Monero CLSAG İmzaları Nasıl Çalışır?

17 Ekim 2020 tarihinde, 2.210.720 numaralı blokta Monero, her bir işlemin arkasındaki kriptografik motoru sessiz sedasız değiştirdi. "Oxygen Orion" sert çatallaması (hard fork), eski MLSAG halka imzasını emekliye ayırdı ve yerine CLSAG'ı getirdi. Sonuç bir gecede ortaya çıktı: yaklaşık %25 daha küçük işlemler ve %10–20 daha hızlı doğrulama. Eğer hayatınızda bir kez bile XMR gönderdiyseniz ya da MoneroSwapper gibi bir hizmet üzerinden Bitcoin'inizi Monero'ya çevirdiyseniz, işleminiz siz hiç farkına bile varmadan bir CLSAG imzasıyla korunmuştu.

İnsanların çoğu Monero'nun gizliliğini bir kara kutu gibi görür: paralar içeri girer, izlenemeyen paralar dışarı çıkar. Oysa kimin neyi gönderdiğini saklayan bu sihrin bir adı ve bir yapısı var. CLSAG tam olarak şunu yapmanızı sağlayan parçadır: "Bu çıktılardan birinin sahibiyim ve onu tam olarak bir kez harcıyorum" demeyi — ama hangi çıktının size ait olduğunu açık etmeden. Bu yazıda CLSAG'ın ne olduğunu, nasıl çalıştığını, neden selefinin yerini aldığını ve FCMP++ gibi yeni ispatlar ağa yaklaşırken Monero'nun yol haritasındaki yerini adım adım inceleyeceğiz.

CLSAG Kısaltması Aslında Neyin Adı?

CLSAG bir kısaltmadır ve her harfi şemanın gerçek bir özelliğini anlatır. Açılımı Concise Linkable Spontaneous Anonymous Group (Özlü, Bağlanabilir, Kendiliğinden, Anonim, Grup) imzalarıdır. Tasarım, Brandon Goodell, Sarang Noether ve RandomRun takma adıyla tanınan bir katkı sağlayıcının 2019 tarihli araştırma makalesinden çıktı; ana ağa ulaşmadan önce de hakem değerlendirmesinden geçti ve denetlendi.

• Concise (Özlü): imza derli topludur. Bir CLSAG, yerini aldığı şemaya göre her halka üyesi başına çok daha az skaler üretir; boyuttan kazanılan tasarrufun kaynağı da tam olarak budur.
• Linkable (Bağlanabilir): aynı çıktı iki kez harcanırsa ağ bunu tespit edebilir. Bu, anahtar imgesi (key image) sayesinde yapılır; anahtar imgesi, harcayanı ifşa etmeden çifte harcamayı önleyen belirlenimci (deterministik) bir parmak izidir.
• Spontaneous (Kendiliğinden): hiçbir kurulum töreni ve halkanızda çıktıları görünen kişiler arasında hiçbir işbirliği gerekmez. Tuzak çıktıları (decoy) blok zincirinden, sahiplerinin haberi ya da onayı olmadan çekebilirsiniz.
• Anonymous (Anonim): bir doğrulayıcı imzanın geçerli olduğunu onaylayabilir, ancak halka üyelerinden hangisinin imzayı gerçekten yetkilendirdiğini söyleyemez.
• Group (Grup): imza, kimliği belirlenebilir tek bir anahtar adına değil, bir grup — yani halka — adına atılır.

Bu özellikleri bir araya getirdiğinizde Monero'nun gönderen gizliliğinin çekirdeğini elde edersiniz: makul adaylardan oluşan bir kümede birinin yetkilendirdiğini kanıtlayan geçerli bir imza — gerçek imzalayanı gizli tutarken çifte harcamayı da imkânsız kılan bir imza.

CLSAG Perde Arkasında Nasıl İşler?

CLSAG'ı anlamak için önce bir halka imzasının neyi başarmaya çalıştığını kavramanız, ardından CLSAG'ın ispatı nasıl küçülttüğünü görmeniz gerekir. Monero işlemleri RingCT kullanır ve RingCT'nin gizli tutması gereken iki şeyi birleştirir: kimin harcadığı (gönderen belirsizliği) ve ne kadar harcadığı (tutar gizliliği). CLSAG bunun ilk yarısını üstlenir. İkinci yarısını ise Bulletproofs+ halleder.

Halka imzası problemi

Bir Monero çıktısını harcadığınızda cüzdanınız bir halka oluşturur: gerçek çıktınız artı zincirden çekilen bir miktar tuzak çıktı. Ağustos 2022'deki "Fluorine Fermi" yükseltmesinden bu yana halka boyutu 16'da sabitlenmiştir; yani her harcama 15 tuzağın arasına gizlenir. Dışarıdan bakan bir gözlemci 16 aday çıktı görür ve hangisinin gerçekten harcandığını ayırt edemez.

