CRS (строка общих параметров)

Что такое CRS (строка общих параметров)?

CRS расшифровывается как Common Reference String (строка общих параметров) — это общий набор публичных криптографических параметров, используемый системой доказательств с нулевым разглашением.В криптовалютной сфере CRS чаще всего упоминается в контексте zk-SNARK, протоколов конфиденциальности, доказательств корректности, zk-роллапов, полиномиальных коммитментов и систем масштабирования блокчейна.CRS предоставляет доказывающей стороне и проверяющей стороне общую основу, благодаря которой можно создать и проверить доказательство без раскрытия доказывающей стороной конфиденциальной информации.Доказывающая сторона использует CRS для создания доказательства, а проверяющая — ту же CRS, чтобы проверить его корректность.

В руководстве ethereum.org по доказательствам с нулевым разглашением поясняется, что публичные параметры, используемые в некоторых системах с нулевым разглашением, в совокупности называются Common Reference String.

CRS — это не пароль, приватный ключ, сид-фраза кошелька или пользовательский секрет.Обычно это публичная информация, но способ ее генерации может иметь критическое значение для безопасности.Если CRS создана честно, а секретные данные настройки уничтожены, система доказательств может работать предусмотренным образом.Если CRS создана нечестно или секретные данные настройки сохранены, в некоторых системах доказательств может появиться возможность создавать поддельные доказательства.Поэтому безопасность CRS — одно из важнейших допущений о доверии для многих используемых в криптовалютах систем с нулевым разглашением.

Почему CRS важна в криптовалютной сфере

CRS важна, поскольку доказательства с нулевым разглашением стали ключевой технологией для конфиденциальности, масштабирования, идентификации и проверяемых вычислений в блокчейне.Доказательство с нулевым разглашением позволяет подтвердить истинность утверждения, не раскрывая скрытые данные, лежащие в его основе.В криптовалютной сфере это может означать подтверждение корректности конфиденциальной транзакции, правильного выполнения пакета офчейн-транзакций или соответствия пользователя определенному правилу без раскрытия всех персональных данных.Многим эффективным системам zk-SNARK необходимы публичные параметры, подготовленные до создания и проверки доказательств.Эти публичные параметры и есть CRS либо тесно связанная с ней структура, например Structured Reference String (структурированная строка параметров).

В материале ZKProof о церемониях настройки поясняется, что zk-SNARK используют CRS как публичный параметр для создания и проверки доказательств.

Поэтому качество CRS важно и для разработчиков, и для пользователей.Разработчикам необходимо знать, соответствует ли CRS используемой схеме, системе доказательств и модели безопасности.Пользователям важно знать, полагается ли протокол на доверенную настройку, универсальную настройку, обновляемую церемонию или прозрачную систему доказательств, для которой доверенная настройка не нужна.Для инвесторов и трейдеров криптовалют CRS может звучать как сугубо техническое понятие, но оно способно влиять на надежность приватных криптовалют, zk-роллапов, мостов, систем доказательств и токенизированных приложений.

Как работает CRS

CRS предоставляет всем участникам системы доказательств одинаковые общедоступные исходные данные.Доказывающая сторона использует эти данные, чтобы преобразовать конфиденциальное свидетельство и публичное утверждение в компактное доказательство.Проверяющая сторона использует те же данные, чтобы убедиться, что доказательство создано согласно правилам системы.Публичное утверждение — это проверяемое заявление.Конфиденциальное свидетельство — это скрытая информация, которая делает утверждение истинным.Например, пользователь может доказать, что транзакция соответствует правилам протокола, не раскрывая ее подробности целиком.CRS помогает системе доказательств связать математическое утверждение, конфиденциальное свидетельство и алгоритм проверки.Во многих системах zk-SNARK CRS создается до того, как обычные пользователи начинают формировать доказательства.Этот этап настройки может быть привязан к одной схеме или быть достаточно широким, чтобы поддерживать множество схем.Подробности зависят от системы доказательств, криптографических допущений и особенностей реализации.CRS следует генерировать, хранить, публиковать и проверять таким образом, чтобы снизить риск скрытого вмешательства.

