Key Images in Monero: Der Mechanismus, der Doppelausgaben verhindert

Das Double-Spend-Problem bei Privacy Coins

Jede Kryptowährung muss das Double-Spend-Problem lösen: Sicherstellen, dass dieselbe Münze nicht zweimal ausgegeben werden kann. In transparenten Blockchains wie Bitcoin ist dies unkompliziert. Jede Transaktionseingabe verweist auf eine bestimmte nicht ausgegebene Transaktionsausgabe, und das gesamte Netzwerk kann überprüfen, ob diese Ausgabe zuvor noch nicht verbraucht wurde. Das Hauptbuch ist ein offenes Buch. Jeder kann die Eigentumskette von einer Transaktion zur nächsten verfolgen und bestätigen, dass die Guthaben legitim sind.

Monero steht vor einer grundsätzlich schwierigeren Version dieses Problems. Da Monero den Absender, den Empfänger und den Betrag jeder Transaktion verbirgt, kann das Netzwerk nicht einfach nachschauen, ob eine bestimmte Ausgabe ausgegeben wurde. Ringsignaturen verschleiern, welche Ausgabe tatsächlich konsumiert wird, indem sie sie mit Täuschmitteln vermischen, und Stealth-Adressen stellen sicher, dass Ausgaben nicht mit ihren Empfängern verknüpft werden können. Wenn die Blockchain nicht erkennen kann, welche spezifische Ausgabe ausgegeben wird, wie kann sie dann verhindern, dass jemand dieselbe Ausgabe zweimal ausgibt?

Die Antwort liegt in einem der elegantesten kryptografischen Mechanismen von Monero: Schlüsselbildern. Schlüsselbilder bieten eine mathematische Garantie dafür, dass jede Ausgabe nur einmal ausgegeben werden kann, ohne offenzulegen, welche Ausgabe ausgegeben wird. Sie bilden die Brücke zwischen der absoluten Privatsphäre von Monero und der für ein funktionierendes Währungssystem erforderlichen Integrität.

Was ist ein Schlüsselbild?

Ein Schlüsselbild ist ein einzigartiger kryptografischer Marker, der jedes Mal generiert und veröffentlicht wird, wenn eine Monero-Ausgabe in einer Transaktion ausgegeben wird. Technisch gesehen ist ein Schlüsselbild ein Punkt auf einer elliptischen Kurve, der deterministisch aus dem einmaligen privaten Schlüssel abgeleitet wird, der einer bestimmten Ausgabe zugeordnet ist. Die kritischen Eigenschaften eines Schlüsselbildes sind wie folgt:

• Einzigartigkeit- Jeder Ausgang erzeugt genau ein Schlüsselbild. Zwei unterschiedliche Ausgaben erzeugen immer unterschiedliche Schlüsselbilder, und dieselbe Ausgabe erzeugt immer dasselbe Schlüsselbild, unabhängig davon, wann oder wie oft die Berechnung durchgeführt wird.
• Einseitige Ableitung– Das Schlüsselbild wird aus dem privaten Schlüssel berechnet, der private Schlüssel kann jedoch nicht aus dem Schlüsselbild wiederhergestellt werden. Dies ähnelt der Funktionsweise einer Hash-Funktion: In eine Richtung leicht zu berechnen, in umgekehrter Richtung rechnerisch nicht durchführbar.
• Unverknüpfbarkeit- Aus dem Schlüsselbild geht nicht hervor, welchem ​​Ausgang in der Ringsignatur es entspricht. Ein Beobachter, der ein auf der Blockchain veröffentlichtes Schlüsselbild sieht, kann nicht feststellen, welches der Ringmitglieder tatsächlich ausgegeben wurde.

