解密动态成员的许多签名如何确认共识

解密动态成员的许多签名如何确认共识。

注:本文已于2015年3月大量修改。旧版本可以在那里。

https://download.wpsoftware.net/bitcoin/dold-pos.pdf找到。

2009年，中本聪创造了比特币[Nak09]。比特币是网络货币系统，可以实现点对点的数字货币转账。为了确保所有人就代币所有权达成共识，中本聪采用了所有网络参与者可以复印验证的公共账簿。为了避免单点故障，本账采用动态会员多方签名[BCD14]代理机制证明，即每次心跳大赛时对整个账本历史实行高成本计算(但验证成本低)。

与传统的数字签名不同，DMMS没有可伪造性的概念，而是在DMMS中。每个DMMS的创建成本都很高(比特币需要高电力成本)，这种行为可以得到账本上增发的新货币作为报酬。因为这些新的代币必须得到别人的认可才有用，所以参加者会受到鼓励，共同拓展真账，而不是自己创建账本1。(译者注:这里的认可这个词的原文是recognize，也就是说，其原意可能没有那么多社会共识的暗示，其本身可能有严格的技术意义。如果没有收到块，就不会承认该块发行的货币。中所述情节，对概念设计中的量体体积进行分析

由于比特币的DMMS在计算和热学方面成本非常高，人们已经提出了其他更经济、更环保的方案。最常提出的方案是PoS(权益证明书)，是低成本的分布式共识机制。就像Andrew一样，Poelstra。[Poe14b]。2014年，PoS虽然不可行，但还是出现了各种形式的PoS。与此同时，在各种论坛上，Poelstra的论点被称为虚假假或错误们从来没有提出过说服力的反例或错误。另外，也有人提出了中肯的意见，认为Poelstra写的这篇论文很模糊。由此可见，这篇论文还有很多不足之处。Poelstra没有发现他的前作有什么不正确的地方，但他打算借此机会进一步正式阐述他的论点。

与Poelstra相比，写论文时，人们对比特币共识的科学认识取得了巨大进步。

本文旨在更新Poelstra的论文，明确比特币解决的问题，PoS背后的设计原理，以及PoS旗下的机制在比特币的信赖模型中不能产生分散共识的原因。

注1:为了确保所有参与者都能看到真正的账本，我们需要一个同步网络:所有(有效数据都可以在一定时间内到达所有参与者，而且网络跳跃时间远远超过λ。如果没有同步网络，分布式共识的难度就会大得多。(经常引用的结论之一是使用确定性算法不能实现分布式共识的[FLP85]，但是使用概率算法可以简单地避免这个问题，因此共识系统的设计难易度没有多少讨论。本文的旧版本错误地引用了这个结论，认为所有的分布式共识机制都不能在异步网络中达成共识，感谢DominicWilliams指出。中所述情节，对概念设计中的量体体积进行分析

Emsisoft为了恢复被Tycoon加密威胁软件攻击而发布的免费解密工具:网络安全公司Emsisoft于6月4日发布了免费解密工具。该工具使受害者无需支付赎金，即可恢复被Tycoon勒索软件攻击加密的文件。黑莓安全部门的研究人员首先发现了这个恐吓软件。他们们介绍，Tycoon使用Java文件格式，在部署加密文件的有效载荷之前很难发现。

黑莓研究人员指出，Tycoon勒索软件可以在Windows和Linux电脑上运行，使用的技术与要求比特币等加密货币支付的技术相同。根据最新的调查结果，Tycoon感染的主要对象是教育机构和软件公司。黑莓公司的研究人员认为，实际感染人数可能高得多。此外，他们警告说更新版本的Tycoon恐吓软件提高了攻击能力。过去，解密工具可以用来恢复多个受害者的文件，但现在不可能了。[2020/6/6]

在讨论比特币对分布式共识问题的解决方案之前，我们必须先了解这个问题的本质。分布式共识(比特币系统使用的术语)是彼此缺乏信赖的参加者之间达成的共识(全球一致的globagreement)。这些参与者是匿名的，系统建立时不一定存在。正如Poelstra在论文中说明的那样