CRS, SRS и публичные параметры

CRS часто используется как общее название публичных справочных данных, применяемых в системе доказательств.SRS расшифровывается как Structured Reference String (структурированная строка параметров) и обычно означает строку параметров со специальной алгебраической структурой.Публичные параметры — более широкое понятие, которое может включать CRS, SRS, ключи доказывания, ключи проверки и другие результаты настройки.В неформальных обсуждениях криптовалют CRS и SRS иногда используют как взаимозаменяемые понятия.В технических материалах SRS обычно обозначает конкретный тип CRS, используемый некоторыми SNARK или схемами полиномиальных коммитментов.

В руководстве ZKDocs по полиномиальным коммитментам KZG описываются предварительно сгенерированные публичные параметры для коммитментов KZG и отмечается, что их иногда называют Structured Reference String.

Это различие важно, поскольку не все системы доказательств используют одинаковые данные настройки.Некоторым системам нужна CRS, специфичная для схемы.Другие используют универсальную SRS, которая поддерживает множество схем до заданного размера.Некоторые системы являются прозрачными и вообще не требуют церемонии доверенной настройки.Разработчику следует всегда уточнять, что именно проект подразумевает под CRS, SRS, параметрами настройки, ключом доказывания и ключом проверки.

Доверенная настройка и CRS

Доверенная настройка — это процесс генерации CRS для некоторых систем доказательств с нулевым разглашением.Слово «доверенная» используется потому, что участники должны верить в корректность настройки и уничтожение любых секретных случайных данных.Эти скрытые данные настройки часто называют «токсичными отходами» (toxic waste).Если токсичные отходы сохранятся у злоумышленника, в некоторых системах он может получить возможность создавать ложные доказательства.Это не означает, что любая CRS небезопасна.Это означает, что безопасность некоторых систем на основе CRS зависит от надежности процесса настройки.Доверенную настройку может провести одна сторона, однако это создает серьезную проблему доверия.Современные системы часто предпочитают многосторонние церемонии, поскольку они снижают зависимость от одного участника.Во многих схемах многосторонней настройки безопасность сохраняется, если хотя бы один честный участник внес случайные данные и уничтожил свой секретный вклад.Поэтому организаторы публичных церемоний обычно стремятся обеспечить широкое участие, прозрачность, воспроизводимость и независимую проверку.Для пользователей важно не только то, существует ли CRS, но и то, как она была создана.

Церемония многосторонних вычислений

Церемония многосторонних вычислений — это процесс настройки, в котором многие независимые участники вносят случайные данные для создания CRS.Цель — не допустить, чтобы один человек, компания, группа валидаторов или команда разработчиков единолично владели всеми секретными данными настройки.Каждый участник добавляет энтропию в церемонию, а затем уничтожает свой личный вклад.Во многих схемах церемоний достаточно, чтобы хотя бы один участник действовал честно, — тогда итоговая CRS может оставаться безопасной.Такую модель обычно используют, когда системе доказательств нужна доверенная настройка, но сообщество хочет снизить зависимость от одной стороны.Известный пример в криптовалютной сфере — церемония Ethereum KZG, публичный процесс генерации данных настройки для коммитментов KZG.

В итоговом отчете Ethereum Foundation о церемонии KZG она описана как публичный процесс, обеспечивший криптографическую основу EIP-4844.

В ходе церемонии следует публиковать достаточно информации, чтобы другие могли проверить ее проведение.Надежный дизайн церемонии также предусматривает защиту от вредоносных вкладов, недостатка случайности, компрометации программного обеспечения и рисков централизованной координации.Даже тщательно проведенная церемония не делает систему безрисковой, но может снизить уровень доверия, необходимый для CRS.

