Обмен с забывчивостью

Что такое обмен с забывчивостью?

Обмен с забывчивостью (Oblivious Transfer, OT) — это криптографический протокол, который позволяет одной стороне получить выбранные ею данные от другой стороны, не раскрывая, какой именно вариант был выбран.

При этом получатель узнает только выбранные данные и не должен получать доступ к остальным.

В наиболее распространенной версии, называемой обменом с забывчивостью 1 из 2 (1-out-of-2 Oblivious Transfer), отправитель располагает двумя сообщениями.

Получатель выбирает одно из них.

Отправитель не узнает, какое сообщение выбрал получатель.

Получатель не узнает содержание сообщения, которое не выбрал.

Эта простая идея важна, поскольку позволяет двум сторонам обмениваться нужной информацией, скрывая друг от друга важные конфиденциальные входные данные.

В системах криптовалют и блокчейна обмен с забывчивостью важен как базовый инструмент для вычислений с сохранением конфиденциальности, многосторонних вычислений, кошельков с пороговой подписью, приватного пересечения множеств, безопасного сопоставления, приватной проверки личности, конфиденциальных торговых инструментов и продвинутых систем хранения активов.

В материалах NIST по криптографии для защиты конфиденциальности безопасные многосторонние вычисления описываются как способ совместного вычисления несколькими сторонами на основе собственных данных без раскрытия этих данных друг другу.

Обмен с забывчивостью — один из ключевых инструментов, позволяющих организовать такое конфиденциальное взаимодействие.

Главное об обмене с забывчивостью

• • Обмен с забывчивостью — это протокол защиты конфиденциальности, в котором получатель получает выбранное сообщение, не раскрывая свой выбор отправителю.
  • Отправитель не должен узнавать, какое сообщение было выбрано.
  • Получатель не должен узнавать невыбранное сообщение.
  • Самый распространенный пример — обмен с забывчивостью 1 из 2.
  • Обмен с забывчивостью — важный строительный блок безопасных многосторонних вычислений.
  • Он может использоваться в хранении криптоактивов, пороговой подписи, приватном пересечении множеств, приватном сопоставлении и конфиденциальной аналитике.
  • Расширение OT позволяет эффективно выполнять множество обменов с забывчивостью после небольшого числа затратных базовых обменов.
  • Обмен с забывчивостью — не то же самое, что доказательство с нулевым разглашением, хотя оба метода относятся к криптографии для защиты конфиденциальности.
  • Важно качество реализации: даже небольшая ошибка в протоколе может раскрыть конфиденциальный выбор или сообщения.
  • В криптоиндустрии пользователи обычно сталкиваются с этим термином при изучении внутреннего устройства продвинутых кошельков, систем хранения, идентификации, комплаенса и защиты конфиденциальности.

Как работает обмен с забывчивостью

В простом варианте обмен с забывчивостью включает две стороны.

Отправитель хранит конфиденциальные сообщения.

Получатель делает конфиденциальный выбор.

Протокол позволяет получателю получить выбранное сообщение, не раскрывая свой выбор отправителю.

Протокол также не позволяет получателю узнать больше, чем выбранное сообщение.

Например, у отправителя могут быть Сообщение 0 и Сообщение 1.

Получатель выбирает одно из них: 0 или 1.

После завершения протокола получатель узнает только выбранное сообщение.

Отправитель не знает, выбрал ли получатель 0 или 1.

Если получатель выбрал Сообщение 0, Сообщение 1 должно остаться скрытым.

Если получатель выбрал Сообщение 1, Сообщение 0 должно остаться скрытым.

Это может показаться небольшим приемом для защиты конфиденциальности, но многократное применение этого метода в рамках более крупного криптографического вычисления делает его чрезвычайно важным.

Почему протокол называется обменом с забывчивостью

Слово «забывчивость» указывает на то, что одна сторона не знает важного факта об обмене.

При обмене с забывчивостью отправитель не знает, что выбрал получатель.

Возможности получателя также ограничены: он не знает, какие данные не выбрал.

Это не обычное зашифрованное сообщение, при отправке которого отправитель точно знает, что и кому отправлено.

Это тщательно разработанный обмен: полезная информация передается, а конфиденциальный выбор остается скрытым.

Поэтому этот термин так важен для вычислений с сохранением конфиденциальности.

Для решения многих задач в криптоиндустрии сторонам необходимо взаимодействовать, не раскрывая все свои данные.

Обмен с забывчивостью позволяет безопасно передавать сведения, сохраняя выбор в тайне.

Термин звучит абстрактно, но у него есть практическое применение.

Он помогает людям совместно выполнять вычисления, не раскрывая лишнего.

Обмен с забывчивостью 1 из 2

Обмен с забывчивостью 1 из 2 — простейшая и наиболее распространенная форма протокола.

У отправителя есть два сообщения, обычно обозначаемые как m0 и m1.

У получателя есть бит выбора, обычно обозначаемый как b.

Если b равен 0, получатель узнает m0.

Если b равен 1, получатель узнает m1.

Отправитель не должен узнавать значение b.

Получатель не должен узнавать одновременно m0 и m1.

Такая структура полезна, поскольку компьютерные программы строятся на основе двоичных решений.

Многие более крупные протоколы можно свести к большому числу небольших скрытых двоичных выборов.

Именно поэтому обмен с забывчивостью 1 из 2 часто встречается в исследованиях и реализации безопасных вычислений.

Обмен с забывчивостью 1 из n

Обмен с забывчивостью 1 из n обобщает ту же идею для более чем двух сообщений.

У отправителя есть n сообщений.

Получатель выбирает один индекс.

Получатель узнает сообщение с этим индексом.

