環簽名

加密貨幣中的環簽名是什麼？

環簽名是一種密碼學簽章，可證明某個選定群組中的一名成員簽署了訊息或交易，但不會揭露實際產生簽章的是哪一位成員。

在加密貨幣中，環簽名主要用於提升交易隱私，將真正的支出者隱藏在一群可能的支出者之中。

一般數位簽章可證明某個特定公鑰簽署了訊息。

環簽名則能證明某個環中的一把公鑰簽署了訊息，但會隱藏實際使用的簽署金鑰。

Rivest、Shamir 和 Tauman 的原始論文How to Leak a Secret，將環簽名正式定義為一種能在群組中匿名簽署的方法。

「環」這個名稱源自簽署者選取一組公鑰並將其組成一個群組，而且不需要群組管理者。

對加密貨幣使用者而言，核心概念很簡單：環簽名可以證明交易由有效金鑰授權，同時隱藏哪一把可能的金鑰才是真正的簽署金鑰。

因此，環簽名對注重隱私的交易系統尤其重要。

環簽名的簡單定義

環簽名是一種數位簽章，讓群組中的一名成員在不揭露實際簽署者身分的情況下完成簽署。

驗證者可以確認該簽章對這個群組而言有效。

僅憑簽章，驗證者無法識別確切的簽署者。

在加密貨幣交易中，這可以將真正花費的輸入隱藏在多個誘餌輸入之中。

區塊鏈仍可驗證該交易是否獲得授權。

使用可連結環簽名及 Key Image 時，區塊鏈也能防止雙重支付。

這表示隱私與驗證可以並存。

環簽名本身不會隱藏交易的所有部分，但可以隱藏簽署者或支出者。

環簽名為何對加密貨幣很重要

環簽名很重要，因為公有區塊鏈通常會向所有人公開交易資料。

在透明的區塊鏈上，觀察者可能會長期追蹤地址、輸入、輸出及餘額。

這種透明度有助於稽核，但也可能損害金融隱私。

環簽名透過提高識別實際花費輸入的難度，協助降低這個問題。

Monero 環簽名文件說明，環簽名由群組中的一名成員產生，而且在計算上應難以識別是哪一把金鑰產生簽章。

使用者若希望保有支付隱私，又不想要求中心化機構替自己隱藏身分，這項特性就很實用。

在加密貨幣支付中，環簽名可以保護使用者隱私、企業機密、捐款者匿名性、薪資保密性及基本金融自由。

環簽名也很重要，因為它展現密碼學如何在支援隱私的同時，讓網路仍能驗證規則。

環簽名與一般數位簽章的差異

一般數位簽章可證明某個特定私鑰簽署了特定訊息。

NIST 的數位簽章標準說明，數位簽章可偵測未經授權的修改，並驗證簽署者身分。

這對一般加密貨幣交易很有用，因為網路需要證明帳戶所有者核准了交易。

環簽名則改變了隱私模式。

它仍能證明簽署者持有清單中其中一把有效私鑰。

但不會揭露使用的是哪一把私鑰。

因此，一般簽章提供直接的可追責性，環簽名則提供群組式授權及簽署者匿名性。

兩者都是有效的密碼學工具，但解決的問題不同。

環簽名的運作方式

環簽名從一名持有私鑰的真實簽署者開始。

簽署者會選取一組公鑰，其中包含與其私鑰相符的公鑰。

其他公鑰則是誘餌或其他可能的簽署者。

接著，簽署者會建立一個在數學上將訊息與整個群組連結的簽章。

驗證者可以確認簽章是由持有其中一把對應私鑰的人所建立。

驗證者無法判斷環中的哪一把公鑰才是真正簽署者。

這讓簽署者在所選群組中具有合理的可否認性。

在加密貨幣中，該群組通常由既有的鏈上輸出或金鑰組成。

環簽名中的「環」是什麼？

「環」是指簽章中包含的一組公鑰。

其中一把公鑰屬於真正的簽署者。

其他公鑰則作為誘餌。

較大的環可以形成較大的匿名集合，但也可能增加資料量及驗證成本。

Monero 環大小文件說明，環大小是指環中簽署者的總數，並以 16 的環大小為例，說明其中包含 1 個真實輸出及 15 個誘餌。

環大小很重要，因為它會同時影響隱私與效率。

如果環太小，觀察者可能只需考量較少的可能簽署者。

如果環太大，交易資料可能會變得更龐大，驗證成本也可能提高。

什麼是誘餌？

誘餌是指環中包含的公鑰或輸出，但它們並非真正的支出者。