CRS и zk-SNARK

zk-SNARK расшифровывается как Zero-Knowledge Succinct Non-Interactive Argument of Knowledge (краткое неинтерактивное доказательство знания с нулевым разглашением).Многие системы zk-SNARK быстро проверяются и создают небольшие доказательства, что делает их полезными для блокчейнов.Компактность доказательств важна, потому что хранение данных и их проверка в блокчейне могут обходиться дорого.Неинтерактивность важна, поскольку доказывающая сторона может один раз создать доказательство и опубликовать его для последующей проверки любым желающим.Во многих конструкциях SNARK CRS позволяет реализовать такую неинтерактивную модель.Без подходящих параметров настройки у доказывающей и проверяющей сторон может не быть общей математической основы, необходимой для создания и проверки доказательства.Требования к CRS различаются в разных семействах SNARK.Некоторым старым системам нужна отдельная доверенная настройка для каждой схемы.Некоторые более новые системы используют универсальную или обновляемую настройку.Некоторые системы снижают необходимость доверенной настройки или устраняют ее благодаря другой криптографической архитектуре.Поэтому криптопроекту недостаточно просто заявить об использовании zk-SNARK.Он должен объяснить модель настройки, тип CRS, процесс аудита и план обновлений.

CRS и zk-роллапы

zk-роллап — это система масштабирования блокчейна, которая использует доказательства корректности, чтобы подтвердить правильную обработку пакетов офчейн-транзакций.

В документации ethereum.org по zk-роллапам поясняется, что протоколу ZK-SNARK может понадобиться CRS, обеспечивающая публичные параметры для создания и проверки доказательств корректности.

В zk-роллапе доказывающая сторона создает доказательство сразу для множества транзакций.Базовый блокчейн проверяет это доказательство, а не выполняет каждую транзакцию в пакете заново.Это может сократить объем данных и вычислений, необходимых на базовом уровне.Если роллап использует систему доказательств на основе CRS, CRS становится частью модели доверия и безопасности роллапа.Пользователям важно знать, используется ли доверенная настройка, была ли она специфичной для схемы и потребуются ли новые церемонии при будущих обновлениях.Некачественная или скомпрометированная CRS может ослабить систему доказательств корректности.Надежный процесс настройки помогает укрепить уверенность в том, что подделать доказательства роллапа будет сложно.Поэтому устройство CRS — не просто академическая тема: оно может влиять на реальные средства пользователей в системах масштабирования.

CRS и коммитменты KZG

Коммитменты KZG — это разновидность схем полиномиальных коммитментов, используемая в современных исследованиях и разработках систем масштабирования блокчейнов.Полиномиальный коммитмент позволяет зафиксировать полином, а затем доказывать утверждения о его значениях, не раскрывая полином целиком.Это полезно для доступности данных, масштабирования роллапов и систем доказательств, поскольку позволяет компактно проверять большие структуры данных.EIP-4844 ввел транзакции с blob-данными, использующие коммитменты и доказательства KZG в рамках плана масштабирования Ethereum.

В спецификации EIP-4844 описываются транзакции с blob-данными и проверка доказательств KZG в рамках устройства протокола.

Для коммитментов KZG нужны структурированные данные настройки.Эти данные обычно называют SRS — ее можно рассматривать как специализированную форму CRS.Безопасность систем на основе KZG зависит от уничтожения секретных случайных данных, использованных при настройке.Поэтому церемонии KZG привлекают такое внимание специалистов по криптотехнологиям.SRS KZG — это не просто технический файл: она может стать долгосрочной криптографической зависимостью использующих ее приложений.

