正文

比特币技术周报：状态链（statechain）、Schnorr 签名和BIP322三大更新

洒脱喜2020-04-03 05:03:54

注：原文来自Bitcoin Optech

在本周的比特币技术简报中，我们首先描述了一个旨在将statechain（状态链）部署在比特币上而无需进行共识层变更的提案，然后总结了有关有助于防止差分功耗分析（DPA）攻击的Schnorr nonce生成函数的讨论，以及关于BIP322 通用 signmessage 的拟议更新。最后，我们还会介绍一些流行比特币基础设施项目的更新内容。

(图片来自：tuchong.com)

1、在缺失Schnorr 签名或eltoo 条件下部署状态链（statechain）

状态链（ statechain ）是一种链外（offchain）系统，其允许用户（例如Alice）将花费UTXO的能力委托给另一位用户（Bob），该用户随后可以将支出权限进一步委托给第三位用户（Carol），并依此类推。这里的链外委托操作，都是在受信任第三方的合作下执行的，只有与受委托的签名者（例如以前的委托人Alice或Bob）合谋时，第三方才能窃取资金。委托签名者总是可以在不需要受信任第三方许可的情况下花费UTXO，可以说这使得状态链（statechain）相比联盟侧链更去信任化。因为任何曾是委托人的人，都可以触发链上花费，所以状态链（statechain）最初的设计，是要使用eltoo机制来确保最新的委托人（Carol）的链上支出可以优先于以前的委托人（Alice和Bob），前提是假定受信任的第三方并未与以前的委托人合谋作弊。

本周，Tom Trevethan在比特币开发者邮件列表中发表了两项关于状态链（statechain）设计的修改，而这两个修改，可以使状态链（statechain）可与当前的比特币协议一起使用，而无需等待schnorr签名和 SIGHASH_ANYPREVOUT 提议软分叉：

用类似于为duplex微支付通道提议的 递减locktime 来替换eltoo机制（这需要BIP116的 SIGHASH_NOINPUT 或bip-anyprevout 的 SIGHASH_ANYPREVOUT ）。例如，当爱丽丝（Alice）获得对状态链（statechain）UTXO的控制权时，时间锁将在30天的期限内阻止她单方面花费UTXO，当Alice将UTXO转移给Bob时，时间锁会限制其29天，这使得Bob的支出优先于Alice的支出。这种方法的缺点是，委托人可能需要等待很长时间，才能在未经可信赖第三方许可的情况下花费其资金。
使用安全多方计算技术，用单个签名替换受信任第三方和当前委托人之间的2-of-2 schnorr多重签名。这种方法的主要缺点是增加了复杂性，使得安全性审查变得更加困难。

一些开发者对该提议发表了评论并提出了替代方案。此外，还有人讨论了Trevethan先前的一项专利申请，涉及由可信第三方使用递减时间锁和多方ECDSA担保的链外支付方式。

2、缓解Schnorr 签名面临的差分功耗分析（DPA）攻击问题

Lloyd Fournier在比特币开发邮件列表上发起了一项有关Newsletter #87中描述提案的讨论，该提案使用推荐的nonce生成函数更新schnorr签名的BIP340规范（据称该函数可抵抗 差分功耗分析（DPA） ）。

据悉，所谓差分功耗分析（DPA）攻击，可监视硬件钱包在生成不同签名时使用的电量，以潜在地了解用户使用了什么私钥（或揭示有关密钥的足够信息，从而可以进行有效的暴力破解）。 Fournier质疑使用异或（xor）运算来组合私钥和随机性的实用性，而不是将私钥和随机性进行哈希处理的标准方法。

BIP340作者之一Pieter Wuille 对此回复称：

“在密钥和签名聚合中，在合作用户的私钥之间会建立数学关系，则攻击者（如果他是合作用户之一）可能能够将其私钥信息，与从其他用户的功耗分析中了解到的签名生成信息相结合，以了解其他用户的私钥。据信，与诸如xor（二进制加法）之类的相对琐碎的函数相比，在查看诸如SHA256之类相对复杂的哈希函数的功耗时，这种攻击将更容易执行。”

更多有关Schnorr 签名和差分功耗分析（DPA）攻击的信息，Wuille和其他几位比特币密码学家在这里进行了更多的讨论。