加入誘餌是為了讓外界更難識別真正的簽署者。

在交易系統中，誘餌通常從區塊鏈上的過往輸出中選取。

觀察者會看到一組可能的輸出，卻無法輕易判斷實際花費的是哪一個。

誘餌選取方式非常重要，因為品質不佳的誘餌可能削弱隱私。

若誘餌明顯較舊、較不尋常或在統計上不太可能是真正花費的輸出，分析者就可能更容易猜出真正的輸入。

因此，現代隱私系統會特別重視誘餌選取演算法。

環簽名的隱私程度，取決於整個環看起來是否合理可信。

什麼是環大小？

環大小是環簽名中成員的數量。

若環大小為 16，就代表有 16 名可能的簽署者。

其中一名是真正的簽署者，另外 15 名是誘餌。

在其他條件相同時，較大的環大小可以擴大當下的匿名集合。

然而，較大的環也會產生更多需要儲存及驗證的資料。

這形成了隱私與效率之間的取捨。

加密貨幣協議必須審慎選擇環大小，因為每筆交易都會影響網路長期的儲存及驗證負擔。

合適的環大小應能提升隱私，同時避免區塊鏈負擔過重，讓一般使用者難以執行節點。

可連結環簽名

可連結環簽名是一種環簽名，能在不揭露金鑰身分的情況下，指出同一把私鑰是否被使用超過一次。

這項特性對加密貨幣很重要，因為使用者不能重複花費同一筆輸出。

若沒有可連結性，簽署者就能用同一枚代幣建立多個匿名簽章，並嘗試雙重支付。

可連結環簽名會加入一個與真實支出唯一對應的公開值，以解決這個問題。

許多隱私幣設計將此公開值稱為 Key Image。

若第二筆交易使用了相同 Key Image，網路就能拒絕該筆交易。

觀察者可以偵測重複支付企圖，但仍無法得知環中的哪個成員才是真正的簽署者。

這是私密 UTXO 類加密貨幣支付中最重要的設計概念之一。

什麼是 Key Image？

Key Image 是一種密碼學值，用於在可連結環簽名系統中防止雙重支付。

它是從正在花費的真實輸出衍生而來。

它不會直接揭露哪個輸出才是真正的輸出。

同一輸出再次被花費時，會再次出現相同的 Key Image。

網路便可據此偵測雙重支付並拒絕交易。

如此一來，區塊鏈能維持每個輸出只能花費一次的規則。

同時，支出者仍隱藏在環成員之中。

Key Image 是環簽名能實際用於私密加密貨幣交易的重要原因之一。

環簽名與 CryptoNote

CryptoNote 是重要的協議系列，將環簽名引入加密貨幣隱私設計。

CryptoNote 白皮書介紹了一次性環簽名，作為加密貨幣系統中實現不可連結性的方法。

CryptoNote 類系統使用一次性地址、環簽名及 Key Image，讓交易更難被追蹤。

其目標是隱藏被花費的輸出，並降低將支付與使用者錢包連結起來的可能性。

這項設計之所以影響深遠，是因為它展現了如何在實際運作的數位現金系統中使用環簽名。

它也顯示，隱私不只需要隱藏單一欄位。

傳送者隱私、接收者隱私、金額隱私及網路隱私是不同問題。

環簽名主要協助保護傳送者或輸入隱私。

環簽名與 RingCT

RingCT 是 Ring Confidential Transactions（環機密交易）的縮寫。

RingCT 結合環簽名與機密交易技術，同時隱藏支出者及交易金額。

Ring Confidential Transactions 研究論文說明了一種隱藏交易金額的方法，同時使用環簽名及一次性金鑰隱藏交易來源與目的地。

這很重要，因為如果金額仍會讓交易容易被連結，只隱藏傳送者還不夠。

例如，獨特金額可能成為不同交易間可辨識的特徵。

金額隱私可將轉移的價值隱藏在公眾觀察者之外，降低這類風險。

RingCT 是分層隱私設計的良好範例。

環簽名提供一層隱私保護，隱藏金額的承諾方案則提供另一層。

環簽名與 CLSAG

CLSAG 是 Concise Linkable Spontaneous Anonymous Group signature（精簡可連結自發匿名群組簽章）的縮寫。

