Taproot, and Schnorr, and SIGHASH_NOINPUT, oh my !
Pieter Wuille
SF Bitcoin Devs
July 9, 2018
Bitcoinスクリプトシステムの改善
-
一般（General）
-
署名（Signatures）
-
構造（Structural）
-
実用化（Practical）
スクリプトシステムの目標
取引出力（Tx Output）を使用する条件の指定
-
プライバシー（Privacy）
-
スペース効率（Space efficiency）
-
計算効率（Computational efficiency）
関連するすべての（All related）
証明システム（Proof system）
実行と検証（Execution vs verification）
署名システムの改善
-
シュノア（Schnorr）
-
集約（Aggregation）
-
シグハッシュ（Sighash）
シュノア署名（Schnorr signatures）
- ECDSAと同じ条件で署名を安全に提供
- sR = mG + (R.x)P の代わりに sG = R + H(R,P,m)P
- 非可鍛性（Non-malleable）
- 新しい署名方式：固定64バイト、バッチ検証可能
- 新しいBIP草案を参照（See new BIP draft）
線形性！ 署名の合計は鍵の合計に対する署名
- n-of-n、k-of-n、どのポリシーも1-of-1のように見える
- 説明する必要がない（Non accountable）
- 複数の署名ラウンドが必要
- 対話式キー設定（MuSigを除く）
Adapter signatures
クロス入力署名集約
- Schnorr signatruesとは異なる
- プレーンなpubkeyセキュリティを備えたマルチ署名方式が必要
- BNo6シグネチャ、またはMuSigを使用できます
- トランザクション検証モデルへの変更
- スクリプトの検証結果はtrue / false + pubkeysのリスト
- すべてのオンライン取引時に単一の署名
Softfork compatibility
Coinjoin incentive
All pubkeys still visible
新しいシグハッシュモード
Bitcoinは現在6つのモードしかありません
- サイン出力：all、none、またはequal index one
- サイン入力：すべて、または費やされたものだけ
- 入力に全く署名しない方法はありません
SIGHASH_NOINPUT（BIP118）：txidではなく、スクリプトに署名
- 繰り返し可能（Replayable!）
- Eltooの決済チャネル; 罰せずに正しい（correct instead of punish）
委任？ 消費する権利をサインする能力
スクリプトの構造改善
P2SH
マールク木（Merkle branches）
合意枝（Unanimity branches）
Taproot
Graftroot
P2SHスクリプトの確認（2012）
実際のスクリプトを出力から入力に移動しました
- すべての出力が同じに見えます！ （シングルキーのものを除く...）
- 送信者は受信者のポリシーを気にしません
- UTXOサイズの影響
あなた使用したときに完全なスクリプトを明らかにする
スクリプトのMerkleブランチ(“MAST”)
通常スクリプトは、いくつかの、キー、ロックタイム、ハッシュロックの単なるOR
なぜすべての可能性を明らかにするのか？
すべての論理和をMerkleツリーに入れる
- 出力はMerkleのルート
- 入力は：スクリプト、パス、署名
サイズは、O(log n)
ただ、枝が正しいかを表現
合意枝を持つMerkleの木
具体的な問題では、「誰もが同意する」ブランチが可能です
すべてのトップブランチが同意する
裁判所モデル
Schnorr multisigでさらに良くなる
Taproot!
基本的な考え方：Q = P + H（P、S）G
- 出力：Q
- 鍵の支出：サイン（Q）
- スクリプトの使用：P、S、入力
すべての出力：P2SHまたはP2PK
どちらがアクティブであるかを明らかにしない
合意枝：シングルSIG
Graftroot
Merkleツリーの代わりに、代表（delegation）を使用してください！
スクリプトに署名するトップレベルのキー（「すべて同意」）
支出：
- 鍵支出：sig（key、tx）
- スクリプトの支出：sig（key,script）、スクリプト、入力
ブランチの数は、O(1)
本質的に相互作用のあるキー設定
単純なツリーよりも半分の集約で良い
実用化
すぐに開発することができない多くのアイデア
一度にすべてを行うインセンティブ
- 異なる構造は、segwitスクリプトバージョンを使う事が可能
- 匿名性セットを減らす
- ソフトフォークにわたってシグネチャ集約が機能しない
スクリプトシステムの、実験 vs 制作
私の初期の焦点：SchnorrとTaproot
- すべての協力的な支出をただ一つのsigにする
- 構造改善後の集約作業