Отправитель не узнает, какой индекс был выбран.

Получатель не узнает остальные сообщения.

Такая форма может пригодиться, если получателю нужно выбрать один элемент из большого списка или базы данных.

Например, система приватного поиска может позволить пользователю получить одну запись, не раскрывая, какую именно он запросил.

В криптоиндустрии похожие идеи могут использоваться для приватного доступа к данным, конфиденциальной проверки комплаенса и услуг кошельков с защитой конфиденциальности.

В зависимости от конструкции протокола обмен с забывчивостью 1 из n можно реализовать напрямую или построить из множества более простых обменов.

Обмен с забывчивостью Рабина

Обмен с забывчивостью Рабина — более ранняя и исторически важная форма OT.

В этой версии отправитель передает сообщение так, что у получателя есть лишь определенная вероятность его узнать.

Отправитель не знает, удалось ли получателю узнать сообщение.

Это отличается от обмена с забывчивостью 1 из 2, хотя в криптографической теории эти идеи тесно связаны.

Работа Рабина помогла утвердить обмен с забывчивостью как фундаментальный криптографический примитив.

Позднее исследования показали, что OT может лежать в основе гораздо более широкого спектра безопасных вычислений.

Главный вывод для криптоиндустрии: OT — не просто узкоспециализированный прием.

Это один из базовых инструментов конфиденциальных вычислений.

Во многих современных системах используются более эффективные и специализированные варианты, чем ранние протоколы.

Но основная идея остается прежней.

Обмен с забывчивостью и безопасные многосторонние вычисления

Безопасные многосторонние вычисления (Secure Multi-Party Computation, MPC) позволяют нескольким сторонам получить результат, не раскрывая друг другу свои конфиденциальные входные данные.

На странице NIST о криптографии для защиты конфиденциальности MPC описываются как инструмент совместного вычисления функции на основе входных данных нескольких сторон без раскрытия данных каждой из них.

Обмен с забывчивостью часто используется внутри протоколов MPC, поскольку для конфиденциальных вычислений нужны скрытые выборы.

Например, две стороны могут захотеть получить результат вычисления, сохранив в тайне балансы кошельков, оценки рисков, данные клиентов или доли для подписи.

OT помогает сторонам обменяться необходимой для вычисления информацией, не раскрывая исходные конфиденциальные значения.

Это особенно актуально для криптоиндустрии, поскольку многим системам нужно одновременно обеспечивать конфиденциальность и корректность.

Кошелек должен формировать корректную подпись, не раскрывая весь приватный ключ.

Системе комплаенса может потребоваться сравнить данные о рисках, не раскрывая все сведения о каждом клиенте.

Торговой системе может потребоваться сопоставить ордера, не раскрывая лишнюю информацию о стратегиях.

MPC и OT помогают реализовать такие решения.

Обмен с забывчивостью и кошельки с пороговой подписью

В кошельках с пороговой подписью полномочия на подписание распределяются между несколькими сторонами или устройствами.

Вместо хранения полного приватного ключа в одном месте полномочия на подпись распределяются между участниками.

Это может снизить риск того, что одно украденное устройство или один скомпрометированный сервер позволят вывести средства.

Во многих протоколах пороговой подписи используются методы MPC.

В некоторых методах MPC применяются обмен с забывчивостью или связанные с ним инструменты конфиденциальных вычислений.

В системах хранения криптоактивов обычно стремятся сформировать действительную подпись для блокчейна, не собирая полный приватный ключ в одном месте.

Каждый участник предоставляет секретную долю.

Затем участники запускают протокол, который вычисляет подпись.

Ни один участник не должен узнавать секретные доли остальных.

Обмен с забывчивостью помогает защищать конфиденциальный выбор и промежуточные значения в ходе таких вычислений.

Обмен с забывчивостью и кошельки с мультиподписью

Обмен с забывчивостью — не то же самое, что простой ончейн-кошелек с мультиподписью.

Для обычного кошелька с мультиподписью, как правило, требуются несколько независимых подписей, которые проверяются скриптом блокчейна или смарт-контрактом.

Кошелек MPC с пороговой подписью может сформировать одну обычную на вид подпись с помощью конфиденциальных офчейн-вычислений.

OT имеет большее отношение к MPC-компоненту конструкции кошелька, чем к простым правилам ончейн-мультиподписи.

Это различие важно, поскольку пользователи часто путают мультиподпись и MPC.

Во многих схемах с мультиподписью политика доступа раскрывается в блокчейне.

MPC может скрыть внутренний процесс распределения ключа и сформировать стандартную подпись.

Обе модели могут повысить безопасность.

У них разные риски, затраты, способы восстановления и компромиссы в отношении прозрачности.

Обмен с забывчивостью — один из инструментов для поддержки конфиденциальных вычислений в системах кошельков на базе MPC.

Обмен с забывчивостью и приватное пересечение множеств

Приватное пересечение множеств (Private Set Intersection, PSI) позволяет двум сторонам найти общие элементы в их наборах данных, не раскрывая остальные сведения из этих наборов.

В материалах презентации NIST по PSI за 2025 год рассматриваются схемы PSI, использующие расширение OT и связанные методы для работы с большими наборами данных.

В криптоиндустрии PSI может быть полезен, когда организациям или протоколам требуется приватно сравнить списки.

Например, две компании могут захотеть выяснить, есть ли в их списках совпадающие рискованные адреса кошельков, не раскрывая полные базы расследований.

Провайдер кошелька может проверить, входит ли адрес пользователя в список риска, не получая доступ ко всему списку.

Команда по комплаенсу может сравнить наборы подозрительных аккаунтов, не передавая данные о других клиентах.