Buradaki zorluk, "bu 16 çıktıdan birinin özel anahtarını kontrol ediyorum" iddiasını hangisi olduğunu sızdırmadan kanıtlayacak şekilde imza atmaktır. İşte bir halka imzası tam olarak bunu yapar. Hile, yalnızca imzalayan kişi tek bir gerçek özel anahtarı bildiğinde kapanan bir kriptografik meydan okuma döngüsü kurmaktır; oysa dışarıdan her halka aynı görünür.

Anahtar imgeleri ve çifte harcamaya karşı koruma

Gizli bir harcayanla gelen tehlike çifte harcamadır: hangi çıktıyı harcadığınızı kimse göremiyorsa, sizi aynı çıktıyı tekrar harcamaktan ne alıkoyar? Cevap anahtar imgesidir. Her çıktının tam olarak tek bir geçerli anahtar imgesi vardır; bu imge, özel anahtarın açık anahtarın bir "noktaya özetlenmesiyle" (hash-to-point) çarpımı olarak hesaplanır. Matematiksel olarak çıktıya bağlıdır, ancak onu hangi halka üyesinin ürettiği konusunda hiçbir şey ele vermez.

Şimdiye kadar kullanılmış her anahtar imgesi zincir üzerinde kayıtlıdır. Yeni bir işlem geldiğinde düğümler (node), o işlemin anahtar imgesinin daha önce ortaya çıkıp çıkmadığını kontrol eder. Çıkmışsa işlem çifte harcama olarak reddedilir. Monero'nun gizli gönderen modelini güvenli kılan şey budur — yani CLSAG'daki "L" harfinin temsil ettiği bağlanabilirlik özelliği.

Toplama imzayı nasıl küçültür

İşte CLSAG'ın neden "özlü" olduğunun kalbi burada. Bir RingCT işleminde her halka üyesi iki açık anahtarla ilişkilidir: tek seferlik çıktı anahtarı (sahipliği kanıtlar) ve tutar taahhüdü (girdi ile çıktı değerlerinin dengelendiğini kanıtlar). Önceki şema olan MLSAG, bu iki anahtarın üzerinde ayrı ayrı imza atıyor ve her halka üyesi için iki yanıt skaleri üretiyordu.

CLSAG ise bunu tek bir halkada birleştirir. Toplama katsayıları (aggregation coefficients) kullanır — bunlar halkanın ve taahhütlerinin özetlenmesiyle belirlenimci biçimde türetilir — ve iki anahtarı tek bir birleşik doğrulama denklemine katlar. Sonuç: her halka üyesi başına iki yerine tek bir yanıt skaleri, artı tek bir başlangıç meydan okuması ve anahtar imgesi.

11 üyeli bir halka için MLSAG, girdi başına yaklaşık 22 yanıt skalerine ihtiyaç duyuyordu; CLSAG ise kabaca 12 ile yetiniyor. İki girdili tipik bir işlemin boyutunu yaklaşık dörtte bir oranında kısaltan tek değişiklik işte budur.

Kritik olan şu: güvenlik ispatı, bu toplamanın hiçbir şeyi zayıflatmadığını gösteriyor. CLSAG, halkadaki anahtarlardan bazılarını seçebilen bir saldırgana karşı bile, öncekiyle aynı varsayımlar altında sahtelenemez ve anonim kalır. Yani gizlilikten ya da güvenlikten ödün vermeden daha küçük ve daha hızlı bir imza elde edersiniz — kriptografide nadiren rastlanan, her açıdan kazançlı bir sonuç.

CLSAG ve MLSAG Karşılaştırması: Neler Değişti?

MLSAG (Multilayered Linkable Spontaneous Anonymous Group, yani Çok Katmanlı Bağlanabilir Kendiliğinden Anonim Grup imzaları), Ocak 2017'deki lansmanından 2020 çatallamasına kadar RingCT'ye güç verdi. CLSAG, aynı güven modelini koruyup fazlalıkları kırpan, doğrudan ve yerine takılabilen bir alternatiftir. Aşağıdaki tablo pratikteki farkları özetliyor.

Daha küçük imzalar yalnızca estetik açıdan önemli değildir. Daha düşük işlem ağırlığı; daha düşük komisyon, daha az blok zinciri şişkinliği ve düğümler için daha hızlı senkronizasyon süreleri anlamına gelir. Her Monero işlemi yapısal olarak aynı göründüğünden, bu tasarruflar ağın tamamında katlanarak birikir ve değiştirilebilirliği (fungibility) artırır — hiçbir işlem geçmişine bakılarak daha ucuz veya daha pahalı diye öne çıkmaz.