Wie Schlüsselbilder generiert werden

Um die Schlüsselbildgenerierung zu verstehen, ist es hilfreich, kurz zu betrachten, wie Monero-Ausgaben funktionieren. Wenn Ihnen jemand Monero schickt, erstellt die Transaktion eine einmalige Stealth-Adresse speziell für diese Zahlung. Diese Stealth-Adresse wird aus Ihren öffentlichen Schlüsseln und einem vom Absender gewählten Zufallswert abgeleitet. Nur Sie als Empfänger können mit Ihrem privaten Spend Key den entsprechenden einmaligen privaten Schlüssel für diese Stealth-Adresse berechnen. ring signatures

Wenn Sie sich später entscheiden, diese Ausgabe auszugeben, berechnet Ihr Wallet das Schlüsselbild anhand der Formel:KI = x * Hp(P), wobei x Ihr einmaliger privater Schlüssel für die Ausgabe ist, Hp eine Hash-to-Point-Funktion ist, die den öffentlichen Schlüssel P einem Punkt auf der elliptischen Kurve zuordnet, und P der einmalige öffentliche Schlüssel der Ausgabe ist. Das Ergebnis ist ein Kurvenpunkt, der für diese spezifische Ausgabe und diesen spezifischen privaten Schlüssel eindeutig ist.

Diese Berechnung ist deterministisch. Unabhängig davon, wie oft Sie das Schlüsselbild für eine bestimmte Ausgabe berechnen, erhalten Sie immer das gleiche Ergebnis. Und keine andere existierende Ausgabe wird das gleiche Schlüsselbild erzeugen, da jede Ausgabe über ein eindeutiges einmaliges Schlüsselpaar verfügt. Dieser Determinismus ermöglicht die Erkennung doppelter Ausgaben.

Wie Schlüsselbilder Doppelausgaben verhindern

Jede Monero-Transaktion, die einen Output ausgibt, muss das entsprechende Schlüsselbild enthalten. Wenn Miner eine neue Transaktion erhalten, vergleichen sie das Schlüsselbild mit einer Datenbank aller Schlüsselbilder, die in früheren Transaktionen erschienen sind. Wenn das Schlüsselbild noch nie zuvor gesehen wurde, ist die Transaktion potenziell gültig und kann in einen Block aufgenommen werden. Wenn das Schlüsselbild bereits in der Datenbank vorhanden ist, versucht die Transaktion, eine bereits verbrauchte Ausgabe auszugeben, und dies wird als Versuch einer doppelten Ausgabe abgelehnt.

Dieser Mechanismus ist in seiner Logik wunderbar einfach. Das Netzwerk muss nicht wissen, welche Ausgabe ausgegeben wurde. Es ist nicht erforderlich, die Eigentumskette nachzuverfolgen. Es ist nicht erforderlich, Beträge zu entschlüsseln oder Teilnehmer zu identifizieren. Es muss lediglich ein Satz beobachteter Schlüsselbilder verwaltet und jede Transaktion abgelehnt werden, die versucht, ein Duplikat hinzuzufügen. Die Schlüsselbilddatenbank wächst monoton mit der Erweiterung der Blockchain und jede gültige Ausgabe fügt genau einen neuen Eintrag hinzu.

Warum Schlüsselbilder die Privatsphäre nicht gefährden

Eine natürliche Sorge besteht darin, ob die Veröffentlichung wichtiger Bilder zu einem Datenschutzleck führt. Wenn jede ausgegebene Ausgabe über ein eindeutiges Schlüsselbild verfügt, könnte ein Angreifer Schlüsselbilder verwenden, um Ausgaben mit ihren Besitzern zu verknüpfen oder Ausgabemuster zu verfolgen? Aufgrund der mathematischen Eigenschaften der Schlüsselbildkonstruktion lautet die Antwort „Nein“.

