今天要来简单介绍一下，门罗币是怎么达到匿名交易的。本篇文章会牵涉到椭圆曲线的原理，如果不懂，可以先参考加密技术核心算法之安全快捷的ECC算法。简单来说就是要知道这样的关系：

p = k*G , 
p：公钥
k：私钥
G：曲线上的基准点

门罗隐匿交易包含了三个技术：Ring Signature（环签名） , Ring Confidential Transactions （RingCT,环保密交易）跟Stealth Address（隐匿地址）。在Digital Asset Research的文章中这张图解释了各个技术所使用的地方，本篇文章，就是要介绍这三个技术。

在介绍之前，先了解门罗一些基本概念。在门罗中有两把key（其实是4把，因为各有私钥跟公钥），一把是view key另一把是spend key。顾名思义，一把是拿来看的自己余额的（在链上找隐匿地址），一把是拿来花的（做环签名）。由spend key可以产生key image（金钥映像），用来做预防双花的证明，有点像zcash的nullifier。

Ring Signature （环签名）

环签名有点像混币，就是把好几笔交易混在一起，不过还是有差异.

那实际上怎么做呢？！假设一个初始值v，跟一串随机数(y1, y2, …, yn)，然后把v跟随机数经由Ek做加密，再把加密过的值跟下一个随机数做运算(xor)再加密，如：Ek ( y 2⊕ Ek ( y1 ⊕ v ))，所以函数如下

Ck , v ( y 1, y 2,…, yn )= Ek ( y 1⊕ Ek ( y 2⊕ Ek (… Ek ( yn ⊕ v ))))

接着使Ck , v ( y 1, y 2,…, yn ) = v，也就是v经过一连串的计算后，最后会等于自己，这就是环签名的基本概念，如下图形成一个环

实际应用场景会像这样：
m：讯息
P1, P2, …, Pn：为任意的一组公钥

1.计算加密金钥k = Hash(m) 
2.选择随机数v 
3.为所有的公钥选择随机数(x1, x2, …, xn)（不包含自己xs），接着计算
yi = gi( xi)。（ gi = xi^{Pi} mod Ni ）
*也就是上述的随机数yi，使用公钥来产生
4.藉由Ck,v(y1, y2, …, yn)来求得自己的ys 
5.接着利用自己的私钥算出xs，xs = gs^{-1}(ys) 
6.最终，输出环签名σ = (x1, x2, …, xs, …, xn, v)

验证

1.计算yi = gi(xi), i = 1, 2, …, n 
2.计算加密金钥k = Hash(m) 
3.验证Ck,v(y1,y2,…,yn) ?= v

因为v跟ys是相关的，而只有拥有私钥的人才能从ys算出xs，因此其他人无法假造签名。而环签名有个特性，就是少了某一项，可以用其他项来算出少的那一项。因为签名被混合过了，所以矿工无法直接验证交易是否花过了，要怎么确保双花的问题？就要借助到金钥映像（key image）的帮助，实际怎么运作，后面的隐匿地址一起介绍。

Ring Confidential Transactions（环保密交易）

在RingCT（环保密交易）出现之前，因为环签名的限制，混合环签名的金额必须一样，所以交易金额都必须被拆成固定面额，例如要交易12.5 XMR，就需要拆成10, 2 , 0.5三种面额，虽然发送方的资讯有环签名做保护，但是交易的金额就暴露给所有人了。

环保密交易出现后（新版的环签名”A Multi-layered Linkable Spontaneous Anonymous Group signature”所支持），金额将会被遮罩住，因此不必拆成已知面额，进而可以达到隐匿的作用。

Stealth Address（隐匿地址）

记得上面提到，每个人有两把key（view key跟spend key）。假设Alice要转钱给Bob，首先，Alice要利用Bob的public view key跟public spend key组成一次性的公钥，计算如下

P = H(rA)G + B
r： Alice选的随机数
A：Bob's public view key 
B：Bob's public spend key 
G：椭圆曲线中的基准点
H：hash function

然后计算R = rG。接着把交易送到P所产生的地址，并将R值放入交易的内容。所以整个网络都会知道P跟R。

因为r 是随机数，每次产生出的一次性公钥P都会是不同的，而由公钥P产生出门罗的地址就叫做隐匿地址（stealth address）。Alice把交易送到隐匿地址后，Bob要怎么知道这笔交易呢？

Bob有view key跟spend key对应的私钥(a, b)，Bob计算

P′ = H(aR)G + B

因为aR = arG = rA，所以可得P' = H(aR) + B = H(rA) + B = P 
所以若P'==P就代表这笔交易是给自己的，而这个计算需要a : private view key，所以也就只有Bob可以计算得出来。Bob找到交易后可以算出对应的私钥x = H(aR) + b，就可以动用这笔交易了！而这种方式，对于收款人来说是麻烦的，因为要随时扫描链上的交易，才知道有没有自己的。（有一种方式，是把自己的view key给第三方，由第三方帮你扫描，不过你的资产就会曝光，但是依然只有自己能动用）

回到双花的问题上，上面有提到金钥映像，先来看金钥映像的算法

I = xH(P)

基本上是由一次性的公钥P跟私钥x 组成，每一笔交易P只会对应到一把私钥x，所以对于每笔交易P其金钥映像I都是固定的，因此矿工只需要去验证I 是否有重复，就可以验证是否双花。

门罗的最新协议Bulletproof，是一种range proof，主要用于环保密交易（RingCT），借由Bulletproof可以大大减少了验证资料的大小，让交易资料变小，而手续费得以减少，有机会再来深入探讨Bulletproof。

扩展性（scalability）是门罗的一个大问题，主要是保密交易使用的rang proof的资料量庞大，使得交易的资料量很大，约是比特币的10倍（使用bulletproof后），每次交易也都会有新的金钥映像提供查询，所有历史交易的纪录都需要保留，无法像比特币有些技巧可以省略某些交易。这或许对门罗币是个挑战，但是另一派的说法，门罗币的交易量不是重点，而是他提供的隐私性。各位觉得如何呢？

本文链接地址：https://www.wwsww.cn/xmr/6019.html
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。