就密码学货币而言，只要在交易时间顺序上达成分布式共识就足够了，也就是说，就首次转移特定资金的交易达成共识。这样可以确保整个网络都认可新的资金持有者。

之所以需要达成这样的共识，是为了防止重复费用问题。在所有去中心化的数字现金机制中，支付者可能会将同样的资金发送给两个不同的人，这两个交易看起来很有效。因此，收款人必须确保没有冲突或冲突，网络认可其交易为正确版本。关于交易顺序的分散共识，在发生冲突的情况下，每个人都承认最初的交易是有效的，其馀的交易是无效的。

(数字现金的其他问题，如权限和防伪，相对容易，可以通过传统密码学解决。中所述情节，对概念设计中的量体体积进行分析

重要的是，尽管分布式共识是一个难题，但普通共识更容易，经过更深入的研究，使用可靠的签名者可以提高数兆倍的效率。因此，(即使在有限条件下)引入信赖者的密码学货币，其新的信赖模型是否有助于降低达成共识的难易度。对更有效、更有信任感的共识机制感兴趣的读者可以研究。

比特币账本公开可用，比特币网络的所有参与者都可以验证账本上每笔交易的有效性。但由于账本根本属于历史记录，密码学无法辨别真假，所以一定要有人证明账本，还有人要相信这个人不会签错历史。

最早的数字货币系统由单个非匿名者签署所有交易[Cha83]。但是，这不仅可以向系统引入单点故障风险，还可以让签名者(通过权力和武力威胁签名者)审查交易，开始重复费用。我们可以采用盲签(具体参照[Cha83])防止审查制度，但不能防止单点故障和重复费用问题。许多签名可能可以解决以下两个问题，但所有签名者都很难同时受到威胁，必须得到所有参加者的信赖。非匿名性也意味着特定攻击者总能持续攻击系统。

西班牙电信集团发布了解密受VCryptor勒索软件影响的免费工具文件:金色财经报道，总部位于西班牙的电信集团Telef小nica发布了恢复被VCryptor勒索软件加密的免费工具的数据。该工具VCryptDecryptor是国际提议没有恐吓软件的一部分，是解密近134种恐吓软件的几个工具之一。该联盟由McAfee、Europol、Politie和Kaspersky组成。[2020/6/4]

比特币的解决方案是完全去除固定和可识别的签名者。比特币账本由一组被称为矿工的签名者验证，他们不向其他参加者公开自己的身份，也许可以以零成本进入或退出系统。矿工在叫挖矿的过程中签字。在采矿过程中，他们共同为连续、交易数据构成的块生作量证明[Bac02]。

本节将讲解挖矿如何运作，如何提供验证。

匿名世界的鉴别(authentication)

密码学数字签名机制的运行原理如下。签名者成为签名，与验证密钥对(s，v)，将v与名字一起发表在某个公共渠道。这个签名者可以根据给予消息，M出生成为签名，任何人都可以验证σ的有效性。也就是说，将V、M、U输入验证算法，签字有效的话，总是输。

为了安全起见，传统的数字签名必须具有防伪性。也就是说，任何计算能力有限的攻击者伪造签名的概率都很小。具体来说，伪造是指在以下游戏中获胜

签名者将验证密钥V交给攻击者。

攻击者将消息m_i发送给签名者，并收到这些消息的有效签名。攻击者可多次重复此操作。

攻击者生成了新的消息m，与以此为基础的有效签名mm

这种安全性被称为选择明确的攻击下的不可伪造性，是密码学文献中常见的标准。

在多个签名机制中，每个签名者都有验证钥匙。只有签名者(或签名钥匙)的可采信子集出生的签名才有效。在定义安全性时，上述游戏已经修改，允许攻击者要求(并获得)签名钥匙，只要攻击者获得的钥匙不能构成可采信子集。

验证算法使用验证密钥v验证签名，验证签名者的身份。因为每个人都可以制作钥匙是正确的，所以如果你想签名有价值，你必须通过公共记录将钥匙与签名者的真实身份联系起来。如果发生不诚实行为(签署无效历史)，不诚实的一方将承担责任。

