidential Transactions
• • Greg Maxwell提出的Confidential Transactions
  • 改进
• Monero Ring CT协议的正式定义
• • Tag-Linkable Ring-CT with Multiple Inputs and Onetime Keys
  • 交易费
• range proof
• • 聚合Schnorr非链接环签名-ASNL

Introduction

加密货币中的环签名

CryptoNote：Traceable ring signature-防止双花费
Ring coin ：Linkable ring signature

优点：

• 与CoinJoin 或使用混币服务相比，环签名提供了不需要中心管理器的“自组织”（Spontaneous）混合。
• Dashcoin使用更大数量的可信混频器，但中心节点的个数仍然远小于用户数。

问题：

• 通过区块链分析具有特殊金额的交易，可以缩小范围。使用一次性密钥可以解决。但会产生大量灰尘交易，对于金额较小的交易消耗空间巨大。
• 接收方想要花费收到的硬币时可能被敌手跟踪相关的交易公钥。
• 原始CryptoNote 需要给出$(pubkeyP,amountA)$， 如果$A$比较特殊，则可能缩小实际的匿名集([AMT15].)

Monero中的Ring CT
扩展了CryptoNote协议，隐藏：金额、来源、目的地（与Zerocash的区别，Ring CT使用PoW生成硬币，而Zerocash必须有可信组生成）
多层可链接自发匿名群签名(MLSAG)：机密交易+环签名$\to$匿名+防止双花

Multilayered Linkable Spontaneous Anonymous Group signatures (MLSAG)

Ring coin(2015)的环签名

• $\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{G}\mathrm{e}\mathrm{n}:(x,P_j=xG),I=x{H}_p(P_j)$;
• $\mathrm{S}\mathrm{i}\mathrm{g}\mathrm{n}(\alpha ,s_i)$，其中$s_i$是一组随机数 ( i ≠ j , i ∈ { 1 , . . . , n } ) (i\neq j,i\in\{1,...,n\}) (i​=j,i∈{1,...,n})
  
  计算$L,R$，从$j+1\to n,1\to j-1$；$c$从$j+2\to n,1\to j$
  
  
  环的接口：
  
  输出签名：$\sigma =(I,c_1,s_1,...,s_n)$
• $\mathrm{V}\mathrm{e}\mathrm{r}\mathrm{i}\mathrm{f}\mathrm{y}$：计算所有的$L,R,c$，并检查所有的$c$, $c_{n+1}=c_1$
• $\mathrm{L}\mathrm{i}\mathrm{n}\mathrm{k}$：不出现重复的$I$.

MLSAG

key-vector:$\bar{y}=(y_1,...,y_r),\bar{x}=(x_1,...,x_r)$

设环中的n个成员每个都有m个公钥，MLSAG 环签名的目标：

• 为了证明n个签名者中的一个知道他们整个key向量的密钥
• 如果签名者在另一个MLSAG签名中使用他们的m签名密钥中的任何一个，那么这两个环被链接，第二个这样的签名(由Monero区块链排序)被丢弃。
• $\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{G}\mathrm{e}\mathrm{n}:(x,P_j=xG)$，$\pi$是签名者的秘密index；对于$j=1,...,m,I_j=x{H}_p(P_{\pi }^j)$
• $\mathrm{S}\mathrm{i}\mathrm{g}\mathrm{n}(\alpha ,s_i)$，对于$j=1,...,m,i=1,...,n(i\ne \pi )$,其中$s_i^j$是一组随机标量
  
  对于随机标量${\alpha }_j,j=1,...,m$:
  
  类似地，依次计算$\pi +2,....,\pi -1$的$L,R,c$直到$c_{\pi }$:
  
  最后计算每个$s_{\pi }^j$:
  
  输出签名：$O(m(n+1))$
  
• $\mathrm{V}\mathrm{e}\mathrm{r}\mathrm{i}\mathrm{f}\mathrm{y}$: 重构所有$L_i^j,R_i^j$，查验$c_{n+1}=c_1$.
• $\mathrm{L}\mathrm{i}\mathrm{n}\mathrm{k}$:$I_j$

Confidential Transactions

Greg Maxwell提出的Confidential Transactions

https://elementsproject.org/features/confidential-transactions/investigation
原理：使用加性同态承诺（Pedersen commitment），承诺的内容包含两部分：盲因子+明文值。通过谨慎选择盲因子，可验证交易的承诺之合为0。

