區塊鏈:物聯網中的Mimblewimble

前言：橢圓曲線加密是區塊鏈的基礎技術之一，而Mimblewimble是對它的優雅應用，它使用Pedersencommitment實現完全保密交易，并消除了對地址和私鑰的依賴。同時，它與Bulletproofs相結合，帶來了更輕量的匿名和隱私，這對于物聯網同時實現擴展性和隱私保護來說有重要的意義。本文作者Grayblock，由“藍狐筆記”社群的“鑫鑫”翻譯。

2017年和18年主要關注可擴展性的話題。各種分叉和項目都把“擴展性”作為他們專屬的口頭禪。這場辯論給我們帶來了解決方案，并向我們表明，當和未來的計劃結合在一起的時候，就可以滿足當前的需求。未來幾年的重點將是匿名性和同質性的大規模采用。

在快速發展的互聯數據世界中，隱私正成為一個非常重要的話題。事實上，我們將隱私權委托給中心化的公司，其安全性通過你的密碼強度以及攻擊者破解密碼需要付出的努力來保證。隨著我們進入互聯網的新時代，所有東西都是相互連接的，無須中介的信任和加密隱私必須成為其所依賴一切的基礎。在未來，面臨風險的不僅僅是照片和信用卡號碼，而是你與之交互的一切，以及它所收集的數據。

如果目標是在一個去中心化和無須中介信任的網絡中做到這一點，那么面臨的挑戰將是找到一系列適用性的解決方案，這些解決方案具有生態系統的多樣性并能匹配所預測的規模。了解到這一點，INT已經開始研究如何在其網絡中實施兩種不同的隱私協議，以及搞定物聯網的兩個主要需求：可擴展的隱私交易和隱私智能合約。

Mimblewimble

Mimblewimble是和橢圓曲線加密技術具有相同元素的一種全新的實現，后者是大多數加密貨幣的基礎。

2016年8月，在bitcoin-wizardsIRC頻道，一位匿名用戶發布了一個白皮書的Tor鏈接，聲稱它是“一種改進比特幣隱私的想法”。緊接著是一個區塊鏈提案，它使用的交易結構與今天看到的任何方案都完全不同，創造了迄今為止看到的橢圓曲線加密技術最優雅的用途之一。

雖然發布的白皮書足以闡述支持該理論的想法和推理，但它不包含明確的數學或者安全性分析。Blockstream的數學家兼研究總監AndrewPoelstra立即開始分析它的價值，在接下來的兩個月里，他創建了一份詳細的白皮書，概述了創建獨立區塊鏈所涉及的密碼學、基本定理和協議。

聲音 | 中物聯會長何黎明：加速物聯網區塊鏈等技術在物流領域應用:據中國新聞網今日消息，陜西物流集團重組成立，欲構建以智慧物流網絡平臺為核心，以物流與采購聯合會、物流學會和供應鏈聯盟為紐帶的大物流生態鏈。中國物流與采購聯合會會長何黎明表示，要深化物流、商流、資金流的融合發展，延伸產業鏈、打造供應鏈、提升價值鏈，把握新一輪技術革命發展的機遇，加速物聯網、云計算、大數據、人工智能、區塊鏈等現代信息技術在物流領域應用，推動物流產業數字化變革與平臺化轉型。[2019/12/18]

作為一個協議，它所要做的是完全隱藏交易中的值，并消除對地址的需求，同時解決擴展性問題。

保密交易

假設你想隱藏發送的金額。一個眾所周知而且快速的隱藏信息的好方法：哈希！哈希允許你確定性地生成一個長度恒定的隨機字符串，而不用管輸入的長度，并且不可逆轉。然后我們可以對金額進行哈希并在交易中把它發送出去。

X=SHA256(amount)

或者

4A44DC15364204A80FE80E9039455CC1608281820FE2B24F1E5233ADE6AF1DD5=SHA256(10)

但是由于哈希是確定性的，有人會把所有可能金額的哈希編成一個目錄，這樣就無法達到隱藏的目的了。所以，我們不只是對金額進行哈希，而是先用一個私有的盲因子乘以金額。如果保持盲因子私有，就無法知道哈希中的金額。

X=SHA256(blindingfactor*amount)