Системы PSI на основе OT помогают решать такие задачи: стороны получают только пересечение или ограниченный результат.

Это может помочь организовать комплаенс и обнаружение мошенничества с учетом конфиденциальности.

Сложность состоит в том, чтобы правильно реализовать протокол и обеспечить ответственное использование результата.

Обмен с забывчивостью и приватное извлечение данных

Приватное извлечение данных (Private Information Retrieval, PIR) позволяет пользователю получить данные из базы, не раскрывая, какую именно запись он запросил.

Обмен с забывчивостью связан с PIR, поскольку оба метода защищают выбор получателя.

В криптоиндустрии идеи, похожие на PIR, могут использоваться для приватных запросов кошелька, приватной индексации блокчейна и конфиденциального поиска в целях комплаенса.

Кошелек может проверять балансы или историю транзакций, не раскрывая серверу все адреса.

Пользователь может запросить проверку адреса в базе рисков, не раскрывая, какой адрес проверяется.

Протокол может позволить пользователям получать данные, не раскрывая подсказки о стратегии или личности.

В зависимости от требований к производительности и конфиденциальности в таких системах могут применяться OT, PIR или другие криптографические инструменты защиты конфиденциальности.

OT подходит не всегда, но относится к тому же семейству методов приватного выбора.

Общая цель — сократить ненужное раскрытие данных.

Это важно, поскольку данные в блокчейне часто и так общедоступны, а утечки конфиденциальной информации во внешних системах могут усугубить проблему.

Обмен с забывчивостью и схемы с запутанными схемами

Запутанные схемы (garbled circuits) — еще один важный метод безопасных вычислений.

Они позволяют сторонам вычислять функцию, не раскрывая все конфиденциальные входные данные.

Обмен с забывчивостью часто используется вместе с запутанными схемами: одной стороне нужно получить метки входных данных, не раскрывая, какое значение входа она имеет.

Для каждого входного бита получателю нужна одна метка из двух возможных.

OT позволяет получателю получить правильную метку, не раскрывая входной бит.

Отправитель не узнает значение входного бита.

Получатель не узнает обе метки.

Это естественный сценарий для обмена с забывчивостью 1 из 2.

В криптоиндустрии запутанные схемы могут применяться в продвинутых протоколах защиты конфиденциальности, системах пороговой подписи и сервисах конфиденциальных вычислений.

OT часто работает незаметно для пользователя, обеспечивая конфиденциальную передачу меток.

Расширение обмена с забывчивостью

Базовый обмен с забывчивостью может быть затратным, если для каждого обмена используется криптография с открытым ключом.

Расширение OT решает эту проблему: небольшое количество затратных базовых обменов используется для создания большого числа более дешевых.

В современных протоколах расширения OT после этапа настройки можно использовать преимущественно операции с симметричными ключами.

В статье IACR More Efficient Oblivious Transfer Extensions with Security for Malicious Adversaries рассматривается эффективное расширение OT и отмечается, что такие протоколы позволяют значительно упростить выполнение большого числа обменов OT.

В статье NDSS Fast Actively Secure OT Extension for Short Secrets OT описывается как фундаментальный примитив, применяемый в MPC, PSI, PIR и подписании контрактов.

Для криптоприложений расширение OT важно, поскольку реальным протоколам могут требоваться тысячи, миллионы и даже больше скрытых выборов.

Использовать медленный протокол с открытым ключом для каждого выбора было бы слишком дорого.

Расширение OT делает конфиденциальные вычисления более реалистичными для производственных систем.

Это одна из причин, по которым исследователи продолжают изучать и совершенствовать OT.

Базовый OT и расширенный OT

Базовый OT — это небольшое начальное количество обменов с забывчивостью, для которых требуются более ресурсоемкие криптографические операции.

Расширенный OT — это большое количество эффективных обменов, создаваемых на основе первоначальной настройки.

Один из распространенных вариантов — сначала выполнить ограниченное число базовых обменов OT.

После этого стороны эффективно создают новые обмены с помощью хеширования, генераторов псевдослучайных чисел и инструментов с симметричными ключами.

По принципу это похоже на использование затратной настройки для создания более дешевого массового процесса.

Это различие важно для производительности.

Протокол, который кажется медленным на базовом уровне, может быстро работать при масштабировании благодаря расширению.

Это различие важно и для безопасности.

Если базовые обмены OT ненадежны, унаследовать эту слабость могут и расширенные обмены.

Оба этапа требуют тщательной разработки и проверки.

Модели безопасности для полуоткровенных и злонамеренных участников

Протоколы обмена с забывчивостью обычно анализируют в рамках разных моделей поведения потенциального злоумышленника.

Полуоткровенный противник соблюдает протокол, но пытается получить дополнительные сведения из переданных данных.

Злонамеренный противник может отклоняться от протокола, чтобы обмануть другую сторону.

В системах, которые защищают реальные активы, обычно требуются более строгие допущения о безопасности, чем в учебных примерах.

Злонамеренный участник может отправлять некорректные сообщения, повторно использовать значения, проводить атаки с выборочным отказом или манипулировать этапами протокола.

Протоколы OT с активной защитой предусматривают проверки для предотвращения или обнаружения такого поведения.

Эти проверки могут увеличить затраты, но в реальных системах часто необходимы.

Для операций с крупными суммами криптовалют недостаточно протокола хранения активов, который безопасен только при добросовестном поведении всех участников.

Модель безопасности должна соответствовать модели угроз.

Если речь идет о средствах или конфиденциальных данных пользователей, обычно необходимы более строгие модели.

Обмен с забывчивостью и доказательства с нулевым разглашением

Обмен с забывчивостью — не то же самое, что доказательство с нулевым разглашением.