问题：如果输入不在范围内（比如负数），也可能通过验证
解决：证明一个已提交的数量在范围内，但不透露它的其他信息。

• 签名+Pedersen：从一个基本的EC签名开始。如果构造一个签名，使“消息”是pubkey的hash，则签名证明签名者知道私钥，对于一个$P=xG+aH$这样的"pubkey"(x是盲因子，a是被承诺明文)
  1. 一个pedersen承诺可以被证明是一个零承诺，对承诺的hash值签名（即将承诺视为pubkey）；在签名中使用公钥是为了防止将签名设为任意值并求解承诺，用于签名的私钥只是盲因子。
  2. 举个栗子，想要证明$C$是1的承诺，但不能泄露盲因子，则计算：$C^{\prime }=C-1H$，并要求证明者提供用$C^{\prime }$作为公钥的签名。如果能够提供有效签名，则说明$C$一定是1的承诺（否则攻破ECDLP）
• 环签名+Pedersen: OR proof：$C$是0或1的承诺。
  再举个栗子，计算$C^{\prime }=C-1H$，然后提供 对 { C , C ′ } \{C,C'\} {C,C′}的环签名（签名者要知道私钥才能签名，回忆一下pedersen承诺$P=xG+aH$，签名者要知道$x+a\cdot ?$才行）
  1. 如果$C$是1的承诺，签名者不知道它的离散对数；则$C^{\prime }$等于0的承诺，签名者知道它的离散对数（即盲因子）作为私钥。
  2. 如果$C$是0的承诺，则已知它的离散对数（还是盲因子），但不知道$C^{\prime }$的离散对数。
  3. 如果是其他任何数的承诺，则没有结果会是0，签名者无法给出有效签名。
• 环签名+Pedersen：范围证明$C\in [0,32)$
  1. 签名方发送了一组承诺对应的OR proofs：
     C1 is 0 or 1 C2 is 0 or 2 C3 is 0 or 4 C4 is 0 or 8 C5 is 0 or 16.
  2. 如果正确选择了$C1,...,C5$的盲因子，则有$C1+C2+C3+C4+C5==C$，证明$C\in [0,32)$

改进

Max15的方案验证交易的原理是：

Monero中，发送方被环签名混淆到一组可能的地址$P_i,i=1,...,n$，其中只有一个是真正的交易输入，如果这个等式能被验证，则一定会知道哪个$P_i$，破坏环签名的匿名性。
解决：

1. 创建输入输出的承诺：
   
   其中$y_i$是掩码，$z>0,a=b_1+b_2$
   
   这里的$x_c$是一个特殊的私钥“amount key”，它只对发送者和发给他们的货币的人已知，并且必须与他们通常的私钥不同
2. 变成了对总和为0的承诺，私钥$z$，公钥$zG$，而不是实际和为0.
   
   除非知道$y_1,y_2$，否则$z$是不可计算的
3. 为了混淆发送方的输入，环签名包括所有的输入承诺$C_i,i=1,...,s,...,n$的，加相应的公钥$P_i,i=1,...,s,...,n$，并减去$\sum C_{out}$:
   
   如果知道其中一个私钥（$z+x^{\prime },x^{\prime }G=P_s$），就可以签名.
   （对于输出的范围证明和可链接性，参考Max15和MLSAG）

Monero Ring CT协议的正式定义

Tag-Linkable Ring-CT with Multiple Inputs and Onetime Keys

• { ( P π 1 , C π 1 ) , . . . , ( P π m , C π m ) } \{(P_\pi^1,C_\pi^1),...,(P_\pi^m,C_\pi^m)\} {(Pπ1​,Cπ1​),...,(Pπm​,Cπm​)}是对应密钥$x_j,j=1,...,m$的地址/承诺的集合
• 寻找$q+1$个集合 { ( P i 1 , C i 1 ) , . . . , ( P i m , C i m ) } , i = 1 , . . . , q + 1 \{(P_i^1,C_i^1),...,(P_i^m,C_i^m)\},i=1,...,q+1 {(Pi1​,Ci1​),...,(Pim​,Cim​)},i=1,...,q+1
• 确定一组输出地址$(Q_i,C_{i,out})$，其中${\sum }_{j=1}^m{C}_{\pi }^j-{\sum }_i{C}_{i,out}$是0的承诺
• 定义：
  