這被稱為承諾，你承諾一個值而不去透露它，并且在不更改承諾的結果值的情況下，它是無法更改的。

但是，節點如何使用這種承諾方式來驗證交易呢？最起碼，需要證明你滿足兩個條件：一是你有足夠的幣，二是你沒有在這個過程中造幣。大多數協議驗證這一點的方法是消耗之前的一個輸入交易，并且在該過程中創建不超過輸入總和的輸出。如果我們對這些值進行哈希，而沒有辦法驗證這種情況，那么就可以憑空造幣。

input(commit(bf,10),Alice)->output(commit(bf,9),BOB),outputchange(commit(bf,5),Alice)

聲音 | 浪潮集團董事長：區塊鏈等信息技術正推動電子商務、物聯網等數字產業蓬勃發展:11月4日消息，第三屆中國企業改革發展論壇3日在濟南舉辦。浪潮集團董事長兼CEO孫丕恕在下午的“科技創新 動能轉換 引領高質量發展”平行論壇中表示，孫丕恕在演講中指出，以新一代信息技術為引領的數字經濟，正成為促進產業升維，帶動和穩定經濟增長的重要力量。云計算、大數據、AI、移動互聯與區塊鏈等信息技術，正推動電子商務、智慧城市、物聯網等數字產業蓬勃發展。現代經濟產業的崛起與壯大的背后，是數字基礎設施等要素條件的改善與升級。孫丕恕表示，當前云計算已成為數字經濟發展的重要基礎設施，也是各類數字產業的創新平臺與服務載體，發展云計算產業將成為各地發展新經濟、新業態的“助推劑”。作為國內最早向云計算轉型的科技企業，浪潮目前已在全國建立了7大核心云數據中心以及50個地市云數據中心，構建起覆蓋全國的云計算基礎設施，并面向政府機構和企業組織，提供整體云解決方案。（新浪財經）[2019/11/4]

Or

input(4A44DC15364204A80FE80E9039455CC1608281820FE2B24F1E5233ADE6AF1DD5,Alice)->

output(19581E27DE7CED00FF1CE50B2047E7A567C76B1CBAEBABE5EF03F7C3017BB5B7,Bob)

output(EF2D127DE37B942BAAD06145E54B0C619A1F22327B2EBBCFBEC78F5564AFE39D,Alice)

如上圖所示，后面的進行哈希過的值看起來和其他內容一樣有效，卻導致Alice創造了4個幣作為交易找零。在任何交易中，輸入之和必須等于輸出之和。我們需要某種方法對這些進行哈希過的值進行數學運算，以證明：

commit(bf1,x)=commit(bf2,y1)commit(bf3,y2)

如果是有效的交易，則：

commit(bf1,x)-commit(bf2bf3,y1y2)=commit(bf1-(bf2bf3),0)

或者僅僅是剩下的盲因子的承諾。

聲音 | IOTA基金會聯合創始人：物聯網與自動化有關，而IOTA與自治有關:IOTA基金會聯合創始人Dominik Schiener最近表示，區塊鏈技術的主要問題之一是可擴展性，比特幣、以太坊和IOTA是現階段唯一的概念證明。“它是不可擴展的——我們仍處于早期探索階段，需要弄清楚哪些可行，哪些不可行。我們需要跨越這個技術鴻溝，以確保這些技術是可擴展的，并為生產做好準備。”他還表示，“物聯網就是關于自動化。IOTA更進一步——它不再是關于自動化，而是自治。我們希望使機器真正實現自主，并自行決定與誰進行交易、支付什么甚至賺錢的決策。”（AMBCrypto）[2019/10/27]

由于哈希算法的特性，這是不可能實現的。為了驗證這一點，我們必須公開所有的盲因子和金額。但是這樣做，就沒有秘密可言了。那么，我們如何才能公開一個由私有值生成的值，既不能逆向推導私有值，又仍然能驗證它滿足某些條件？聽起來有點像公鑰和私鑰加密…

我們在橢圓曲線密碼學入門中學到的是，通過使用橢圓曲線來定義我們的數字空間，可以使用曲線上的一個點G，將其乘以任意數字x，得到的是同一曲線上的另一個有效點P。這個計算是很快的，但是根據結果點和公開的生成元點G，幾乎不可能計算出使用了什么乘數。這樣我們就可以用點P作為公鑰，數字x作為私鑰。有趣的是，它們還具有可加和可溝通的奇妙特性。

如果取點P等于x?G，點Q等于y?G，它們相加的結果點W=PQ等于用數字組合xy創建的一個新點：

這個性質稱為同態，允許我們用我們不知道的數字做數學運算。

因此，如果在承諾中不使用原始的金額和盲因子，而是將它們乘以橢圓曲線上的已知生成元點，我們的承諾現在可以定義為：

這被稱為Pedersen承諾，是所有保密交易的核心。

我們把盲因子稱為r，金額稱為v，并使用同一橢圓曲線上的生成元點H和G。代入我們之前的承諾中：

使用溝通屬性：

對于一個有效交易，等價于：

(其中ri、vi是輸入值，ro、vo是輸出值，rco、vco是找零輸出值)