Универсальная CRS и CRS, специфичная для схемы

CRS, специфичная для схемы, создается для одной конкретной схемы или вычисления.Если схема меняется, проекту может потребоваться новая настройка.Это может быть неудобно, поскольку приложения на блокчейне часто обновляются.Универсальная CRS или SRS может поддерживать множество схем до определенного ограничения по размеру или сложности.Это упрощает разработку, поскольку множество приложений могут повторно использовать одни и те же данные настройки.Обновляемая CRS позволяет новым участникам добавлять случайные данные после первоначальной настройки.Это может повысить доверие, поскольку со временем в настройку можно вносить новые вклады.Универсальные и обновляемые модели стали важны, поскольку снижают операционную нагрузку, связанную с повторными церемониями доверенной настройки.Однако «универсальная» не означает «неограниченная».У универсальной CRS обычно есть ограничения, допущения, поддерживаемые эллиптические кривые, максимальный размер схем и правила реализации.Разработчикам по-прежнему необходимо проверять, подходит ли CRS для создаваемого приложения.

Прозрачные системы доказательств и CRS

Прозрачной системе доказательств не нужна церемония доверенной настройки.Вместо этого она может использовать публичную случайность, хеш-функции или другие конструкции, не требующие секретных данных настройки.zk-STARK часто называют прозрачными, поскольку они не требуют доверенной настройки CRS так, как многие системы zk-SNARK.Поэтому системы на основе STARK привлекательны для некоторых блокчейн-приложений.Компромиссом могут быть другие размеры доказательств, затраты на проверку и создание доказательств или требования к реализации.Система без доверенной настройки не становится автоматически лучше для любого сценария использования.SNARK на основе CRS может обеспечивать меньший размер доказательств и эффективную проверку.Прозрачная система доказательств может снизить зависимость от доверенной настройки, но иметь другие компромиссы в производительности.При проектировании протокола важно сопоставлять допущения о безопасности, стоимость, производительность, инструменты для разработчиков, качество аудита и удобство долгосрочного сопровождения.Для пользователей главное просто: некоторым ZK-системам нужна CRS, а другие устроены так, чтобы обходиться без доверенной CRS.

Риски безопасности CRS

Наибольший риск для CRS — компрометация настройки.Если секретные данные настройки не уничтожены, в некоторых системах злоумышленник может получить возможность подделывать доказательства.Риск подделки может быть серьезным, поскольку блокчейн способен принять ложное доказательство за действительное.В платежной системе это может поставить под угрозу правила конфиденциальных балансов или корректность скрытых транзакций.В роллапе это может угрожать корректности офчейн-переходов состояния.В мосте под угрозой могут оказаться утверждения о депозитах, выводах или межсетевом состоянии.Еще один риск — использование CRS, не подходящей для конкретной схемы или системы доказательств.Несоответствие CRS, схемы, ключа доказывания, ключа проверки и реализации может нарушить безопасность или привести к сбою проверки доказательств.Третий риск — недостаточная прозрачность церемонии.Если пользователи не могут проверить, как была создана CRS, им остается доверять заявлениям команды проекта.Четвертый риск — низкий уровень безопасности программного обеспечения во время настройки.Вредоносное ПО, слабый генератор случайных чисел, скрытые уязвимости или небезопасные процессы сборки могут поставить церемонию под угрозу.Таким образом, безопасность CRS — это одновременно криптографическая задача и задача операционной безопасности.

Как разработчики используют CRS

Разработчики используют CRS при создании приложений, которым нужны создание и проверка доказательств.Данные CRS можно загрузить из надежного релиза, сгенерировать во время церемонии, встроить в программное обеспечение или указать в спецификации протокола.Программное обеспечение доказывающей стороны использует данные настройки для создания действительных доказательств для схемы.Программное обеспечение проверяющей стороны использует связанные с ними данные проверки, чтобы эффективно проверять доказательства.В системах со смарт-контрактами ключ проверки может быть помещен в ончейн-контракт-верификатор.Это позволяет блокчейну проверить доказательство, не видя конфиденциального свидетельства.Разработчики должны убедиться, что CRS получена в ходе правильной церемонии и соответствует точной версии системы доказательств.Также следует проверять хеши, подписи, воспроизводимые сборки, официальную документацию и отчеты аудита.Даже небольшое несоответствие в настройке может привести к сбою проверки, напрасным расходам на газ, поломке приложения или ослаблению безопасности.Поэтому производственные ZK-системы рассматривают файлы настройки как критически важную инфраструктуру.