CLSAG Bir Monero İşleminin Neresinde Durur?

CLSAG asla tek başına çalışmaz. Gizli adresler (stealth address), tutar taahhütleri ve aralık ispatlarının (range proof) yanında bir RingCT işleminin yalnızca bir bileşenidir. Aşağıda bir harcamanın basitleştirilmiş yaşam döngüsü var: cüzdanınızın göndermeye karar verdiği andan, bir düğümün işlemi kabul ettiği ana kadar.

1. Tuzakları seç: cüzdan, gerçek harcama desenlerini taklit eden bir gama dağılımı kullanarak zincirden 15 tuzak çıktı seçer, ardından gerçek çıktınızı ekleyip 16 üyeli bir halka oluşturur.
2. Taahhütleri oluştur: girdi ve çıktı tutarları Pedersen taahhütlerinin arkasına gizlenir ve bir sözde-çıktı (pseudo-output) taahhüdü üretilir; böylece doğrulayıcı değerleri görmeden girdilerin çıktılara eşit olduğunu onaylayabilir.
3. Anahtar imgesini hesapla: cüzdan, harcanan çıktı için anahtar imgesini türetir; ağ daha sonra bunu harcanmış-anahtar-imgesi kümesine karşı kontrol edecektir.
4. CLSAG ile imzala: cüzdan, tek seferlik anahtarlar ve taahhüt anahtarlarından oluşan halka üzerinde tek ve toplanmış bir halka imzası üretir; kriptografik döngü yalnızca tek bir gerçek özel anahtarı elinde tuttuğu için kapanır.
5. Aralık ispatlarını ekle: Bulletproofs+, her çıktı tutarının geçerli bir aralıkta olduğunu kanıtlar; böylece kimse negatif bir çıktıyla yoktan para yaratamaz.
6. Yayınla ve doğrula: işlem, kaynak IP'sini gizlemek için Dandelion++ üzerinden yayılır; düğümler de aktarmadan önce CLSAG imzasını, taahhütleri, aralık ispatlarını ve anahtar imgesinin benzersizliğini doğrular.

İpucu: Bunların hiçbirini siz yapılandırmazsınız. Halka boyutu, tuzak seçimi ve imza şeması tamamen uzlaşı (consensus) ile dayatılır; bu yüzden aynı ağ sürümündeki iki cüzdan birbirinden ayırt edilemeyen işlemler üretir.

Gerçek Hayattan Bir Örnek

Diyelim ki MoneroSwapper üzerinden 0,5 BTC'yi XMR'ye çevirdiniz ve daha sonra bu Monero'nun bir kısmını bir donanım cüzdanına gönderdiniz. "Gönder" düğmesine bastığınız anda cüzdanınız 16 çıktıdan oluşan bir halka kurar. Gerçek çıktınız oradadır, ama yanında katılmayı asla kabul etmemiş ve katıldıklarını asla bilmeyecek 15 alakasız başka kullanıcının çıktısı da vardır.

Cüzdanınızın ürettiği CLSAG imzası, dünyadaki her düğüme bu 16'dan birini yasal olarak kontrol ettiğinizi kanıtlar — hangisi olduğunu söylemeden. Zinciri izleyen bir borsa, bir blok zinciri analiz şirketi ya da meraklı bir gözlemci, 16 eşit derecede makul kaynağa sahip geçerli bir işlem görür. Gerçek olanı güvenilir biçimde ayıklayacak hiçbir sezgisel yöntem (heuristic) yoktur; ki bütün mesele de zaten budur.

Bunu Bitcoin gibi şeffaf bir zincirle kıyaslayın: orada harcanan tam girdi herkese açıktır. Bitcoin'de o 0,5 BTC, kalıcı ve izlenebilir bir geçmiş taşır. Monero'da ise CLSAG, bağlantıyı her sıçramada koparır; gizliliğe önem veren kullanıcıların değeri en başta neden Monero üzerinden yönlendirdiğinin sebebi de tam olarak budur.

İleriye Bakış: FCMP++ ve Seraphis

CLSAG mükemmel bir çözüm, ama yapısal bir tavanı var: anonimlik kümesi halka boyutuyla sınırlıdır. 16 üyeyle, gerçek harcamanız 15 tuzağın arasına gizlenir — güçlü, ama sonlu. Monero'nun araştırma topluluğu yıllardır çok daha büyük bir şey inşa ediyor.

