科普 | 一文相识比特币新署名计划MuSig2_数字货币

[2021-01-31 21:42:42] 来源：编辑：wangjia 点击量：

评论 点击收藏

导读： 随着比特币的Taproot更新越来越近，社区成员对MuSig多重签名方案产生了相当大的兴趣，MuSig允许一个团体共同管理一些比特币，并创建一个签名来授权支付。一文了解最新的以太坊 2.0路径是如

随着比特币的Taproot更新越来越近，社区成员对MuSig多重签名方案产生了相当大的兴趣，MuSig允许一个团体共同管理一些比特币，并创建一个签名来授权支付。

一文了解最新的以太坊 2.0路径是如何规划的？

好了，等待似乎终于结束了! 10月4日，ETH 2.0押金合约终于发布，其中包含了合约的所有细节。不过这个版本只有在UTC时间12月1日12点，要至少有16384个验证者，524288个ETH存入其中才会激活协议。

跟着比特币的Taproot更新越来越近，社区成员对MuSig多重署名计划产生了相当大的兴致，MuSig许可一个整体配合治理一些比特币，并建立一个署名来受权付出。由于MuSig立异的密钥聚合特征，这类署名是一种通例的Schnorr署名，一旦Taproot被激活，比特币收集就能够对这类署名举行处置惩罚。当用于建立多重署名钱包时，与运用操纵码举行n-of-n多重署名的传统体式格局比拟，MuSig降低了生意业务用度并增添了隐私性，而传统要领则在区块链上需要n个公钥以及n个ECDSA署名。

在2018年，Blockstream公司宣布了MuSig计划的第一个版本，我们将其称为MuSig1，正如我们将在下面议论的，由于署名者之间需要多轮通讯，在实践中布置MuSig1大概很难题。为了革新MuSig1，使得署名历程变得越发轻易，Blockstream的研讨者团结法国国度收集平安局（ANSSI）的暗码学家Yannick Seurin配合设想了名为MuSig2的新计划，而这类计划只需要两轮通讯，现在，这篇论文正在吸收偕行评审。

本文会简朴引见MuSig2和之前版本的MuSig1之间的差别，原文作者是Jonas Nick和 Tim Ruffing。

MuSig1的交互性问题

与基于的钱包比拟，MuSig1最大的瑕玷在于，它需要署名者之间的交互，更正确地说，建立署名需要三轮通讯，而每一轮通讯都由往返通报的音讯构成。下图显现了两个署名者的交互历程。你能够设想一个署名者运用的是一个桌面钱包，而另一个署名者运用的是Blockstream Green cosigner，或许署名者同享一个他们试图封闭的闪电收集通道。

比拟之下，运用的钱包只需要一轮通讯：它们吸收一笔生意业务并返回一个署名。比方，假如运用MuSig1在闪电收集中转发付出，隐私将取得改良，但付出所需的时候明显更长了。跟着通讯耽误的增添，这个问题就变得越发严峻了。而存储在平安保险箱中的MuSig1署名装备，需要其一切者接见两次才建立署名。

MuSig2许可非交互式署名

而最新提出的MuSig2多重署名计划，旨在成为MuSig1的继承者，它供应了与MuSig1雷同的功用和平安性，但能够消弭署名者之间险些一切的交互。运用MuSig2，署名者只需要举行两轮通讯就能够建立署名，而且症结的是，在署名者晓得他们想要署名的音讯之前，能够对个中一轮举行预处置惩罚。一旦有音讯需要署名，比方一笔比特币生意业务，那末其历程与本日基于CHECKMULTISIG的钱包雷同：将生意业务转移给署名者，然后吸收一个署名。总的来说，MuSig2保留了MuSig1的简朴性和效力，只增添了少许的分外盘算。

MuSig家属

几周之前，研讨者们议论了MuSig-DN，它是一个运用了零学问证实的两轮通讯协定，比拟MuSig2而言，它要庞杂很多。而MuSig-DN的长处在于它支撑确定性nonce，从而避免了在署名会话和轮次之间坚持状况的需要（即无状况）。

这就提出了在给定运用中运用哪一个计划的问题。上表申明，我们没有来由挑选MuSig1，而是应当挑选MuSig2。实际上，我们愿望大多数运用挑选MuSig2而不是MuSig-DN，由于简朴性是采纳的主要因素。在建立可互操纵的完成时，特别云云，由于一切署名者都必须赞同运用雷同的协定。另外，对非交互式署名的支撑明显提高了可用性。

另一方面，假如署名会话需要存储在耐久介质上，那末MuSig-DN计划的无状况属性是有益的。为了演示这类情况下MuSig2的风险，假定我们实行以下一系列事宜：

开启一个MuSig2署名会话；

将会话保存到一个硬盘驱动器；

实行硬盘驱动器备份；

完成署名会话；

恢复备份；

再次完成会话；

结果是，我们建立了两个具有雷同nonce的署名，其可用来盗取我们的密钥。因而，MuSig2的完成者必需要警惕，以确保不会发作上述情况。比拟之下，MuSig-DN计划就能够防备这类进击。组织两轮多重署名的应战

组织一个简朴的只需要两轮通讯的Schnorr多重署名计划，并且在并发会话（即，假如某个署名者同时介入多个署名会话）下仍然是平安的，这是一个还没有处理的研讨问题。一切之前的尝试（包含初期版本的MuSig1论文）都邑遭到Drijvers等人发明的一种奇妙的进击。在这类情况下，进击者与受害者署名者翻开很多会话，并能够取得受害者不盘算署名音讯的署名。

让我们疾速看看，是什么让MuSig2在并发会话下变得平安。个中，在MuSig1中，每一个署名者建立一个nonce，而在MuSig2中，每一个署名者建立两个nonce 和，在第一轮通讯时将它们发送给其他署名者，并有效地运用这些nonce的随机线性组合，替代之前零丁的nonce 。而系数是运用于一切署名者nonce、聚合公钥和音讯的哈希函数的输出。在MuSig1中，聚合的nonce是。假如任何署名者更改了他们的任何nonce，则其他每一个署名者都将运用他们两个nonce的差别的随机线性组合。这能够防备已被发明的针对其他两轮多署名计划的进击。一切细节你能够在MuSig2论文中找到。

关于下一步

现在blockstream愿望用MuSig2庖代secp256k1zkp库中的MuSig1完成，它将更加简朴，更主要的是，它更易于运用。依据开发者的说法，运用工具箱中的MuSig2，一些协定将从中受益，比方“无剧本剧本闪电收集”以及门限署名。假如比特币社区挑选采纳Taproot软分叉，则MuSig2会适用于Blockstream的一系列产物，比方Blockstream Green和c-lightning，它也适用于Liquid 锚定机制。