Das Schlüsselbild wird vom einmaligen privaten Schlüssel abgeleitet, der wiederum aus einer Kombination des Zufallswerts des Absenders und des privaten Schlüssels des Empfängers abgeleitet ist. Ohne Kenntnis des privaten Ausgabenschlüssels des Empfängers ist es rechnerisch nicht möglich, zu bestimmen, welcher Ausgabe ein bestimmtes Schlüsselbild entspricht. Die Ringsignatur beweist, dass der Spender den privaten Schlüssel für eines der Ringmitglieder kennt, und das Schlüsselbild beweist, dass diese bestimmte Ausgabe noch nie zuvor ausgegeben wurde, aber keine der Informationen verrät, welches Ringmitglied das echte ist.

Darüber hinaus können Schlüsselbilder aus verschiedenen Transaktionen nicht korreliert werden, um festzustellen, ob sie zum selben Wallet gehören. Jeder Ausgang verfügt über ein einzigartiges einmaliges Schlüsselpaar, sodass die von den verschiedenen Ausgängen einer einzelnen Brieftasche erzeugten Schlüsselbilder völlig unabhängig voneinander erscheinen.

Die wichtigste Bilddatenbank

Monero-Miner und Full Nodes pflegen eine vollständige Datenbank aller Schlüsselbilder, die jemals in einer gültigen Transaktion auf der Blockchain aufgetaucht sind. Diese Datenbank ist ein entscheidender Bestandteil des Konsenses. Bei der Validierung eines neuen Blocks vergleichen die Knoten die Schlüsselbilder jeder Transaktion mit dieser Datenbank, um sicherzustellen, dass keine Duplikate vorhanden sind.

Die Schlüsselbilddatenbank wächst mit jeder Transaktion und wird nie kleiner. Im Gegensatz zum UTXO-Satz von Bitcoin, der sowohl wachsen als auch schrumpfen kann, wenn Ausgaben erstellt und verbraucht werden, ist der Schlüsselbildsatz von Monero nur anhängbar. Dies ist ein notwendiger Kompromiss zum Schutz der Privatsphäre: Da ausgegebene Ausgaben nicht öffentlich identifiziert und aus der Gruppe potenzieller Ringmitglieder entfernt werden können, muss die Schlüsselbilddatenbank auf unbestimmte Zeit bestehen bleiben, um historische Doppelausgabeversuche zu verhindern.

Ab 2026 enthält die zentrale Bilddatenbank Millionen von Einträgen, aber jeder Eintrag ist nur 32 Byte groß, sodass der Gesamtspeicherbedarf auch auf bescheidener Hardware beherrschbar ist. Suchvorgänge werden mithilfe effizienter Datenstrukturen durchgeführt, die eine Duplikaterkennung in nahezu konstanter Zeit ermöglichen.

Vergleich mit dem UTXO-Modell von Bitcoin

Bitcoin verwendet einen grundlegend anderen Ansatz zur Vermeidung doppelter Ausgaben. In Bitcoin muss jede Transaktionseingabe durch ihren Transaktions-Hash und Ausgabeindex auf eine bestimmte nicht ausgegebene Transaktionsausgabe verweisen. Das UTXO-Set ist die vollständige Liste aller Ausgaben, die erstellt, aber noch nicht ausgegeben wurden. Wenn eine Transaktion ein UTXO ausgibt, wird dieser Eintrag aus dem Satz entfernt und die neuen, von der Transaktion erstellten Ausgaben werden hinzugefügt.

Dieses Modell ist transparent und effizient. Knoten können schnell überprüfen, ob ein referenziertes UTXO vorhanden ist und nicht ausgegeben wurde. Es bietet jedoch keinerlei Privatsphäre. Jeder, der die Blockchain untersucht, kann genau sehen, welche Ausgaben verbraucht werden, den Geldfluss von einer Adresse zur anderen verfolgen und ein vollständiges Transaktionsdiagramm des gesamten Netzwerks erstellen.

Der Key-Image-Ansatz von Monero erreicht die gleiche Anti-Double-Spend-Garantie ohne diese Transparenz. Anstatt auf ein bestimmtes UTXO zu verweisen, erstellt eine Monero-Transaktion einen Ring plausibler Ausgaben und beweist, dass der Spender eine davon besitzt. Das Schlüsselbild dient als eindeutige Verbrauchsmarkierung, die bei der UTXO-Entfernung von Bitcoin implizit wäre, aber im datenschutzwahrenden Design von Monero explizit sein muss.