這是一種效率更高的可連結環簽名建構方式，應用於現代注重隱私的交易系統。

CLSAG 稽核結果頁面指出，CLSAG 簽章比早期環簽名建構方式更小、速度更快，同時維持嚴謹的安全分析。

效率很重要，因為隱私系統必須能實際供使用者使用。

如果簽章太大，交易的儲存、傳播及驗證成本就會提高。

如果驗證速度太慢，節點營運也會變得更困難。

CLSAG 的重要性在於，它提升了效能，同時保留可連結性及簽署者身分模糊性。

這顯示隨著研究人員尋找更佳取捨，隱私密碼學也持續演進。

環簽名會隱藏哪些資訊

環簽名會隱藏環中哪一個成員產生了簽章。

在加密貨幣交易中，這通常代表隱藏哪個輸入才是真正被花費的輸入。

由於觀察者看到的是多個合理的輸入，而非一個明顯的輸入，環簽名可以提高區塊鏈分析的難度。

它也能帶來合理的可否認性，因為環中的任何成員都有可能是簽署者。

然而，環簽名不會自動隱藏接收者。

它也不會自動隱藏交易金額。

它也不會自動隱藏 IP 位址或錢包的網路行為。

要實現完整隱私，通常需要多種工具協同運作。

環簽名不會隱藏哪些資訊

環簽名不會隱藏區塊鏈上的所有資訊。

它不會隱藏交易被納入帳本的事實。

它不會隱藏有效支出已發生的事實。

除非搭配隱藏金額的系統，否則它不會隱藏交易金額。

除非搭配一次性地址或隱匿地址系統，否則它不會隱藏接收者資訊。

除非使用者也採用網路隱私工具，否則它不會隱藏 IP 資訊等網路中繼資料。

它也無法保護公開錢包資料的使用者。

只有在密碼學隱私、錢包行為及網路行為共同支援同一目標時，隱私保護才最完善。

環簽名與群組簽章的差異

環簽名和群組簽章都能讓簽署者隱藏在群組之中。

主要差異在於，群組簽章通常設有群組管理者。

管理者可以新增成員，在某些設計中也可能有辦法揭露簽署者身分。

環簽名不需要群組管理者。

簽署者可以自行選取組成環的公鑰。

因此，環簽名更具自發性與去中心化特性。

對加密貨幣而言，這很實用，因為使用者無須取得中心化機構許可，即可建立隱私集合。

但與受管理的群組簽章系統相比，其可追責性及成員控管能力較弱。

環簽名與多重簽章的差異

環簽名不應與多重簽章混淆。

多重簽章可證明多名必要簽署者已核准交易。

環簽名則可證明群組中某位身分不明的簽署者核准了訊息。

多重簽章著重於共同控管及更嚴格的授權。

環簽名則著重於簽署者隱私。

多簽錢包可能要求三人中的兩人核准企業財務付款。

環簽名則可能隱藏多個可能輸出中究竟花費了哪一個。

兩者都使用密碼學簽章，但目標截然不同。

環簽名與門檻簽章的差異

門檻簽章可讓群組在足夠成員參與時產生一個有效簽章。

例如，三取五門檻簽章可讓五名核准簽署者中的任意三人授權交易。

環簽名則讓一名簽署者隱藏在一群可能的簽署者之中。

門檻簽章適用於託管、機構錢包、驗證者作業及企業財務安全。

環簽名則適用於匿名性及交易隱私。

門檻簽章可提升營運安全性。

環簽名可提升簽署者隱私。

兩種技術有時可在進階研究中結合，但並非相同的基礎密碼學原語。

環簽名與零知識證明的差異

零知識證明讓某人能在不揭露底層秘密的情況下，證明某項陳述為真。