CRS и приватные криптовалюты

Исторически CRS играла важную роль в криптовалютных системах, ориентированных на конфиденциальность и использующих zk-SNARK.Протоколы конфиденциальности могут применять доказательства с нулевым разглашением, чтобы подтвердить корректность скрытых транзакций без раскрытия конфиденциальных сведений о них.Ранние эффективные конструкции zk-SNARK часто полагались на церемонии доверенной настройки.Zcash — один из самых известных криптовалютных проектов, в котором доверенная настройка и последующий отказ от нее стали важной темой исследований.

В пояснении Zcash о zk-SNARK отмечается, что в протоколе защищенных платежей Orchard использован Halo 2; также говорится, что Halo устраняет необходимость доверенной настройки и поддерживает конфиденциальные цифровые платежи.

Этот пример показывает, как со временем меняется устройство CRS.Ранние системы могут полагаться на доверенную настройку ради компактных доказательств и практической производительности.Позднее системы могут перейти к конструкциям доказательств, которые уменьшают зависимость от доверенной настройки или устраняют ее в ключевых частях протокола.Пользователям важно оценивать заявления о конфиденциальности вместе с допущениями о настройке и доверии.Надежный протокол конфиденциальности должен объяснять как то, что он скрывает, так и допущения о доверии, на которых он основан.

CRS и обновления блокчейна

Обновления блокчейна могут создавать сложности с CRS, поскольку для новых схем или систем доказательств могут потребоваться новые данные настройки.Если протокол меняет правила транзакций, архитектуру масштабирования или систему доказательств, прежней CRS может оказаться недостаточно.Для крупного обновления может потребоваться новая церемония настройки, если она привязана к конкретной схеме.Универсальная настройка может обеспечить большую гибкость, но и у нее есть ограничения.Командам протокола необходимо планировать порядок предложения, аудита, проведения, публикации и активации изменений настройки.Важна и система управления: пользователям нужно быть уверенными, что обновление незаметно не ослабляет допущения о безопасности доказательств.При хорошем процессе обновления документируются старая и новая настройки, риски миграции и изменения в проверке.В децентрализованных системах важен анализ сообществом, поскольку изменения CRS могут затронуть всех пользователей, полагающихся на корректность доказательств.Это особенно важно для систем, обеспечивающих депозиты, выводы, конфиденциальные балансы или корни состояния роллапа.Таким образом, управление CRS — часть долгосрочной безопасности криптовалютных систем.

Как оценить криптопроект на основе CRS

Сначала выясните, использует ли проект систему доказательств на основе CRS.Затем уточните, была ли CRS создана одной стороной или в ходе публичной многосторонней церемонии.Выясните, является ли настройка специфичной для схемы, универсальной или обновляемой.Проверьте, опубликованы ли протокол церемонии, программное обеспечение, параметры и инструкции по проверке.Уточните, проверяли ли независимые исследователи или аудиторы настройку и систему доказательств.Узнайте, потребуют ли будущие обновления новой настройки.Проверьте, могут ли пользователи сверить хеши параметров с официальными релизами.Уточните, объясняет ли проект последствия компрометации настройки.Выясните, есть ли у системы план экстренного реагирования на уязвимости системы доказательств.Оцените, подходит ли используемая система доказательств для стоимости активов, обеспечиваемых протоколом.Эти вопросы помогают выйти за рамки маркетинговых заявлений и оценить реальные криптографические допущения.