這個差值僅僅是對剩余的盲因子的承諾，也稱為對零承諾：

聲音 | 世界貿易組織總干事：物聯網、區塊鏈等技術改變和革新貿易方式:據經濟參考報消息，日前，商務部和世界貿易組織(WTO)在首屆中國國際進口博覽會期間發布《 2018 年世界貿易報告》，世界貿易組織總干事阿澤維多在發布會現場表示，一些基于互聯網的技術，例如物聯網、人工智能、3D打印和區塊鏈，貿易和技術在改變和革新貿易方式，而目前這種現象是史無前例的。比如區塊鏈技術可以幫助交易雙方建立起信任，而缺乏信任對于中小型企業來說是一個很大的障礙。[2018/11/6]

你會發現，在任意選擇盲因子的情況下，對零承諾將是非零的，事實上，它仍然是公鑰對應的橢圓曲線上的一個有效點。

而私鑰則是盲因子之間的差值。

所以，如果輸入之和減去輸出之和在曲線上產生了一個有效的公鑰，則表明這些值已經平衡到了零，并且沒有幣被創造出來。如果結果差值不是這種形式：

對于某個剩余盲因子，它將不是曲線上的有效公鑰，我們會知道它不是一個平衡的交易。為了證明這一點，用這個公鑰對交易進行簽名以證明交易是平衡的，并且所有的盲因子都是已知的，在這個過程中，沒有泄露交易的任何信息。

以上所有的討論都假設這些數字是正的。使用負數同樣可以創建一個有效的平衡的交易，允許用戶在每筆交易中創造新幣。這被稱為范圍證明，每筆交易必須伴隨一個零知識論證以證明私有承諾值位于預定的取值范圍內。

Mimblewimble和Monero都使用了BulletProofs，這是一種新的計算證明的方法，它將交易的大小減少了80-90%。

(當前網絡中看到的平均交易大小，假設MW的交易大小平均是2個輸入2.5個輸出)

到目前為止，所描述的協議在Mimblewimble和Monero之間或多或少是相同的。差異點是如何對交易進行簽名。

在Monero中，有兩組密鑰/地址，即支付密鑰和查看密鑰。支付密鑰用于生成簽名交易，而查看密鑰用于“接收”交易。交易是用一種被稱為環簽名的方法進行簽名的，該簽名由花費的輸出產生，證明密鑰組中的一個密鑰擁有支付密鑰。這是通過使用你的私鑰創建一個組合的Schnorr簽名，以及使用以前交易的公鑰創建的混合誘餌簽名者來完成。這些誘餌簽名者在數學上都是等效的，從而導致無法確定哪個是真正的簽名者。由于Monero使用了上面提到的Pedersen承諾，因此這些地址從不公開可見，僅用于索賠、交易簽名和產生盲因子。

愛康科技：擬與贛州經開區打造基于區塊鏈+物聯網技術的租賃平臺:愛康科技晚間公告，全資子公司能源研究院擬與贛州經開區下屬國有企業贛州投資共同投資設立贛州愛康區塊鏈新能源物聯網科技有限公司，在贛州經開區開展區塊鏈新能源物聯網租賃行業資管與交易平臺項目，利用區塊鏈技術建設新能源（光伏發電）租賃行業資管與交易公共平臺，打造基于區塊鏈+物聯網技術的租賃平臺。贛州愛康區塊鏈的注冊資本預計為5000萬元，公司擬出資4000萬元，占比80%。[2018/3/9]

另一方面，Mimblewimble不使用任何類型的地址。沒錯，沒有地址。這是協議的真正亮點。Jedusor證明了Pedersen承諾和對零承諾中的盲因子可以作為一次性公鑰/私鑰對來創建和簽名交易。

使用橢圓曲線加密的所有基于地址的協議都以基本相同的方式生成公鑰-私鑰對。通過將一個非常大的隨機數乘以橢圓曲線上的一個點，其結果是同一曲線上的另一個有效點。

這是所有地址生成的核心。看起來熟悉嗎？

回憶一下上面的承諾：

每個盲因子乘以生成元點G就是它！r?G是私鑰r的公鑰！因此，我們可以使用這些盲因子來構建簽名以證明我們擁有輸入和輸出，而不是使用地址。

這種看似微小的變化消除了地址的關聯性以及對使用scriptSig過程來檢查簽名有效性的需求，大大簡化了保密交易的結構和大小。當然，這意味著交易過程需要各方之間的交互來創建簽名。