Доказательство с нулевым разглашением позволяет одной стороне доказать истинность утверждения, не раскрывая секретное свидетельство, на котором оно основано.

Обмен с забывчивостью позволяет получателю получить выбранную информацию, не раскрывая свой выбор и не узнавая невыбранные данные.

На странице NIST о криптографии для защиты конфиденциальности доказательства с нулевым разглашением, MPC, полностью гомоморфное шифрование, приватное пересечение множеств и приватное извлечение данных перечислены как разные инструменты защиты конфиденциальности.

Оба примитива могут применяться в одной системе.

Например, криптопротокол может использовать MPC и OT для получения конфиденциального результата, а затем доказательство с нулевым разглашением, чтобы подтвердить корректность вычисления.

Важно не считать инструменты защиты конфиденциальности взаимозаменяемыми понятиями.

Каждый из них защищает свою часть процесса.

Для решения конкретной задачи конфиденциальности нужно выбрать подходящий инструмент.

Обмен с забывчивостью и полностью гомоморфное шифрование

Полностью гомоморфное шифрование (Fully Homomorphic Encryption, FHE) позволяет выполнять вычисления над зашифрованными данными, не расшифровывая их предварительно.

Обмен с забывчивостью решает другую задачу.

OT защищает конфиденциальный выбор при взаимодействии сторон.

FHE защищает вычисления над зашифрованными данными.

Оба инструмента могут использоваться в приложениях с защитой конфиденциальности.

Их также можно сочетать в продвинутых системах.

Например, сервис конфиденциальной аналитики может использовать FHE для вычислений над зашифрованными данными, а инструменты на базе OT — для приватного выбора или компонентов MPC.

У этих методов разные компромиссы.

FHE может быть мощным инструментом, но вычислительные затраты на него высоки.

MPC на основе OT может быть быстрым для определенных задач, но может требовать взаимодействия между сторонами.

При проектировании криптосистем нужно учитывать конфиденциальность, скорость, затраты, допущения о доверии и удобство пользователей.

Обмен с забывчивостью и хранение криптоактивов

Безопасность приватных ключей критически важна для хранения криптоактивов.

Если украдут единственный приватный ключ, средства могут быть потеряны.

Хранение на базе MPC снижает этот риск, распределяя полномочия на подпись между несколькими участниками.

Обмен с забывчивостью может помочь участникам проводить конфиденциальные вычисления, не раскрывая свои доли.

Это не означает, что каждый провайдер хранения криптоактивов напрямую предлагает пользователям OT.

Большинство пользователей не видят этого термина при регистрации или подписании транзакций.

Он может использоваться на уровне библиотек протоколов и архитектуры безопасности.

Для команд, отвечающих за хранение активов, важнее понять, проходил ли базовый протокол MPC проверку, тестирование и корректную реализацию.

Пользователям важно знать, предусматривает ли система хранения реальные меры безопасности, процедуры восстановления, аудит и операционные механизмы защиты.

Криптографические примитивы эффективны, но не заменяют качественное управление системой хранения.

Обмен с забывчивостью и восстановление аккаунта

Восстановление аккаунта — одна из областей, где полезны конфиденциальные вычисления.

Кошелек может предлагать восстановление доступа, не предоставляя одной компании полный контроль над средствами пользователя.

Разделение секрета, MPC и протоколы конфиденциальной проверки могут обеспечить более безопасные механизмы восстановления.

Обмен с забывчивостью может применяться в вычислениях для защиты долей восстановления или конфиденциального выбора.

Например, процесс восстановления может проверять конфиденциальную информацию, не раскрывая все данные восстановления каждому участнику.

Это может снизить риск того, что один помощник, устройство или сервер узнает слишком много.

Однако проектировать системы восстановления сложно.

Если восстановление слишком простое, злоумышленники могут воспользоваться этой возможностью.

Если оно слишком строгое, пользователь может навсегда потерять средства.

OT помогает защитить конфиденциальность, но весь процесс восстановления по-прежнему требует тщательной разработки с учетом безопасности.

Обмен с забывчивостью и конфиденциальный комплаенс

Для соблюдения требований в криптоиндустрии часто необходимо проверять адреса, транзакции, личности или индикаторы риска.

При традиционных проверках данные клиентов могут становиться доступными многим сторонам.

Криптография для защиты конфиденциальности помогает ограничить такое раскрытие.

Обмен с забывчивостью может применяться в системах приватного пересечения множеств и приватного поиска.

Регулируемый сервис может проверять, есть ли кошелек в списке риска, не раскрывая поставщику списка все адреса пользователей.

Поставщик данных о рисках может помочь с проверкой, не раскрывая всю свою базу.

Решения на основе OT могут позволить обеим сторонам получить ограниченный результат.

Это помогает выполнять проверки комплаенса, сокращая ненужный обмен данными.

При этом для использования результатов по-прежнему необходимы юридические, операционные и управленческие механизмы контроля.

Технологии конфиденциального комплаенса не должны использоваться для уклонения от законных обязанностей или сокрытия вредоносной деятельности.

Обмен с забывчивостью и децентрализованная идентификация

В системах децентрализованной идентификации часто стремятся подтверждать факты, не раскрывая лишних персональных данных.

В некоторых сценариях работы с учетными данными и выборочным раскрытием информации обмен с забывчивостью может быть полезен.

Пользователю может потребоваться подтвердить право на участие, не раскрывая полный профиль своей личности.

Проверяющей стороне может потребоваться проверить конфиденциальный атрибут, не узнавая другие, не связанные с ним атрибуты.

