Hashes: Keccak, Hs und Hp

Wie Monero beliebige Bytes in eine Zahl oder einen Punkt verwandelt

Keccak-256

Eine Hashfunktion nimmt beliebige Daten und gibt 32 Bytes aus, die zufällig aussehen. Ändert sich ein Bit der Eingabe, ändert sich die ganze Ausgabe; die Eingabe aus der Ausgabe zu finden oder zwei Eingaben mit derselben Ausgabe ist praktisch unmöglich.

Monero verwendet (wie Ethereum) Keccak in der Form, in der es den SHA-3-Wettbewerb gewann – bevor das NIST das Padding-Byte änderte. Wegen dieses Details liefert sha3_256() aus einer Standardbibliothek ein anderes Ergebnis. Wenn dein Code nicht mit Monero übereinstimmt, prüfe zuerst das.

Im Code von Monero heißt diese Funktion cn_fast_hash.

Hs: Hash zu Skalar

Oft brauchen wir nicht bloß Bytes, sondern einen Skalar – eine Zahl modulo l (die Ordnung des Basispunkts). Hs liefert ihn direkt:

Wo Hs verwendet wird:

• der View Key aus dem Spend Key: a = Hs(b);
• Einmal-Adressen: Hs(8rA ‖ i);
• Subadressen: Hs("SubAddr\0" ‖ a ‖ i ‖ j);
• Challenges in Signaturen.

Hp: Hash zu Punkt

Manchmal brauchen wir einen Punkt, dessen diskreten Logarithmus niemand kennt. Wir können nicht einfach Hs(data)·G nehmen – dann wäre der Logarithmus Hs(data), und den kennt jeder. Hp baut über eine spezielle Abbildung direkt aus dem Hash einen Punkt (in Monero eine Variante von Elligator 2, die Funktion ge_fromfe_frombytes_vartime) und multipliziert dann mit dem Kofaktor 8, damit der Punkt in der richtigen Untergruppe landet.

Wo Hp verwendet wird:

• Key Images: I = x·Hp(P) – die wichtigste Anwendung;
• der zweite Generator H für Pedersen-Commitments: H = Hp(G) (bis auf Details der Kodierung). Niemand kennt ein k mit H = k·G – und das ist entscheidend, damit sich Beträge nicht fälschen lassen.