CoinJoin

盡管所有地址和金額現在都隱藏起來了，但仍然有一些信息可以從交易中收集。在上面的交易格式中，仍然可以清楚地看到哪些輸出被消耗，交易產生了哪些輸出。這個“交易圖”可以揭示有關盲因子所有者的信息，并根據所看到的交易活動構建用戶畫像。為了進一步隱藏和壓縮信息，Mimblewimble實現了來自GregMaxwell的叫做CoinJoin的想法，它最初是為比特幣開發的。

CoinJoin是一種將多個交易的多個輸入和輸出組合在一起的無信任方法，將它們連接到一個交易中。這樣做是為了掩蓋哪個發送者支付給哪個接收者。要在比特幣中實現這一點，用戶或錢包必須進行交互以加入相同數量的交易，這樣你就無法區分兩者。如果能夠在不共享私鑰的情況下組合簽名，那么就可以為許多交易創建組合簽名，而不需要受到相同數量的約束。

(在這個CoinJoin交易中，3個地址擁有4個輸出，無法把地址和輸出關聯起來)

在Mimblewimble中，對一個或多個交易執行余額計算仍然可以得到有效的對零承諾。我們需要做的是為合并的交易創建一個組合簽名。Mimblewimble天生就能夠為這些使用Schnorr簽名構造的承諾構建組合簽名。使用“單向聚合簽名”，節點可以在創建區塊的同時將交易組合為具有聚合簽名的單個交易。使用該方法，Mimblewimble將區塊級別的所有交易連接起來，將每個區塊作為包含所有消耗的輸入和創建的輸出的一個大交易來創建。這同時模糊了交易圖，并且具有移除區塊內消耗的中間交易的能力，減小了區塊的總大小和區塊鏈的大小。

切斷

我們可以更進一步。為了驗證這個完全“連接”的區塊，節點將把所有的輸出承諾加在一起，然后減去所有的輸入承諾，并驗證結果是否是有效的對零承諾。為什么我們只連接同一個區塊內的交易呢？理論上，我們可以組合兩個區塊，刪除在這些塊中創建和使用的任何交易，結果還是一個有效的交易，它只包含未消耗的承諾，而沒有其他內容。然后我們可以一路回到創世塊，將整個區塊鏈縮減到一個未消耗承諾的狀態。這被稱為切斷。

在執行該操作時，我們不需要保留已消耗輸出的范圍證明，它們已經經過了驗證，可以丟棄。這將會導致區塊鏈增長的大幅減少，將增長從O*減少到O。

為了說明這一點的影響，讓我們設想一下，如果Mimblewimble從一開始就在比特幣網絡中實施，網絡位于576000高度，區塊鏈大約為210GB，總交易量為413675000，總未花費輸出量為55400000。在Mimblewimble中，交易輸出約為5kB，交易輸入約為32字節，交易證明約為105字節，區塊頭約為250字節，非保密交易可以忽略不計。對于完全同步所有信息的區塊鏈來說，這意味著高達驚人的5.3TB，其中“只有”279GB是UTXOs。

當我們執行“切斷”時，不希望丟失交易的所有歷史記錄，因此我們保留所有交易以及UTXO集合和所有區塊頭的證明。這將區塊鏈減小到322GB，大小減少了94%。結果基本上是一個完全一致的狀態，只有那些擁有完整歷史證明的未花費承諾，大大減少了新節點的同步時間。

如果實現了Bulletproofs，范圍證明可以從5kB減小到1kB，從而將上例中的UTXO集合從279GB縮減到57GB。

(基于上面的假設和計算)

在具有明確最終性的PoS區塊鏈中也有一個有趣的含義。一旦獲得了最終性，或者在超過它的任意區塊鏈深度上，就不再需要保留范圍證明。這些交易已經過驗證，并在其之上構建了共識狀態，它們占據區塊鏈大小的絕大部分。

在這個例子中，最終性發生在100區塊深度上，并且假設UTXO集合的10%處于準最終狀態，這將使區塊鏈大小再減少250GB，使得完全同步只需要73GB，減少了98.6%。想象一下吧。一個73GB的區塊鏈，用于10年的完全匿名比特幣交易，是當前區塊鏈大小的三分之一。