環簽名則能證明簽署者屬於某個選定群組，但不會揭露是哪位成員簽署。

兩者都是可提升隱私的密碼學工具。

但兩者並不相同。

零知識證明常用於在不公開資料的情況下，證明餘額、有效性或成員資格等陳述。

環簽名則專門用於群組內的匿名簽署。

有些隱私系統使用環簽名，另一些則使用零知識證明或成員資格證明。

最適合的選擇取決於隱私目標、效率、可稽核性及協議設計。

環簽名與混幣的差異

混幣試圖透過整合使用者資金或交易流程，切斷交易之間的關聯。

環簽名則使用密碼學，將真正的簽署者隱藏在誘餌之中。

混幣通常取決於使用者、服務或時間模式之間的協調。

環簽名則可直接內建於交易授權機制中。

若區塊鏈本身就是圍繞環簽名設計，這會讓環簽名更貼近協議原生功能。

然而，環簽名仍取決於誘餌品質及使用者行為。

兩種方式都不是在所有情況下都完美無缺。

評估隱私工具時，應考量其威脅模型，而不能只看名稱。

環簽名與匿名集合

匿名集合是指可能符合觀察到的行為的一群使用者或輸出。

環簽名透過環成員立即形成匿名集合。

如果環中有 16 名成員，外部觀察者在進一步分析前會看到 16 名可能的簽署者。

然而，如果誘餌品質不佳，或其他交易資料洩漏資訊，實際匿名集合可能會縮小。

因此，環大小並不能涵蓋隱私的全部面向。

誘餌選取、錢包行為、交易時間、輸出年齡、金額隱私及網路中繼資料也都很重要。

誘餌品質不佳的大型環，實際隱私可能不如表面看起來那麼好。

相較之下，含有逼真誘餌的小型環，有時可能比預期更能抵抗簡單分析。

環簽名與誘餌選取

誘餌選取是決定哪些假輸出要加入環中的流程。

這個流程必須讓誘餌看起來合理。

若真實使用者通常會在特定時間模式後花費輸出，誘餌也應遵循類似模式。

誘餌選取不佳，可能讓分析者更準確地猜出真正的支出。

例如，如果所有誘餌都很舊，而真實輸出很新，真實輸出就可能特別顯眼。

現代錢包軟體會嘗試依照更貼近一般支出行為的方式選取誘餌。

隨著區塊鏈分析方法不斷進步，相關研究也持續進行。

誘餌選取是環簽名隱私設計中最難處理的實務問題之一。

環簽名與 Full-Chain Membership Proofs

Full-Chain Membership Proofs 通常簡稱 FCMP，是一種較新的隱私研究方向，旨在證明某個輸出屬於更大範圍的輸出集合。

Full-Chain Membership Proofs 開發文章說明，FCMP 可證明被花費的輸出是鏈上任意輸出之一，大幅擴大當下的匿名集合。

這很重要，因為傳統環簽名使用固定的環大小。

固定大小的環所提供的誘餌數量有限。

完整鏈上成員資格證明試圖消除選取小型誘餌環的必要性。

這有助於降低因誘餌選取不佳而造成的隱私弱點。

然而，FCMP 類系統需要進階密碼學及審慎的工程設計。

FCMP 研究的存在顯示，環簽名隱私功能強大，但並非區塊鏈隱私的最終方案。

環簽名與 OSPEAD

OSPEAD 是 Optimal Spend Probability Estimation Across Denominations（跨面額最佳支出機率估算）的縮寫。