Kompromisse zwischen den beiden Ansätzen

• Lagerung- Der UTXO-Satz von Bitcoin kann mit der Ausgabe von Ausgaben schrumpfen. Die wichtigste Bilddatenbank von Monero wächst ständig. Allerdings ist die Größe der Schlüsselbilder pro Eintrag gering, was diese Bedenken mildert.
• Überprüfungsgeschwindigkeit- Bitcoin-UTXO-Suchvorgänge sind etwas schneller, da die Menge kleiner ist und Einträge mit der Zeit entfernt werden. Die wichtigsten Bildprüfungen von Monero bleiben effizient, basieren jedoch auf einem ständig wachsenden Datensatz.
• Privatsphäre– Der Ansatz von Monero bietet einen weitaus besseren Datenschutz auf Kosten von zusätzlichem Speicher und Rechenaufwand.
• Überprüfbarkeit- Das transparente UTXO-Set von Bitcoin ermöglicht es jedem, den Gesamtvorrat zu überprüfen. Monero verlässt sich auf zusätzliche kryptografische Beweise (Pedersen-Verpflichtungen und Bereichsnachweise), um die Lieferintegrität sicherzustellen, ohne einzelne Beträge preiszugeben.

Schlüsselbilder im Kontext von Ringsignaturen

Schlüsselbilder arbeiten mit Ringsignaturen zusammen, um die Privatsphäre des Absenders von Monero zu gewährleisten. Eine Ringsignatur beweist, dass der Unterzeichner den privaten Schlüssel für einen von mehreren öffentlichen Schlüsseln in einem Satz besitzt, ohne preiszugeben, welchen. Das Schlüsselbild wird an diese Ringsignatur angehängt und durch die kryptografische Konstruktion mit der tatsächlich ausgegebenen Ausgabe verknüpft.

Die Ringsignatur stellt sicher, dass Beobachter nicht feststellen können, welche Ausgabe ausgegeben wird. Das Schlüsselbild stellt sicher, dass jede Ausgabe nur einmal ausgegeben werden kann. Zusammen bieten sie eine Komplettlösung: Privatsphäre für den Absender und Integrität für das Netzwerk. Ohne Schlüsselbilder würden Ringsignaturen allein unbegrenzte Doppelausgaben ermöglichen, da niemand erkennen könnte, welche Ausgaben bereits verbraucht wurden.

Zukünftige Entwicklungen: FCMP++ und darüber hinaus

Die Monero-Community entwickelt aktiv Full-Chain Membership Proofs (FCMP++), die den Anonymitätssatz von derzeit 16 Mitgliedern auf den gesamten Satz von Ausgängen in der Blockchain dramatisch erweitern werden. Unter FCMP++ werden Schlüsselbilder weiterhin ihre entscheidende Rolle als Indikatoren zur Verhinderung doppelter Ausgaben erfüllen, aber die Datenschutzgarantien, die sie bieten, werden noch stärker sein, da es keinen kleinen Kreis von Kandidaten zu analysieren gibt.

Schlüsselbilder stellen eine der wichtigsten Innovationen von Monero dar: ein Beweis dafür, dass etwas passiert ist (ein Output wurde ausgegeben), ohne zu verraten, was konkret passiert ist (welcher Output es war). Diese scheinbar paradoxe Fähigkeit ermöglicht es Monero, sowohl als privates als auch als vertrauenswürdiges Währungssystem zu funktionieren. Für diejenigen, die private Transaktionen mit Monero durchführen möchten:MoneroSwapperbietet No-KYC-Börsen an, die den Datenschutz in der Kette ergänzen, der durch Schlüsselbilder gewährleistet wird.