Распространенные заблуждения о CRS

Одно из заблуждений состоит в том, что CRS нужно держать в секрете.В большинстве систем доказательств CRS является публичной; опасность связана с секретными случайными данными настройки, которые следует уничтожить.Другое заблуждение — все системы с нулевым разглашением требуют доверенной настройки.Некоторые системы прозрачны и не используют церемонии доверенной настройки.Третье заблуждение — одна CRS подходит для любого приложения.CRS может быть привязана к системе доказательств, эллиптической кривой, размеру схемы или конкретной архитектуре приложения.Четвертое заблуждение — доверенная настройка автоматически небезопасна.Хорошо спроектированная многосторонняя церемония может снизить уровень необходимого доверия, если хотя бы один честный вклад остается неизвестным злоумышленникам.Пятое заблуждение — пользователям не нужно интересоваться CRS, поскольку она нужна только разработчикам.На самом деле CRS может влиять на безопасность протокола конфиденциальности, роллапа, моста или приложения на основе доказательств.

FAQ

Что означает CRS в криптовалютной сфере?

CRS означает Common Reference String (строка общих параметров) — общедоступные справочные данные, которые некоторые системы с нулевым разглашением используют для создания и проверки доказательств.

CRS — это то же самое, что SRS?

CRS — более широкое понятие, а SRS обычно обозначает структурированную форму CRS, используемую некоторыми SNARK и схемами полиномиальных коммитментов.

Зачем zk-SNARK нужна CRS?

Многим zk-SNARK нужна CRS, чтобы у доказывающей и проверяющей сторон были общие публичные параметры для создания и проверки неинтерактивных доказательств.

Является ли CRS конфиденциальной?

Нет, обычно CRS публична, но в системах с доверенной настройкой секретные случайные данные, использованные для ее создания, необходимо уничтожить.

Что такое токсичные отходы при доверенной настройке?

Токсичные отходы — это секретные данные настройки, которые в некоторых системах доказательств могут позволить злоумышленнику создавать ложные доказательства, если он их сохранит.

Что такое церемония CRS?

Церемония CRS — это процесс настройки, в ходе которого один или несколько участников создают публичную строку параметров для системы доказательств.

Зачем нужны многосторонние церемонии?

Многосторонние церемонии снижают зависимость от одного доверенного участника при создании CRS.

Нужна ли zk-STARK доверенная CRS?

zk-STARK обычно относят к прозрачным системам доказательств, поскольку им, в отличие от многих систем zk-SNARK, не нужна CRS с доверенной настройкой.

Может ли плохая CRS поставить средства в криптовалюте под угрозу?

Да. Скомпрометированная CRS может быть опасна, если протокол принимает поддельные доказательства, влияющие на балансы, выводы, заявления о переводах через мост или состояние роллапа.

Как пользователям проверить допущения о доверии к CRS?

Можно изучить документацию проекта, протоколы церемоний, хеши параметров, аудиты, сведения о системе доказательств и процедуры обновления.

Заключение

CRS (Common Reference String, строка общих параметров) — фундаментальное понятие криптографии с нулевым разглашением и важная тема безопасности для современных криптовалютных систем.Она предоставляет общие публичные параметры, которые позволяют доказывающим создавать доказательства, а проверяющим — проверять их.Во многих системах zk-SNARK CRS создается в ходе доверенной настройки, поэтому этот процесс необходимо проводить безопасно и прозрачно.Если секретные данные настройки уничтожены, а церемония хорошо спроектирована, система на основе CRS может обеспечивать эффективную и компактную проверку доказательств.Если секретные данные настройки скомпрометированы, некоторые системы могут стать уязвимыми для поддельных доказательств.Поэтому устройство CRS важно для протоколов конфиденциальности, zk-роллапов, коммитментов KZG, мостов, систем идентификации и других криптовалютных приложений на основе доказательств.Главное — CRS обычно является публичной, но необходимо понимать, насколько надежно она была создана.Всем, кто оценивает криптопроект с нулевым разглашением, следует выяснить, как создана CRS, является ли настройка доверенной или прозрачной, универсальна ли она или специфична для схемы и как параметры доказательств будут обновляться в будущем.