Эмитент учетных данных может стремиться обеспечить конфиденциальность и одновременно предотвратить мошенничество.

OT может обеспечить скрытый выбор и конфиденциальные вычисления внутри таких систем.

Обычно это не единственный используемый криптографический примитив.

Также могут применяться цифровые подписи, доказательства с нулевым разглашением, обязательства, хеш-функции и MPC.

В системах идентификации следует избегать размещения чувствительных персональных данных непосредственно в публичных блокчейнах.

Криптография для защиты конфиденциальности наиболее полезна, если принцип минимизации данных заложен в систему с самого начала.

Обмен с забывчивостью и приватная торговля

Криптоторговля может раскрывать информацию через ордера, активность кошелька, вызовы API и время транзакций.

Обмен с забывчивостью может применяться в системах, где стороны сопоставляют или оценивают информацию, не раскрывая все конфиденциальные входные данные.

Например, две стороны могут выяснить, совпадают ли их условия сделки, не раскрывая полные торговые стратегии.

Системе приватного аукциона могут потребоваться скрытые ставки и конфиденциальное сопоставление.

Система ликвидности может сопоставлять намерения сторон, не раскрывая каждый ордер всем участникам.

В некоторых таких схемах OT помогает реализовать скрытый выбор.

Однако системам приватной торговли необходимо также учитывать расчеты по сделкам, справедливость, MEV, комплаенс и разрешение споров.

OT защищает одну часть информационного потока.

Сам по себе этот протокол не предотвращает все виды злоупотреблений на рынке и проблемы с исполнением сделок.

Качественная архитектура приватной торговли требует и криптографической защиты, и гарантий, связанных с устройством рынка.

Обмен с забывчивостью и защита от MEV

MEV — это стоимость, извлекаемая за счет влияния на порядок включения транзакций в блок или исключения из него.

Некоторые системы защиты конфиденциальности пытаются снизить MEV, скрывая намерения пользователя до безопасного исполнения транзакции.

Обмен с забывчивостью может использоваться в схемах конфиденциальных вычислений, которые скрывают выбор или логику сопоставления.

Это может затруднить использование информации сторонними наблюдателями до завершения расчетов.

Однако OT не решает проблему MEV полностью.

На MEV также влияют мемпулы, секвенсоры, валидаторы, сборщики блоков, устройство аукционов и структура ликвидности.

Даже при использовании надежной криптографической защиты протокол может раскрывать информацию через время выполнения операций, метаданные или порядок расчетов.

Главный вывод для пользователей криптовалют: защита конфиденциальности должна охватывать весь процесс.

Скрыть один выбор полезно, но остальные этапы обработки транзакции также требуют защиты.

OT может быть одним из компонентов более широкой системы защиты от MEV.

Обмен с забывчивостью и постквантовые исследования

Обмен с забывчивостью остается активным направлением исследований.

В некоторых новых работах изучаются квантово-устойчивые подходы и методы с информационно-теоретической защитой.

В статье 2026 года I-(OT)^2: A Client-optimal Oblivious Transfer Protocol for IoT Devices рассматривается базовый протокол OT, оптимизированный для клиентских устройств с низким энергопотреблением.

В статье 2024 года Supersonic OT OT описывается как фундаментальный протокол, применяемый в безопасных MPC, федеративном обучении и приватном пересечении множеств.

Эти исследования важны для криптоиндустрии, поскольку блокчейны рассчитаны на долгую работу.

Кошельки, инфраструктура хранения активов, системы идентификации и аудиторские записи могут требовать защиты в течение многих лет.

Риск постквантовой криптографии не означает, что все криптосистемы на базе OT уже сейчас уязвимы.

Это означает, что разработчикам следует отслеживать криптографические допущения и планировать переход на новые решения.

В будущих системах защиты конфиденциальности в криптоиндустрии могут применяться варианты OT, более устойчивые к действиям сильных противников.

Угрозы безопасности меняются, и исследования OT продолжаются.

Обмен с забывчивостью и прозрачность блокчейна

Публичные блокчейны по своей конструкции прозрачны.

Часто любой пользователь может видеть транзакции, адреса, вызовы контрактов, балансы и потоки токенов.

Такая прозрачность упрощает аудит, но может вредить конфиденциальности.

Обмен с забывчивостью полезен тем, что позволяет защищать внешние или межсторонние вычисления, которые не должны быть публичными.

Например, кошелек может не раскрывать все адреса, которые он проверяет.

Хранитель активов может не раскрывать все внутренние оценки рисков.

DAO может использовать приватное голосование или приватную проверку соответствия условиям.

Платежный сервис может проверять соблюдение требований, не передавая лишние данные о клиентах.

OT не удаляет публичные записи из блокчейна.

Он помогает сократить утечки конфиденциальных данных на этапах взаимодействия с блокчейном.

Обмен с забывчивостью и смарт-контракты

Большинство протоколов обмена с забывчивостью работают вне блокчейна между сторонами.

Обычно их не выполняют непосредственно в смарт-контрактах, поскольку OT может требовать взаимодействия сторон, обмена криптографическими сообщениями и вычислений, которые дорого обходятся в блокчейне.

Тем не менее смарт-контракты могут входить в систему, использующую OT.

Конфиденциальные вычисления могут выполняться вне блокчейна.

Контракт может проверять итоговую подпись, доказательство, обязательство или результат расчетов.

Такое разделение часто встречается в криптоиндустрии.

Затратные конфиденциальные вычисления выполняются вне блокчейна.

В блокчейне выполняются только минимальная проверка или расчеты.

Это может снизить комиссии и повысить конфиденциальность.

Сложность заключается в том, чтобы доказать добросовестность офчейн-вычислений, достаточную для доверия к результату в блокчейне.

