SA+L: autoridad de gasto y key image

El protocolo de Schnorr generalizado que sustituye a la "firma" en FCMP++

Schnorr generalizado en un minuto

El Schnorr simple demuestra el conocimiento de un único x en una ecuación P = x·G. La versión generalizada demuestra el conocimiento de un vector de secretos (w₁, …, wₖ) que cumple varias ecuaciones lineales sobre puntos:

El protocolo es el mismo que para una sola clave:

1. elegir α_k aleatorios y publicar A_j = Σ α_k·X_{j,k} para cada ecuación;
2. desafío c = Hs(todo lo publicado);
3. respuestas s_k = α_k + c·w_k;
4. comprobación: Σ s_k·X_{j,k} = A_j + c·Y_j para cada j.

El detalle clave: la misma respuesta s_k se usa en todas las ecuaciones donde aparece w_k. Así el verificador no aprende solo que «conoce algunos secretos», sino que «conoce los mismos secretos en todas las ecuaciones». Así es como se vinculan la autoridad de gasto y la key image.

Qué ecuaciones demuestra SA+L

Públicos: Õ, Ĩ, R, L y los generadores G, T, U, V. Los secretos de quien gasta: x, y (clave de la salida) y r_o, r_i, r_r_i (la «pintura» de la rerandomización). Simplificando, SA+L demuestra el sistema:

Las ecuaciones exactas de la especificación son algo distintas (tratan con cuidado qué productos de secretos hacen falta y cómo evitar filtraciones), pero la idea es exactamente esta: una sola prueba en la que x a la vez «abre» Õ y «produce» L.

Por qué no simplemente una firma

En RingCT, CLSAG hacía tres cosas a la vez: ocultaba la entrada en un anillo, demostraba la autoridad de gasto y vinculaba la key image. En FCMP++ la prueba de pertenencia se encarga de la primera tarea. Quedan dos, que se resuelven con un protocolo mucho más sencillo. Esto aporta:

• tamaño pequeño: unos pocos puntos y escalares por entrada;
• separación de funciones: el dispositivo que guarda la clave (un monedero de hardware) puede calcular SA+L, mientras un ordenador sin la clave construye la pesada prueba de pertenencia;
• secreto hacia adelante (forward secrecy): gracias a y·T en la clave (ver la visión general);
• base para multisig: la estructura lineal de GSP se reparte bien entre varios firmantes (esquemas tipo FROST).

Qué se firma

El desafío c incluye un hash de toda la transacción (prefijo, salidas, compromisos), igual que en CLSAG. Por eso SA+L también actúa como firma: si se cambia un solo byte de la transacción después de firmarla, la prueba deja de verificarse.