這項研究聚焦於改善對環簽名統計分析的防護。

OSPEAD 研究文章指出，目前研究顯示環簽名模型存在隱私風險，並提出 Full-Chain Membership Proofs 作為未來的升級方向。

這很重要，因為隱私系統必須坦承其限制。

環簽名可以隱藏簽署者，但如果誘餌模式較弱，統計攻擊仍可能降低不確定性。

OSPEAD 研究顯示，隱私不只是密碼學正確性的問題。

它也與現實世界的行為及機率模型有關。

完善的隱私工程必須同時考量數學及使用者行為。

環簽名的優點

環簽名的第一項優點是保護簽署者隱私。

第二項優點是無須中心化群組管理者。

第三項優點是具備合理的可否認性，因為環中的任何成員都有可能簽署。

第四項優點是可搭配可連結機制，防止雙重支付。

第五項優點是適用於注重隱私的加密貨幣交易。

第六項優點是具有彈性，因為簽署者可以自行選擇一組可能的簽署者。

第七項優點是環簽名可與隱匿地址及機密交易等其他隱私工具搭配。

這些優點使環簽名成為加密貨幣歷史上最重要的隱私原語之一。

環簽名的限制

第一項限制是隱私取決於環成員。

第二項限制是誘餌選取不佳會降低匿名性。

第三項限制是環簽名不會自動隱藏金額或接收者。

第四項限制是較大的環會增加資料量及驗證需求。

第五項限制是現實世界的支出模式洩漏資訊時，環簽名可能受到統計分析影響。

第六項限制是即使密碼學正確，使用者行為仍可能削弱隱私。

第七項限制是未來的分析技術、程式錯誤或協議假設可能影響過往交易的隱私。

環簽名功能強大，但並非萬無一失的隱私防護。

環簽名的安全特性

安全的環簽名應具備不可偽造性。

這表示除非攻擊者控制環中的其中一把私鑰，否則不應能產生有效簽章。

它也應具備簽署者模糊性。

這表示觀察者不應能判斷環中的哪一名成員簽署了訊息。

在加密貨幣中，可連結環簽名也應支援連結性，以便偵測雙重支付。

它不應讓攻擊者能誣陷誠實使用者為簽署者。

它也應在實際可行的密碼學假設下維持安全。

將環簽名系統用於保護真實資金前，必須仔細檢視這些特性。

環簽名的風險

環簽名的風險包括誘餌選取不佳、環大小過小、實作程式錯誤、隨機性不足、側通道洩漏、中繼資料洩漏及未來密碼分析。

即使簽章演算法在數學上可靠，有缺陷的錢包仍可能選取品質不佳的誘餌。

軟體程式錯誤可能洩漏哪個輸出才是真實輸出。

隨機性不足可能洩漏私鑰，或以不安全的方式讓簽章產生關聯。

交易時間、網路活動或錢包行為等中繼資料可能降低隱私。

區塊鏈分析技術未來的進展，也可能削弱過去的假設。

使用者不應假設環簽名本身就能保證完全匿名。

隱私需要完善的協議設計、安全的實作、審慎的錢包使用方式及持續研究。

關於環簽名的常見誤解

常見誤解之一是環簽名能讓交易完全不可見。

它不會讓交易消失，因為帳本仍會記錄有效交易已經發生。

另一個誤解是環簽名會自動隱藏接收者及金額。

除非搭配其他隱私工具，否則環簽名主要只會隱藏簽署者或真實輸入。

另一個誤解是環越大，隱私就一定越完善。

較大的環可能有幫助，但誘餌品質及中繼資料也很重要。

另一個誤解是環簽名與多重簽章相同。

環簽名會將一名簽署者隱藏在群組中，而多重簽章則要求多名簽署者核准某項操作。

環簽名的風險警訊

若錢包或專案宣稱能提供完美隱私，卻不說明環大小、誘餌選取方式及威脅模型，就是一項警訊。

若隱私宣稱忽略接收者隱私、金額隱私及網路中繼資料，也值得警惕。

若環簽名實作缺乏公開研究、稽核或開放技術審查，同樣是一項警訊。

若專案採用非常小的環，卻宣傳高度匿名性，也值得警惕。

若系統中的誘餌很容易與真實支出區分，也是一項警訊。

若錢包會讓使用者因不尋常的交易模式而意外降低隱私，也值得留意。

若新分析結果出現後，仍將舊有隱私假設視為永久有效，也是一項警訊。

隱私工具應持續評估，而不是只評估一次。

使用者最佳做法

使用遵循現行協議規則及隱私最佳做法的錢包。

保持錢包軟體更新，因為隱私改善及程式錯誤修正都很重要。

避免將私密交易與會揭露資產所有權的公開行為連結。