Обмен с забывчивостью и оракулы

Оракулы передают внешние данные в блокчейн-системы.

В некоторых сценариях с оракулами требуется защита конфиденциальности, поскольку данные поставщиков, сведения о пользователях или детали запроса могут быть чувствительными.

Обмен с забывчивостью может обеспечивать приватный выбор данных или конфиденциальные вычисления с использованием входных данных оракула.

Например, пользователь может запросить один элемент данных, не раскрывая запрос поставщику данных.

Протокол может вычислить результат на основе нескольких источников данных, не раскрывая исходные данные каждого источника.

Это может быть полезно для приватной оценки рисков, приватного ценообразования или конфиденциальной аналитики.

Однако защита конфиденциальности оракулов — не только задача для OT.

Она также включает проверку подлинности данных, своевременность их получения, устойчивость к манипуляциям, контроль доступа и возможность аудита.

OT может скрыть выбор, но система оракулов все равно должна предоставлять корректные данные.

Одной конфиденциальности без корректности недостаточно.

Свойства безопасности обмена с забывчивостью

Обмен с забывчивостью должен обеспечивать конфиденциальность выбора получателя.

Это означает, что отправитель не должен узнавать, какое сообщение выбрал получатель.

Кроме того, протокол должен обеспечивать конфиденциальность данных отправителя.

Это означает, что получатель не должен узнавать больше сообщений, чем ему разрешено.

Протокол должен также гарантировать корректность.

Корректность означает, что при соблюдении правил обеими сторонами получатель получает выбранное сообщение.

Некоторым системам также требуется защита от злонамеренного поведения.

Защита от злонамеренных действий означает, что протокол остается безопасным, даже если одна из сторон пытается обмануть другую.

Реальным криптосистемам также могут понадобиться справедливость, журналы аудита, защита от отказа в обслуживании и безопасная обработка аварийного прекращения операции.

Перед реализацией необходимо четко определить требуемые свойства безопасности.

Риски реализации

Обмен с забывчивостью легко объяснить, но его сложно безопасно реализовать.

Ненадежный генератор случайных чисел может нарушить конфиденциальность.

Слабая базовая реализация OT может поставить под угрозу множество расширенных обменов.

Отсутствие проверки согласованности может позволить злонамеренной стороне обмануть другую.

Утечка по побочному каналу может раскрыть выбор получателя.

Разница во времени выполнения может показать, какая ветвь протокола была выбрана.

Повторное использование исходного значения может приводить к повторяющимся шаблонам.

Небезопасная библиотека может раскрыть сообщения протокола или секреты.

Неосторожно сформулированная ошибка может показать, какой вариант не прошел проверку.

Эти риски важны, поскольку OT часто используется внутри более крупных систем, которым пользователи доверяют средства или чувствительные данные.

В производственных системах следует использовать проверенные библиотеки и формальные спецификации протокола, а не самодельные упрощенные решения.

Обмен с забывчивостью и побочные каналы

Побочный канал — это утечка, возникающая вне основной математической модели.

Например, протокол может быть математически безопасным, но раскрывать информацию через время выполнения, обращения к памяти, энергопотребление, журналы, размер сетевых пакетов или обработку ошибок.

При обмене с забывчивостью побочные каналы могут раскрыть выбор получателя или скрытые сообщения отправителя.

Это особенно важно для аппаратных кошельков, мобильных устройств, серверов и облачных систем.

Реализация с постоянным временем выполнения может снизить некоторые утечки по времени.

Тщательное дополнение сообщений до заданной длины может уменьшить утечки через размер сетевых пакетов.

Безопасное ведение журналов позволяет не записывать конфиденциальные данные протокола в файлы.

Надежное управление памятью помогает снизить риск раскрытия секретов после выполнения операции.

Защиту от побочных каналов следует учитывать в плане реализации с самого начала.

Криптография не обеспечивает безопасность, если система раскрывает секреты в обход математических механизмов.

Обмен с забывчивостью и допущения о доверии

Каждая система обмена с забывчивостью опирается на определенные допущения.

Некоторые протоколы полагаются на вычислительную сложность задач с открытым ключом.

Некоторые используют случайные оракулы или хеш-функции.

Некоторые предполагают наличие доверенной начальной настройки.

Некоторые опираются на допущения, связанные с оборудованием или сетью.

Одни протоколы рассчитаны на полуоткровенных противников.

Другие рассчитаны на злонамеренных противников.

Разработчикам криптосистем следует четко документировать такие допущения.

Пользователям не обязательно понимать каждое доказательство, но операторы систем должны знать, какие гарантии дает протокол и чего он не гарантирует.

Протокол, безопасный в одной среде, может быть небезопасен в другой.

Преимущества обмена с забывчивостью

Первое преимущество обмена с забывчивостью — конфиденциальный выбор.

Получатель может выбрать данные, не раскрывая свой выбор.

Второе преимущество — ограниченное раскрытие информации.

Получатель должен узнавать только выбранные данные, но не остальные.

Третье преимущество — возможность включения в другие системы.

OT может служить строительным блоком для более крупных систем MPC и защиты конфиденциальности.

Четвертое преимущество — практическое масштабирование благодаря расширению OT.

После небольшого этапа настройки можно эффективно создавать множество обменов.

Пятое преимущество — актуальность для криптоиндустрии.

OT может поддерживать конфиденциальное хранение активов, комплаенс, сопоставление и вычисления.

Шестое преимущество — гибкость.

OT можно адаптировать для разных вариантов, таких как обмен 1 из 2, 1 из n, коррелированный OT, случайный OT и OT с выбранным сообщением.