这样个角度来看，身份识别不适用于签名者匿名且不固定的系统。其实，我们还不清楚身份鉴定在这样的系统中能发挥什么样的作用！如果每个人都能以匿名的方式生成签名，就无法区分诚信签名和不诚信签名、真实历史和虚假历史。那么，上述安全定义就失去了意义。因为攻击者可以自由参加签名者集，进行伪造签名2。

声音|安全人员:Ryuk恐吓软件攻击者提供的解密工具可能会丢失数据:网络安全研究者警告说，立即支付比特币获得被Ryuk恐吓软件锁定的文件，有可能丢失数据。这意味着Ryuk受害者面临困境:如果拒绝向攻击者发送比特币，他们将完全失去对数据的访问权，但如果他们支付，黑客提供的解密工具可能无效。据软件公司Emsisoft报道，攻击者需要更新自己的加密工具，最新提供的解密工具可能会破坏文件。Emsisoft提醒:我们希望尽快广泛传播这个消息，以免受影响的组织丢失数据。(TNW)[2019/12/10]

为了解决这个问题，比特币采用了另一种安全模式。在这个模型中，所有参加者都是平等的，但他们在经济激励下保持诚实。下面小编就为大家介绍一下这款安全模式。

注2：正如我们在第四部分看到的，如果是密码学货币，匿名参与者就有可能锁定保证金，通过某种机制在不需要确认任何人的身份的情况下，惩罚失信者。这其实就是权益证明。但是，密码学的货币离不开共识，如果是密码学的货币的前提，我们在这里不能使用权益证明书的话，就会陷入循环推理。我们将在下一部分解决这个问题。

为DMMS定义安全性。

关于DMMS，所有参加者都是平等的，不能让敌人拥有不完全的知识。因此，我们使用了以下三个部分来定义DMMS。这些部分与传统签名的钥匙生成算法不同

使用代价函数C追踪算法的执行，输出代价(cost)。这个函数必须是线性的。因为连续运行两个算法的成本是各自成本的总和。

随机化算法AttemptSign将消息m作为输入，输入签名。输入任何消息m，这个算法的代价应该是1。

确定性算法Verify将消息m、签名、目标代价ttt作为输入，输出0或者1。

此外，只有Verify(m、t、AttempSign(m)=1所属的Tign算法有1/T的概率，我们说这个DMMS是正确的(correct)，这个概率是AtemptSign算法保证的

换句话说，安全的DMMS指的是AttemptSign没有重复执行更好的签名算法。

我们简单论证了我们的安全定义。为了实现动态会员的聚集，我们不能使参加成本过高，也不能使现有签名者以明显的手段和经济因素排斥新的签名者。这意味着签名过程应该是可分割的，不需要也不鼓励签名者之间进行任何通信。也就是说，用两倍的时间运行签名算法，必须与同样的两个硬件并行运行签名算法的成功概率相同。在极端情况下，这意味着最好的签名算法应由单一基础步骤的重复和独立执行组成，这是由定义引导的。

动态|维基解密官方在线零售商宣布采用Dash：Today’sazette消息称，Coinbase要求关闭维基解密商店后一年，维基解密官方在线零售商宣布采用Dash。据此前的消息，维基解密创始人Jullian，Assange被英国警察逮捕，之后家、演员和模特等业界名人纷纷捐款，呼吁解放Assange。在维基解密的捐赠页面上，除了接受传统支付方式外，还包括BTC和Zcash。目前该组织的比特币钱包馀额达到8.2张BTC。[2019/4/14]

采矿机是一种DMMS。

比特币采矿采用基于哈希函数的工作量证明算法，hashcash[bac02]。这是一种使用随机数字托盘模型的DMMS托盘[BR93]。作为一种计算模式，随机函数是指该模式将哈希函数视为随机函数神托，或者真正的随机函数3，其输出纯粹随机，只能用该函数计算。

随机数字甲骨文模型的使用引起了很多争论[Gre11]，但有力的证据证明了可以保障安全性。以下是H指输入可达256位的哈希函数，被视为随机数的托托。

比特币的DMMS如下:

代价函数在执行过程中调用随机数的托托次数。

AttemptSign将消息m作为输入输出，输出了机器的数{0，1}256。

Verify，签名，输入消息m，目标t。只有H(M)|σ

翻译。

标签：

火币热门资讯