FCMP++ (Full-Chain Membership Proofs, yani Tam Zincir Üyelik İspatları) planlanan halefidir. FCMP++, 16 çıktının arasına gizlenmek yerine, zincirde şimdiye kadar var olmuş her çıktıya karşı üyelik kanıtlar — yani 16 değil, on milyonlarca büyüklüğünde bir anonimlik kümesi. Geliştirme ve denetim 2025 boyunca istikrarla ilerledi; yükseltme gelecekteki bir sert çatallama için hedefleniyor. Devreye girdiğinde, CLSAG da dahil olmak üzere bildiğimiz haliyle halka imzaları emekliye ayrılacak.

FCMP++'ın yanında, Monero çıktılarının nasıl oluşturulup adreslendiğini birlikte modernleştiren Seraphis işlem protokolü ve Jamtis adresleme şeması yer alıyor. Buradan çıkarılacak ders, CLSAG'ın modasının geçtiği değil — CLSAG ağı şu anda koruyor ve bir süre daha koruyacak — Monero'nun gizlilik garantilerini iyileştirmeyi asla bırakmadığıdır. CLSAG'ın kendisi de MLSAG'ın halefiydi ve döngü devam ediyor.

Sıkça Sorulan Sorular

CLSAG neyin kısaltmasıdır?

CLSAG, Concise Linkable Spontaneous Anonymous Group (Özlü Bağlanabilir Kendiliğinden Anonim Grup) imzalarının kısaltmasıdır. Her kelime bir özelliği anlatır: imza derli topludur, çifte harcamalar tespit edilebilir, halka üyeleri arasında hiçbir koordinasyon gerekmez, gerçek imzalayan gizlidir ve ispat kimliği belirlenebilir tek bir anahtar yerine bir grup adına yapılır.

Monero CLSAG'ı ne zaman kullanmaya başladı?

CLSAG, 17 Ekim 2020 tarihinde, 2.210.720 blok yüksekliğinde gerçekleşen "Oxygen Orion" sert çatallaması sırasında Monero ana ağında devreye girdi. Ocak 2017'den beri RingCT işlemlerini koruyan MLSAG'ın yerini aldı.

CLSAG Monero işlemlerini ne kadar küçülttü?

İki girdili tipik bir işlem yaklaşık %25 oranında küçüldü ve doğrulama yaklaşık %10–20 daha hızlı hale geldi. Tasarruf, her halka üyesi başına iki yanıt skalerini bire indirmekten geliyor; bu da hem zincirde saklanan veriyi hem de düğümlerin doğrulama için yaptığı işi azaltıyor.

CLSAG, Monero'nun gizliliğini veya güvenliğini zayıflatır mı?

Hayır. CLSAG, MLSAG ile aynı gönderen belirsizliğini ve çifte harcama korumasını sağlar. Güvenliği resmî olarak ispatlandı ve bağımsız biçimde denetlendi; buna, bir saldırganın halkadaki anahtarlardan bazılarını kontrol ettiği saldırılara karşı direnç de dahildir. CLSAG, kesinlikle aynı garantilerin daha verimli bir sürümüdür.

CLSAG'ın yerine başka bir şey gelecek mi?

Eninde sonunda evet. FCMP++ (Full-Chain Membership Proofs) yükseltmesi, halka imzalarının yerini tamamen almak ve anonimlik kümesini 16 halka üyesinden tüm blok zincirine genişletmek üzere tasarlandı. 2025 boyunca aktif geliştirme ve denetim aşamasındaydı ve gelecekteki bir sert çatallama hedefleniyordu; ama o zamana kadar ağı CLSAG koruyor.

Sonuç

CLSAG, iyi kriptografinin hem görünmez hem de etkili olabileceğini kanıtlayan o yükseltmelerden biridir. Coin'i tanımlayan gönderen gizliliğini ve çifte harcama korumasını koruyarak — üstelik kullanıcıların parmağını bile kıpırdatmasına gerek kalmadan — her Monero işlemini daha küçük, daha ucuz ve doğrulaması daha hızlı hale getirdi. CLSAG'ı anlamak, "izlenemez" kelimesinin gerçekte ne anlama geldiğini de açıklığa kavuşturur: sihir değil, üzerine bir anahtar imgesi cıvatalanmış, özenle kurulmuş bir halka imzası.

Bu gizliliği iş başında görmek istiyorsanız, en kolay yol kimliğinizi en baştan teslim etmeden Monero edinmektir. MoneroSwapper üzerinden hesap açmadan ve KYC olmadan anonim olarak Monero satın alabilirsiniz; aldığınız her çıktı, harcadığınız anda burada anlatılan aynı CLSAG imzalarıyla korunacaktır.