RES:關于Sinsemilla哈希函數在OlaVM中的應用-ODAILY

很高興，我們在2022年7月25日發布了OlaVM，一個EVM兼容的ZKVM方案。由于ZKEVM本身一直是個熱門的賽道，所以OlaVM一經發布，就很榮幸的受到了行業內大佬們的一些關注。

在這里，我們首先非常感謝DairaHopwood大佬(也是Zcash協議的主要作者)針對OlaVM的設計提出的一些問題。其中，比較核心的一點是ECDSA和Schnorr簽名算法里Hash的選擇問題，具體的表述如下圖所示：

DairaHopwood的意思可以簡單理解為:SinsemillaHash的安全級別只有collision-resistant,因此不能當做一個randomoracle(RO)；而在ECDSA和Schnorr簽名算法中，為了足夠的安全，需要要求這個Hash可以當做randomoracle(RO)。為了能更好的理解，我們需要先了解一些概念。

Yuga與Zak合作出版第一本關于加密朋克的書:金色財經報道，Yuga Labs今天宣布與Virgil Abloh的ICONS背后的知名設計事務所Zak Group合作，在一個定義目錄中創建CryptoPunks的官方文獻。

該項目將逐像素詳細介紹每個朋克，以及web3、數字藝術、設計和技術領域的標志性文化人物的貢獻，如SnowFro、Beeple、6529、Deafbeef、Larva Labs創始人自己等等。[2023/6/24 21:56:38]

1.cryptographichashfunction(CHF)的安全屬性有哪些?

根據論文CryptographicHash-FunctionBasics里的定義可知，CHF對應的安全屬性有以下3類：

?preimage-resistance—基本上對于所有預先指定輸出，要找到任何散列到該輸出的輸入，在計算上是不可行的，例如，當給定任意未知輸入的y時，要找到使h(x')=y的所有原像(preimage)x'。

美官員：拜登沒有向普京做出過關于烏克蘭能否加入北約的保證或承諾:當地時間2月21日，美國政府高級官員稱，美國總統拜登沒有私下向俄羅斯總統普京做出過關于烏克蘭能否加入北約的保證或承諾。美國有線電視新聞網（CNN）報道稱，美國對北約成員資格的看法沒有任何變化，即仍然致力于為防務聯盟采取門戶開放政策。 （金十）[2022/2/22 10:06:51]

?2nd-preimageresistance—要找到與任何指定輸入具有相同輸出的任何第二輸入，在計算上是不可行的，例如，給定x，要找到一個第二原像x'=x，使h(x')=h(x)。

?collisionresistance—要找到任意兩個散列到相同輸出的不同輸入，在計算上是不可行的，例如，使h(x')=h(x)。

需要注意的是：

a.2nd-preimageresistance可以歸約為collisionresistance，即collisionresistance滿足，則2nd-preimageresistance必定滿足。

MakerDAO發起關于添加NS-DROP為抵押品類型的治理投票:據官方博客消息，1月25日，MakerDAO發起關于添加NS-DROP作為Maker協議中的抵押品類型的治理投票，該投票從北京時間1月26日12:00開始，將持續三天。[2021/1/26 13:30:02]

b.preimage-resistance不可以歸約為collisionresistance，即collisionresistance滿足，則preimageresistance未必滿足。

2.什么是randomoracle(RO)？

randomoracle(RO)用以下模型來描述：

?有一個黑盒子。盒子里住著一個侏儒，還有一本大書和一些骰子。

?我們可以向盒子里輸入一些數據。

?給定侏儒一些事先沒有看到的輸入，他用骰子在一些常規空間中均勻且隨機地生成一個新的輸出。侏儒還會在書中寫下輸入和新生成的輸出。

中國通信標準化協會理事長奚國華：關于區塊鏈有四件事需要澄清:12月22日，在“2020可信區塊鏈峰會”上，中國通信標準化協會理事長奚國華發表致辭，并表示關于區塊鏈有四個方面需要澄清：一、區塊鏈不等于比特幣，雖然區塊鏈的基本思想誕生于比特幣，但比特幣只是區塊鏈的金融應用之一；二、區塊鏈不等于數據庫，其解決的核心問題是多方互信；三、去理想化，作為融合新興技術，區塊鏈與現有技術一脈相承，并非是萬能的；四、去污名化，區塊鏈在不引入第三方中介機構的情況下，降本增效。[2020/12/22 16:03:41]

?如果給定侏儒一個已經看到的輸入，他就用書來恢復他上次返回的輸出，并再次返回。

簡單來概括下RO的行為，假設輸入為x：

?如果x之前輸入過，則直接返回對應的H.