Ограничения обмена с забывчивостью

Первое ограничение — сложность.

Протоколы OT трудно реализовать правильно.

Второе ограничение — необходимость взаимодействия.

Во многих схемах OT стороны должны обмениваться сообщениями.

Третье ограничение — производительность.

Без расширения базовый OT может быть затратным.

Четвертое ограничение — зависимость от модели угроз.

Протокол, безопасный против полуоткровенного поведения, может не выдержать злонамеренных действий.

Пятое ограничение — риск интеграции.

OT может быть безопасным сам по себе, но стать небезопасным при неудачном сочетании с кошельками, смарт-контрактами, API или процессами хранения активов.

Шестое ограничение — незаметность для пользователей.

Конечные пользователи могут не знать, насколько качественно реализован протокол, поскольку OT часто работает на глубоком инфраструктурном уровне.

Седьмое ограничение — OT не решает все проблемы конфиденциальности.

Он защищает определенный поток выбранной информации, но не метаданные, безопасность конечных устройств, юридические риски или ошибки пользователей.

Распространенные заблуждения об обмене с забывчивостью

Распространенное заблуждение — считать, что обмен с забывчивостью означает передачу данных без каких-либо средств защиты.

На самом деле OT — это точный криптографический протокол с четко определенными целями защиты конфиденциальности.

Другое заблуждение — полагать, что OT скрывает всё от всех.

OT скрывает выбор получателя от отправителя и не позволяет получателю узнать невыбранные сообщения.

Третье заблуждение — считать OT разновидностью шифрования.

Шифрование защищает содержимое сообщения, а OT — процесс конфиденциального выбора между сторонами.

Четвертое заблуждение — считать OT тем же самым, что доказательство с нулевым разглашением.

Это разные инструменты защиты конфиденциальности с разными задачами.

Пятое заблуждение — думать, что одного OT достаточно для безопасности криптокошелька.

Для безопасности кошелька также необходимы надежное управление ключами, защита устройств, механизм восстановления, контроль политик и защита пользователей.

Рекомендации разработчикам

Используйте проверенные библиотеки OT и опубликованные протоколы, а не создавайте собственную схему.

Перед реализацией выберите модель безопасности.

Если стороны могут пытаться обмануть друг друга, используйте протоколы с защитой от злонамеренных действий.

Надежно защищайте случайные значения, исходные данные и материалы базового OT.

Если нужно много обменов, используйте расширение OT.

Проверяйте поведение протокола при сетевых сбоях, аварийном завершении, повторных запросах и получении злонамеренных сообщений.

Защищайте систему от утечек через время выполнения, журналы и память.

Документируйте, использует ли протокол базовый OT, расширение OT, коррелированный OT, случайный OT или другой вариант.

По возможности отделяйте код реализации от логики пользовательского интерфейса.

Перед использованием OT для защиты средств или чувствительных данных пользователей проведите независимую криптографическую проверку.

Рекомендации криптокомпаниям

Уточняйте у поставщиков, прошли ли системы MPC и конфиденциальных вычислений независимую проверку безопасности.

Узнайте, какую модель угроз поддерживает протокол.

Проверьте, защищает ли система от злоумышленников внутри организации и скомпрометированных серверов.

Изучите процедуры восстановления: при плохом проектировании конфиденциальные вычисления могут нарушить этот процесс.

Отслеживайте доступность протокола, поскольку сбои сети могут нарушить работу интерактивных систем.

Установите строгий контроль доступа к серверам протокола и устройствам для подписи.

Ведите журналы аудита, не сохраняя в них конфиденциальные секреты протокола.

Убедитесь, что функции защиты конфиденциальности не противоречат требованиям к хранению юридически значимых записей.

Обучите инженерные, службы безопасности и комплаенса тому, что именно защищает протокол.

Не рассматривайте передовую криптографию как замену управлению операционными рисками.

Рекомендации пользователям криптовалют

Помните, что обмен с забывчивостью обычно работает незаметно для пользователя.

Не считайте кошелек безопасным только потому, что в нем используются MPC или технологии защиты конфиденциальности.

Ищите четкие объяснения модели хранения активов, процесса восстановления, аудита и контроля со стороны пользователя.

Пользуйтесь кошельками и сервисами с подробной документацией по безопасности.

Защищайте устройства, ключи доступа, доли восстановления и средства аутентификации.

Перед подписанием проверяйте сведения о транзакции.

Не сообщайте данные для восстановления тем, кто представляется службой поддержки.

Для крупных балансов при необходимости используйте аппаратную защиту или мультиподпись.

Помните, что криптографическая защита конфиденциальности не предотвращает фишинг и социальную инженерию.

Проверяйте заявления о конфиденциальности, а не принимайте их на веру.

Когда полезен обмен с забывчивостью

Обмен с забывчивостью полезен, когда одна сторона должна конфиденциально выбрать данные у другой стороны.

Он подходит для протоколов, которым нужны скрытые двоичные выборы в рамках безопасных вычислений.

Он полезен в системах MPC, защищающих доли для подписи кошелька.

Он подходит для приватного пересечения конфиденциальных наборов данных.

Он полезен для приватных запросов к базам данных и схем приватного извлечения данных.

Он применяется в запутанных схемах и других методах безопасных вычислений.

Он полезен для проверок комплаенса с сохранением конфиденциальности.

Он может применяться для конфиденциального сопоставления, приватной проверки личности и продвинутых процессов хранения активов.

Он менее полезен, если достаточно простой публичной транзакции или обычного шифрования.

Его опасно использовать без четкой модели угроз и экспертной проверки.