需要注意的是，切斷不會影響隱私或者安全性。每個節點可以選擇是否存儲整個鏈，而不執行任何切斷操作，唯一的成本是增加了磁盤存儲需求。切斷純粹是一種可擴展性功能，使得基于Mimblewimble的區塊鏈平均比比特幣小三倍，比Monero小十五倍。

這對物聯網來說意味著什么？

物聯網網絡中的交易需要速度、能擴展到巨大容量、適應各種用途和設備，并能夠保持敏感信息的私密性。到目前為止，物聯網網絡只專注于擴展，創建的網絡可以在不同程度的去中心化和不關注隱私的情況下進行海量交易。如果沒有隱私，這些網絡只會讓那些使用它的人成為向攻擊者提供彈藥的目標。

Mimblewimble革命性地使用橢圓曲線加密技術為我們帶來了一個隱私協議，它使用Pedersen承諾進行完全保密交易，在這個過程中，消除了我們對地址和私鑰的依賴。該交易框架與Bulletproofs相結合，帶來了輕量級的隱私和匿名性，與Monero不相上下，如果充分使用“切斷”的話，區塊鏈大小可以減小15倍。這為滿足INT網絡可擴展性要求的隱私交易提供了解決方案。

Grin和Beam這兩種不同的實時網絡中已經實現了Mimblewimble協議。兩者都是純粹的交易型網絡，專注于隱私和匿名的價值轉移。Grin采用了一種類似比特幣的方式，通過社區資助開發，無預挖或者創始人獎勵，而Beam則以創業的心態，利用風險投資資助開發，高度重視用戶體驗。

另一方面，INT正在研究在主鏈上實現該協議，所有INT資產轉移都以隱私的方式創建，或者作為可選的附加子鏈，允許用戶將他們的INT從非隱私鏈轉移到隱私鏈，反之亦然。

不足之處

協議的革新之處同時也是限制它的東西。幾乎所有協議，如比特幣、以太坊等，都使用基本的腳本語言，在實際交易數據中調用函數，告訴驗證者使用什么腳本來驗證它。

在最簡單的情況下，隨輸入提供的數據調用“scriptSig”，并提供兩部分數據，即與交易相匹配的簽名和證明你擁有對應私鑰的公鑰。輸出腳本使用提供的數據及其傳遞的邏輯，向驗證者顯示如何證明允許他們進行消費。使用提供的公鑰，驗證者計算哈希并檢查是否與輸出中的公鑰哈希相同，如果相同，就可以確保提供的簽名與輸入簽名相匹配。

該驗證協議允許一些有限的腳本能力，以便告訴驗證者如何處理所提供的數據。比特幣網絡可以通過更新功能，使其適應新的流程或數據。使用該方法，比特幣協議可以驗證多個簽名，在定義的時間跨度內鎖定交易，并執行更復雜的操作，如在帳戶中鎖定比特幣，直到采取一些外部操作。

為了實現更廣泛適用的公開智能合約，需要以非屏蔽的方式提供數據或者創建屏蔽證明來證明你滿足智能合約的條件。

在Mimblewimble中，由于使用了盲因子作為密鑰對，大大簡化了簽名驗證過程，基本協議中沒有正常的編寫腳本的機會。區塊鏈上記錄的只是：

?使用的輸入——花費了的舊承諾

?新的輸出——要發布的新承諾

?交易內核——包含多余的盲因子、交易費和鎖定高度的交易簽名

而且這些項目不能相互關聯，并且不包含任何有用數據來驅動操作。

對于這個問題，有一些創造性的解決方案建議通過執行所謂的無腳本腳本來實現。通過利用所使用的Schnorr簽名的屬性，可以實現多簽名交易和更復雜的基于條件的交易，如原子跨鏈交換，甚至可能是閃電網絡類型的狀態通道。然而，這還不足以滿足物聯網智能合約的所有需求。

基于以上的分析，實現切斷可能會刪除智能合約交易或依賴它們的交易。

因此，你可以看到，在這種設計中，我們可以成功地隱藏值和所有權，但僅限于一維數據點和數量。做任何比轉移代幣所有權更復雜的事情都超出了它的能力范圍。但是所有權證明和對零承諾實際上只是一種特定類型的零知識證明。那么，如果我們不去隱藏一個值，而去隱藏一個證明呢？

Tags：區塊鏈MBLMIM比特幣區塊鏈域名開發MBLOX價格MIM幣程序員把7500個比特幣當垃圾扔掉

比特幣交易所