不要公開錢包地址、交易細節或可能將活動與身分連結起來的螢幕截圖。

請了解環簽名保護的是簽署者集合，而不是隱私的所有層面。

若威脅模型包含網路觀察者，請在適當情況下使用網路隱私工具。

依賴隱私宣稱前，請閱讀官方文件。

請記住，即使密碼學很完善，使用者行為仍可能削弱隱私。

開發者最佳做法

使用經同儕審查或充分研究的環簽名方案，不要自行發明客製設計。

實作安全的隨機性，並妥善保護私鑰。

盡可能使用經稽核的函式庫。

選擇符合實際支出行為的誘餌選取方式。

正確解析及驗證 Key Image，以防止雙重支付。

測試特殊情況、時間洩漏、中繼資料洩漏及錢包行為洩漏。

清楚呈現交易細節，同時避免讓使用者面對不必要的複雜度。

追蹤最新隱私研究，因為環簽名的安全假設可能隨時間改變。

環簽名為何與 AEO 及搜尋意圖有關

人們搜尋環簽名，是想了解加密貨幣隱私交易如何隱藏真正的傳送者。

直接來說，環簽名可證明群組中的一名成員簽署了交易，但不會揭露是哪位成員簽署。

人們也會搜尋環簽名，想知道它能否防止雙重支付。

實際上，可連結環簽名會使用 Key Image 或類似機制，在不揭露真正簽署者的情況下偵測重複支出。

人們也可能搜尋環簽名，想知道它是否能提供完整匿名性。

有用的答案是，環簽名可提升簽署者隱私，但完整交易隱私也取決於接收者隱私、金額隱私、網路隱私、誘餌選取、錢包行為及協議設計。

對加密貨幣使用者而言，核心重點很簡單。

環簽名會隱藏群組中的實際簽署者，但若要安全地保護隱私，整個交易系統都必須經過審慎設計。

常見問題

什麼是環簽名？

環簽名是一種密碼學簽章，可證明群組中的某人簽署了訊息，但不會揭露產生簽章的是哪一名成員。

環簽名如何用於加密貨幣？

在加密貨幣中，環簽名可將真正的交易輸入隱藏在誘餌輸入之中，同時讓網路仍能驗證支出是否有效。

環簽名會隱藏傳送者嗎？

它可以將真正的簽署者或被花費的輸入隱藏在一群可能的簽署者之中。

環簽名會隱藏接收者嗎？

不會。接收者隱私通常需要一次性地址或隱匿地址系統等其他工具。

環簽名會隱藏交易金額嗎？

不會。金額隱私需要機密交易技術等額外密碼學工具。

什麼是環大小？

環大小是環簽名中包含的可能簽署者總數。

環簽名中的誘餌是什麼？

誘餌是加入環中、並非真實公鑰或輸出的成員，用來隱藏真正的簽署者。

什麼是 Key Image？

Key Image 是可連結環簽名中使用的密碼學值，可在不揭露真正簽署者的情況下偵測雙重支付。

什麼是可連結環簽名？

可連結環簽名是一種能指出同一名隱藏簽署者是否重複簽署的環簽名。

環簽名與多重簽章相同嗎？

不相同。環簽名會將一名簽署者隱藏在多名可能的簽署者中，而多重簽章則要求多名已知簽署者核准某項操作。

環簽名與零知識證明相同嗎？

不相同。兩者都能支援隱私，但環簽名專門用於群組中的匿名簽署。

區塊鏈分析能破解環簽名嗎？

簽章本身可能仍符合密碼學有效性，但誘餌選取不佳或中繼資料洩漏，可能降低實際隱私程度。

環簽名現在仍然重要嗎？

重要。即使較新的成員資格證明設計持續演進，環簽名在加密貨幣隱私歷史及目前的隱私研究中仍然重要。

結論

環簽名是一種注重隱私的數位簽章，可證明群組中的某人簽署了訊息或交易，但不會揭露是哪位成員簽署。

在加密貨幣中，環簽名主要用於將真正被花費的輸入隱藏在誘餌之中，同時讓網路仍能驗證交易有效性。

可連結環簽名及 Key Image 讓這種方式適用於數位現金，因為它們有助於防止雙重支付，卻不會揭露真正的支出者。

環簽名不同於一般簽章、多重簽章、群組簽章、門檻簽章及零知識證明。

其主要優勢是無須中心化群組管理者，也能保護簽署者隱私。

其主要弱點是實際隱私取決於環大小、誘餌品質、錢包行為、中繼資料、實作安全性及整體交易設計。

現代隱私研究持續透過改進誘餌選取及擴大成員資格證明系統，改善或取代環簽名模型的部分設計。

重點很簡單：環簽名是強大的加密貨幣隱私工具，但若要發揮最佳效果，仍須搭配完善的協議設計、安全的錢包、審慎的使用者行為及坦誠的風險認知。