T2 · 密码学基础

一个现实问题

登录你的 DApp 不需要密码。

用户点「连接钱包」，弹出一个框，点一下「签名」，就登录了。你的后端收到两样东西：一个地址，和一串 132 个字符的十六进制字符串。凭这两样东西，后端就敢认定这个请求来自那个地址的主人。

换成一个传统后端，同一件事需要：注册流程、数据库里的口令摘要、一次比对、一个会话。这里一样都没有。服务器从来没见过这个用户，也不保存关于他的任何秘密。

更让人不安的是那串十六进制是公开的。它走在 HTTP 请求里，可能被记进访问日志，可能被中间人看到，可能被你自己不小心打印到控制台。

它被看到之后，为什么别人还是没法冒充你？

一串任何人都能抄走的字符，凭什么能证明「是我」？

思想实验

把问题缩到最小：你在一个陌生城市，要向一个素不相识的人证明「这张纸条是我写的」。

三个约束：你们没有任何共同的秘密；你不能把自己的秘密告诉他；这张纸条可能被任何人看到和复制。

第一版：约定一个暗号，写在纸条末尾。

问题立刻出现。他一旦看到暗号，就能自己写一张一模一样的纸条。**验证者同时变成了伪造者。**这不是实现细节的问题，是结构上的死结。

第二版：不写暗号本身，写一个由暗号算出来的、算不回去的乱码。

他没法从乱码反推暗号了。但他也不需要反推——他把这串乱码原样抄到另一张纸条后面就行。证明和内容没有绑定，抄一次就能永远复用。

第三版：把暗号和纸条内容拼在一起，再算成乱码。

现在证明和内容绑定了，换一张纸条乱码就对不上。可是验证者要想重算一遍，他必须知道暗号——于是又回到第一版。

要么他能验证，要么他不能伪造，二者不可兼得。

一个普通的单向函数到这里就走到头了。要打破这个死结，需要一样更奇怪的东西：

一对数字。一个用来生成证明，一个用来检查证明，而且从「检查用的那个」推不出「生成用的那个」。

有了它，你把检查用的那个公之于众——谁都能验证；生成用的那个你一辈子不交给任何人——谁都不能伪造。死结解开了。

现在回头看开头那个问题：那串 132 个字符不是你的秘密，它是用秘密算出来的一个一次性结果。看到它没有用，因为它只对那一条消息有效。

你来决定

后端要确认「这个请求来自地址 A 的主人」。你选哪一种？

观察结果

把四种做法放在一起，暴露出来的是同一组维度：

最后一行有一个含糊的地方，值得单独拎出来：能不能被重放，不取决于密码学，取决于你在消息里写了什么。

一条签名永远有效。如果你签的是「登录」两个字，那这条签名可以在任何时刻、任何网站、任何一条链上被重复使用。要让它只用一次、只在一个地方有效，你必须把随机数、域名、链的编号、过期时间写进被签的内容里。

这不是密码学帮你做的事。这是你自己要设计的事。

建立模型

三个原语，加一个组合结构。

**原语一：单向摘要。**任意长度的输入，固定长度的输出。同样的输入永远得到同样的输出；改一个字节，输出面目全非；从输出倒推输入在计算上不可行。

它的用处有三个：给任意数据一个稳定的短名字；检测内容有没有被改；把「很多数据」压缩成「一个值」。

**原语二：一对密钥。**私钥是一个随机数，公钥由私钥单向推导。正推很快，反推不可行。地址又是公钥的摘要——所以地址、公钥、私钥是一条单向链：

**原语三：签名与验签。**签名把「私钥」和「消息摘要」吃进去，吐出一个数字（在以太坊上是 r、s、v 三段，共 65 字节）。验签把「消息」和「签名」吃进去，反推出签名者的公钥，再算成地址。

注意这个方向：验签不是「拿公钥去解密」，而是从签名里恢复出公钥。所以你不需要事先知道对方是谁，你是通过验证过程才知道他是谁的。这也是为什么以太坊的交易里不需要携带发送方地址——它是算出来的。

一次完整的身份证明：

组合结构：把很多条数据压成一个值，并且还能单独证明其中任意一条。

场景：一份 30 万个地址的名单，要让链上合约能判断「某个地址在不在名单里」。全部写进合约，成本高到不可接受。

做法：把 30 万条数据各自摘要，得到 30 万个叶子；相邻两个拼起来再摘要，得到 15 万个；一层层往上，最后剩下一个值。链上只存这一个值。

用户领取时提交两样东西：自己那条数据，以及从自己的叶子到顶端这一路上，每一层「兄弟」的值——30 万条数据大约只需要 19 个。合约照着这条路径重算一遍，算出来的顶端值等于链上存的那个，就放行。

它解决的问题一句话：在不给出全部数据的情况下，证明某一条数据确实在里面。

这个结构在链上无处不在：区块头里用它承诺整个交易列表，空投用它承诺名单，跨链桥用它承诺一批消息。形状都一样。

它叫什么

动手

openssl ecparam -name secp256k1 -genkey -noout -out priv.pem
openssl ec -in priv.pem -pubout -out pub.pem
cat priv.pem pub.pem

printf 'transfer 100 to alice' > msg.txt
openssl dgst -sha256 -sign priv.pem -out sig.bin msg.txt
xxd sig.bin | head

openssl dgst -sha256 -verify pub.pem -signature sig.bin msg.txt

printf 'transfer 100 to blice' > tampered.txt
openssl dgst -sha256 -verify pub.pem -signature sig.bin tampered.txt

AI Lab

第一步：
用我指定的语言写一个函数，验证一条 Merkle 证明：
输入是 leaf、proof 数组、root，输出 true 或 false。
说明你对哈希函数、拼接顺序、叶子与内部节点区分这三点分别做了什么假设。

第二步：
现在你来当攻击者。给定你刚才写的这个实现，
构造一组输入，让它对一条根本不在树里的数据返回 true。
如果你认为构造不出来，说明是哪一行代码挡住了。

真实案例

改一个变量

带走的问题

本章自测