Идентификатора платежа

Идентификатор в данных транзакции. Например, если Алиса хочет купить яблоко у Боба во вторник,
Боб может написать квитанцию с описанием покупки и попросить Алису указать идентификационный номер квитанции
, когда она отправит ему деньги. Таким образом, Боб может связать деньги, которые он получает, с яблоком
, которое он продал.
В какой-то момент отправители могли передавать идентификаторы платежей открытым текстом, но вручную, включая
Идентификаторы в транзакциях неудобны, а открытый текст представляет угрозу конфиденциальности для получателей, которые могут
непреднамеренно раскрыть свои действия.18 В Monero получатели могут интегрировать идентификаторы платежей в свои sre/ крипто-
адреса и предоставлять отправителям эти интегрированные адреса, содержащие (K", K", идентификатор платежа). примечание_основное/
Идентификаторы платежей технически могут быть интегрированы в адреса любого типа, включая обычные адреса,
подадресы cryptonote_ и адреса с несколькими подписями.19
основные_
Отправители, адресующие выходные данные на интегрированные адреса, могут кодировать идентификаторы платежей, используя общий impl.cpp
получить
секретный rKF и операция XOR (напомним раздел 2.5), которые получатели затем могут декодировать с
помощью открытого ключа транзакции, соответствующего учетной записи, и другой операции XOR [9]. Интегрированное кодирование идентификаторов платежей
таким образом также позволяет отправителям доказать, что они произвели определенные выходные данные транзакции (например, для аудита, адреса для
возврата и т. д.) 20
str()
Кодирование
Отправитель кодирует идентификатор платежа для включения в данные транзакции21
Rmask = Hn(rK", pid_tag)
Идентификатор Kpayment = kmask -> уменьшен до битовой длины идентификатора платежа
в кодировке идентификатор платежа = XOR(идентификатор Kpayment, идентификатор платежа)
src/устройство/
device_de-
fault.cpp
шифрование
платежа_
существует только один вывод без изменений, и он относится к подадресу, тогда создается только один открытый ключ транзакции. В
первом случае открытый ключ транзакции равен rG, а одноразовый ключ изменения равен (индекс подадреса 1, используя индекс c
для обозначения ключей изменения) K" = Hn(k"rG, t)G + K: используя обычный ключ просмотра и значение подадреса. ключ, в
последнем случае открытый ключ транзакции rK" основан на ключе просмотра субадреса, а одноразовый
ключ изменения равен K° = H,(k" + rK",t)G + K". Эти сведения помогают объединить часть транзакций с подадресами между
более распространенные обычные адресные транзакции и транзакции с 2 выводами, которые составляют около 95% объема транзакций
на момент написания этой статьи.
17 В настоящее время реализации Monero поддерживают только один идентификатор платежа для каждой транзакции, независимо от того, сколько
у нее выходных данных.
* Эти длинные (256 бит) идентификаторы платежей с открытым текстом устарели в версии 0.15 основной реализации программного обеспечения
(совпадает с протоколом v12 в ноябре 2019 года). В то время как другие кошельки могут по-прежнему поддерживать их и разрешать их
включение в данные транзакций, основной кошелек будет их игнорировать.
10 Насколько известно авторам, интегрированные адреса когда-либо были реализованы только для обычных адресов.
20 Поскольку наблюдатель может распознать разницу между транзакциями с идентификаторами платежей и без них, считается,
что их использование делает историю транзакций Monero менее единообразной. Из-за этого, начиная с протокола v10, базовая
реализация добавляет фиктивный зашифрованный идентификатор платежа ко всем транзакциям с 2 выводами. Декодирование одного из них выявит все ОС sre / crypto-
(это не требуется протоколом, просто лучшая практика).
2. Идентификаторы платежей Monero для интегрированных адресов обычно имеют длину 64 бита.
примечание_кор/
криптонота…
tx_utils.cpp
сконструируй_
tx_ с помощью
tx_key()

СКРЫТИЕ СУММЫ В МОНЕРО
Алиса использует так называемую "соль", бла-бла-бла, поэтому Боб не может просто угадать H (орел) и H (решка) перед
подбрасыванием монеты и выяснить, что она взяла на себя орел.
5.2 Обязательства Педерсена
Обязательство Педерсена [113] - это обязательство, обладающее свойством быть аддитивно
гомоморфным. Если C(a) и C(b) обозначают обязательства для значений a и b соответственно, то
C(a + b) = C(a) + C(b).2 Это свойство будет полезно при фиксации сумм транзакций, поскольку
можно доказать, например, что входные данные равны выходным, не раскрывая имеющиеся суммы.
К счастью, обязательства Педерсена легко реализовать с помощью криптографии с эллиптической кривой, поскольку
тривиально выполняется следующее
aG + bG = (a + b) G
Очевидно, что, определив обязательство просто как C (a) = aG, мы могли бы легко создать таблицы
обязательств, которые помогут нам распознать общие значения a.
Чтобы достичь теоретико-информационной конфиденциальности, нужно добавить секретный коэффициент ослепления и другой
генератор H, такой, что неизвестно, для какого значения y выполняется следующее: H = yG. Сложность
задачи дискретного логарифмирования гарантирует, что вычисление y из H неосуществимо.3
Затем мы можем определить приверженность значению a как C(x, a) = xG + aH, где x -
фактор ослепления (он же "маска"), который не позволяет наблюдателям угадать a.
Обязательство C (x, a) является теоретически конфиденциальным, поскольку существует множество возможных комбинаций
x и a, которые выводили бы один и тот же C. Если x действительно случайный, у злоумышленника
буквально не было бы способа вычислить a [88, 122].
5.3 Сумма обязательств
В Monero выходные суммы хранятся в транзакциях как обязательства Педерсена. Мы определяем
обязательство по объему выпуска b как:
Если зафиксированное значение очень трудно угадать и проверить, например, если это явно случайная точка эллиптической кривой,
то солить обязательство не обязательно.
2 Аддитивно гомоморфный в этом контексте означает, что сложение сохраняется, когда вы преобразуете скаляры в точки EC
, применяя для скаляра x x -+ xG.
В случае Monero H = 8 * до точки(H (G)). Это отличается от хэш-функции Hp тем, что она напрямую sro /ringct/
интерпретирует выходные данные H., (G) как сжатую координату точки вместо получения точки кривой математически rctTypes.h
(см. [107]). Исторические причины этого несоответствия нам неизвестны, и действительно, это единственное место, где тесты / модуль_
Hp не используется (Пуленепробиваемые также используют Hp). Обратите внимание, как выполняется операция +8, чтобы убедиться, что результирующая точка находится в наших тестах/
I подгруппа (H, также делает это).
ringct.cpp
В принципе, существует множество x' и a' таких, что x' + a'y = x + art. Коммиттер знает одну комбинацию, но ТЕСТ (ring),
злоумышленник не имеет возможности узнать, какую именно. Это свойство также известно как "идеальное сокрытие" [138]. Более того, даже HPow2)
коммиттер не может найти другую комбинацию, не решив DLP для y, свойство, называемое "вычислительная привязка"
[138].