  是我们要签署的广义环，注意最后一列是上面提到的Ring-CT环
• 在R环上计算MLSAG签名。

交易费

门罗交易费必须是无掩码的即：$bH$而不是$xG+bH$,所以矿工可以用标准量$b$验证$b\cdot H=bH$

range proof

假设给定交易的输入、输出承诺：


需要证明输出的范围在$[0,2^n]$，解构二进制：

设$C_{out,i}^j$是$b_j\cdot 2^j$的承诺：

使用密钥$b_j$可计算$(C_{out,i}^j,C_{out,i}^j-2^{j}H)$（对所有的$j$）的环签名，并将$C_{out,i}^j$提供给验证方（矿工）。
为了节省空间，可以用Borromean ring signature来组合这些简单环签名，也可以定义一种聚合环签名ASNL

聚合Schnorr非链接环签名-ASNL

Sign
设$(x_i^j,P_1^j,P_2^j)$是一组keys,$j=1,...,k$，其中$x_i^j$是其中一个$P_i^j$的secret key
对每个$j$，令$i^{\prime }:=i+1mod2$，设一个随机标量${\alpha }_j$，计算：

• $L_i^j={\alpha }_{j}G$
• $c_{i^{\prime }}^j=H_s(L_i^j),L_{i^{\prime }}^j=s_{i^{\prime }}^{j}G+c_{i^{\prime }}^j{P}_{i^{\prime }}^j$（random $s_{i^{\prime }}^j$）
• $c_i=H_s(L_{i^{\prime }}^j),s_i^j={\alpha }_j-c_i^j{x}_i^{j}modl$
• return $(L_1^j,s_2^j)$ for all $j$,$s={\sum }_j{s}_1^j$

$Verify(P_1^j,P_2^j,L_1^j,s_2^j,s)$
for all $j$，计算：

• $c_2^j=H_s(L_1^j),L_2^j=s_2^j+c_2^j{P}_2^j,c_1^j=H_s(L_2^j)$
• 如果${\sum }_{j=1}^k{L}_1^j=sG+{\sum }_j(c_1^j{P}_1^j)$，验证通过。

Correctness

1. $\mathbf{i}=1,{\mathbf{i}}^{\prime }=2$

• $L_1^j={\alpha }_{j}G$
• $c_2^j=H_s(L_1^j),L_2^j=s_2^{j}G+c_2^j{P}_2^j$（random $s_2^j$）
• $c_1=H_s(L_2^j),s_1^j={\alpha }_j-c_1^j{x}_1^{j}modl$
• return $(L_1^j,s_2^j)$ for all $j$,$s={\sum }_j{s}_1^j$
  Verify:
• $c_2^j=H_s(L_1^j),L_2^j=s_2^j+c_2^j{P}_2^j,c_1^j=H_s(L_2^j)$
• $LHS={\sum }_{j=1}^k{L}_1^j=({\sum }_j{\alpha }_j)G={\sum }_j(s_1^j+c_1^j{x}_1^j)G=sG+{\sum }_j{c}_1^j{P}_1^j=RHS$

2. $\mathbf{i}=2,{\mathbf{i}}^{\prime }=1$

• $L_2^j={\alpha }_{j}G$
• $c_1^j=H_s(L_2^j),L_1^j=s_1^{j}G+c_1^j{P}_1^j$（random $s_1^j$）
• $c_2=H_s(L_1^j),s_2^j={\alpha }_j-c_2^j{x}_2^{j}modl$
• return $(L_1^j,s_2^j)$ for all $j$,$s={\sum }_j{s}_1^j$
  Verify:
• $c_2^j=H_s(L_1^j),L_2^j=s_2^j+c_2^j{P}_2^j,c_1^j=H_s(L_2^j)$
• $LHS={\sum }_{j=1}^k{L}_1^j={\sum }_j(s_1^{j}G+c_1^j{P}_1^j)=sG+{\sum }_j{c}_1^j{P}_1^j=RHS$
  ①使用的是加密hash函数
  ②可证明签名方已知的私钥是对应于（$x_i^j$）$P_1^j，P_2^j$二者之一的。用二进制把金额分成k个数，则对应k个环签名。
  ③用ASNL可将k个环签名聚合为k组$(L_1^j,s_2^j)$和一个$s$，规模（$2k+1$）