?如果x未曾輸入過，則RO會在完全隨機的在值域里生成一個由0,1組成的字符串。

美國財政部金融穩定監督委員會發布關于金融市場和國家經濟狀況的年度報告: 美國財政部金融穩定監督委員會（FSOC）于12月13日發布了關于金融市場和國家經濟狀況的年度報告。該報告詳細說明了加密貨幣“代表了一種不同與往常的支付方式”，并指出目前只有少部分人正在使用它們，一些銀行和其他金融服務提供商也已經進入市場。與美國其他一些監管機構一樣，FSOC在報告中指出，技術的使用可能會給監管機構帶來問題，尤其是在分布式網絡而不是一個集中的地方存儲信息。作者還寫道到，與任何新的發展一樣，虛擬貨幣和分布式賬本技術可能帶來風險和脆弱性，需要持續的監管和協調。特別是分布式分類賬數據存儲的分散可能會給監管和監管帶來挑戰，因為目前的監管做法是為更集中的系統而設計的。除了這些潛在的問題外，FSOC報告認為，目前加密貨幣和區塊鏈的使用普遍“小而不斷增長”。雖然這些技術對更廣泛的金融體系的影響目前可能是優有限的，但它對支付和金融基礎設施的適用性值得進一步審查。然而，鑒于市場參與者和金融機構越來越多地投資于這些領域，金融監管機構應該監督和分析其對金融穩定的影響。[2017/12/16]

需要注意的是：

?這里的完全隨機意味著，連RO自己都不知道最終會是一個什么值，它是沒有規則可循的，這是和Hash的主要區別，任何Hash都是有自己的計算規則的。

但是在現實的世界中，實現一個真正的RO是很困難的；因此，我們需要為RO尋找一個潛在候選者，需要盡可能的使得輸出看起來是隨機的。Hash函數是一個不錯的選擇，一個安全的Hash函數需要滿足preimage-resistance、2nd-preimageresistance、collisionresistance。一個可以當做RO的Hash是肯定要滿足這三個屬性的，但是滿足這三個屬性的Hash不一定就可以當做RO；它們之間是一種必要不充分關系。更多的細節可以參考Whatisthe"RandomOracleModel"andwhyisitcontroversial?

3.Hash在ECDSA和Schnorr簽名算中的要求?

在論文OnthesecurityofECDSAwithadditivekeyderivationandpresignatures和OntheExactSecurityofSchnorr-TypeSignaturesintheRandomOracleModel中提到，ECDSA和Schnorr簽名算法里的Hash函數都需要可以被認為是RO，才是安全的。根據前面的描述，則這個Hash需要滿足CHF的所有安全屬性preimage-resistance、2nd-preimageresistance、collisionresistance。

4.關于Sinsemilla哈希函數?

Sinsemilla哈希函數是由DairaHopwood和SeanBowe一起設計，底層依賴ECDLP(EllipticCurveDiscreteLogarithmProblem)。在固定長度的輸入下，Sinsemilla哈希函數滿足collisionresistance，不滿足preimageresistant屬性，原因可以參考DairaHopwood的回答。

根據Zcash協議說明書，設計Sinsemilla哈希函數的初衷是為了在零知識證明算法Halo2的執行過程中，充分利用Lookup-friendly的優勢，來提高Halo2的執行效率；因此，Sinsemilla哈希函數是一個Lookup-friendly的哈希函數，它更適合用于承諾的計算和Merkletreeroot的計算。

5.總結

再次感謝DairaHopwood的指導，讓我們對cryptographichashfunction(CHF)的使用有了更深的認知。我們將繼續廣泛聽取意見，在高效性和安全性方面對設計方案進行持續優化。

Sinsemilla哈希函數會仍然用于Olavm設計中的其他合適模塊；簽名部分的Hash函數，我們將會在安全的哈希函數中，擇優選擇，比如Poseidon哈希函數、ReinforcedConcrete哈希函數等。

關于我們

Sin7y成立于2021年，由頂尖的區塊鏈開發者組成。我們既是項目孵化器也是區塊鏈技術研究團隊，探索EVM、Layer2、跨鏈、隱私計算、自主支付解決方案等最重要和最前沿的技術。

微信公眾號：Sin7Y

GitHub|Twitter|Telegram|Medium|Mirror|HackMD|HackerNoon

Tags：RESESIISTSISCFRESH價格Genesis VisionTourist TokenEllipsis

XLM