Обмен с забывчивостью: кратко

Обмен с забывчивостью — это криптографический протокол, который позволяет получателю конфиденциально получить одно выбранное сообщение от отправителя, скрывая выбор получателя и не позволяя ему узнать невыбранные сообщения.

FAQ

Что означает «обмен с забывчивостью»?

Это криптографический обмен, при котором получатель узнает одно выбранное сообщение, отправитель не знает, что выбрал получатель, а получатель не узнает остальные сообщения.

Что такое обмен с забывчивостью 1 из 2?

Это схема, в которой у отправителя есть два сообщения, а получатель конфиденциально выбирает одно из них.

Почему обмен с забывчивостью важен для криптоиндустрии?

Он поддерживает вычисления с сохранением конфиденциальности, кошельки MPC, приватное пересечение множеств, конфиденциальное сопоставление и безопасную инфраструктуру хранения активов.

Обмен с забывчивостью — это то же самое, что шифрование?

Нет. Шифрование защищает содержимое сообщения, а обмен с забывчивостью — процесс конфиденциального выбора между сторонами.

Обмен с забывчивостью — это то же самое, что доказательство с нулевым разглашением?

Нет. Доказательство с нулевым разглашением подтверждает истинность утверждения без раскрытия свидетельства, а обмен с забывчивостью позволяет получателю конфиденциально выбрать одно сообщение у отправителя.

Что такое расширение OT?

Расширение OT — это метод, который позволяет использовать небольшое число затратных базовых обменов для создания множества эффективных обменов с забывчивостью.

Как обмен с забывчивостью помогает MPC?

Он позволяет участникам MPC обмениваться скрытыми вариантами выбора и промежуточными значениями, не раскрывая конфиденциальные входные данные.

Можно ли использовать обмен с забывчивостью в кошельках?

Да. Он может применяться внутри протоколов MPC и пороговой подписи, используемых в продвинутых системах кошельков и хранения активов.

Обмен с забывчивостью выполняется в блокчейне?

Большинство протоколов OT работают вне блокчейна, а блокчейн может проверять итоговую подпись, доказательство, обязательство или результат расчетов.

Может ли обмен с забывчивостью защитить от всех утечек конфиденциальной информации?

Нет. OT защищает конфиденциальность конкретного выбора сообщения, но сведения могут утекать через метаданные, время выполнения, конечные устройства, журналы и поведение пользователей.

Какой самый серьезный риск связан с обменом с забывчивостью?

Главный риск — некачественная реализация, в частности слабая генерация случайных значений, отсутствие проверок на злонамеренные действия, утечки через побочные каналы или небезопасное объединение протоколов.

Стоит ли обычным пользователям криптовалют самостоятельно реализовывать обмен с забывчивостью?

Нет. Обычным пользователям следует полагаться на тщательно проверенные кошельки и протоколы, а не пытаться самостоятельно реализовать OT.

Заключение

Обмен с забывчивостью — один из важнейших скрытых строительных блоков современной криптографии для защиты конфиденциальности.

Основные гарантии протокола легко сформулировать.

Получатель получает выбранное им сообщение.

Отправитель не узнает выбор получателя.

Получатель не узнает сообщения, которые он не выбрал.

Эта простая схема защиты конфиденциальности становится мощным инструментом, если многократно применяется в более крупных системах.

Для криптоиндустрии обмен с забывчивостью важен, поскольку системам цифровых активов все чаще нужна конфиденциальность без ущерба для корректности.

Кошельки должны подписывать транзакции, не раскрывая полные приватные ключи.

Системы хранения активов должны распределять доверие между несколькими сторонами.

Системам комплаенса необходимо сравнивать конфиденциальные данные, не раскрывая лишнюю информацию о пользователях.

Торговым системам и системам сопоставления необходимо сокращать утечки информации.

Системам идентификации нужно проверять факты, не раскрывая полные профили пользователей.

В MPC, PSI, приватном извлечении данных, запутанных схемах и пороговой подписи могут использоваться OT или связанные с ним методы.

Расширение OT повышает практическую применимость протокола: небольшая начальная настройка позволяет создать множество эффективных обменов.

Эта эффективность — одна из причин, по которым обмен с забывчивостью продолжает применяться в исследованиях и практической криптографии.

Однако OT — не магическое решение.

Он не заменяет шифрование, доказательства с нулевым разглашением, безопасные кошельки, грамотную политику, соблюдение законодательства или операционные механизмы контроля.

Он также не защищает от всех утечек метаданных, компрометации устройств, фишинговых атак и ошибок пользователей.

Как и любую передовую криптографию, обмен с забывчивостью необходимо тщательно реализовывать и использовать в подходящем контексте.

К основным рискам относятся слабые случайные значения, некачественная модель угроз, использование протоколов для полуоткровенных участников в условиях злонамеренного поведения, небезопасное расширение OT, утечки через побочные каналы и неудачная интеграция с остальной системой.

Разработчикам безопаснее использовать проверенные протоколы, надежные библиотеки, четкие модели безопасности и экспертный аудит.

Криптокомпаниям важно понимать, от каких именно угроз защищают их поставщики MPC, систем хранения активов или технологий конфиденциальности.

Пользователям следует помнить, что передовая криптография полезна, но не отменяет необходимости защищать устройства, внимательно подписывать транзакции и пользоваться надежными способами восстановления доступа.

В большинстве интерфейсов кошельков обмен с забывчивостью не виден.

Он незаметно работает внутри систем, которым необходимо конфиденциальное взаимодействие.

Именно эта незаметная роль и делает его важным.

Он помогает криптоиндустрии перейти от транзакций, которые по умолчанию прозрачны, к системам, способным выполнять вычисления, проводить проверки и координировать действия, раскрывая только необходимую информацию.