很高兴，我们在2022年7月25日发布了OlaVM，一个EVM兼容的ZKVM方案。由于ZKEVM本身一直是个热门的赛道，所以OlaVM一经发布，就很荣幸的受到了行业内大佬们的一些关注。
在这里，我们首先非常感谢DairaHopwood大佬(也是Zcash协议的主要作者)针对OlaVM的设计提出的一些问题。其中，比较核心的一点是ECDSA和Schnorr签名算法里Hash的选择问题，具体的表述如下图所示：
DairaHopwood的意思可以简单理解为:SinsemillaHash的安全级别只有collision-resistant,因此不能当做一个randomoracle(RO)；而在ECDSA和Schnorr签名算法中，为了足够的安全，需要要求这个Hash可以当做randomoracle(RO)。为了能更好的理解，我们需要先了解一些概念。
GnosisDAO关于分拆Gnosis Safe并推出治理代币SAFE的提案已通过:4月18日消息，GnosisDAO关于分拆Gnosis Safe并推出SAFE代币的提案已通过，SAFE代币将用来管理Gnosis Safe生态系统和基础设施。同时，GnosisDAO将在瑞士设立独立的Safe基金会，以保护战略性的链下资产（IP、Github存储库、战略投资）。根据该提案，Safe基金会将铸造10亿枚SAFE代币。SAFE代币有固定的代币供应。SAFE代币总供应量分配如下：15%将分配给核心贡献者，15%将分配给Safe基金会（其中8%用于战略增长，7%用于资金储备），5%将分配给生态系统（其中2.5%用于空投，2.5%用于既定的空投），5%将分配给用户（其中2.5%用于空投，2.5%用于既定的空投），60%将分配给社区财政库（40%分给SafeDao财政库，15%分给GnosisDAO财政库，5%分配给GNO与SAFE联合财政库）。[2022/4/18 14:30:40]
1.cryptographichashfunction(CHF)的安全属性有哪些?
易纲：中方支持国际货币基金组织关于气候变化和数字货币领域的工作:10月15日，第44届国际货币与金融委员会（IMFC）会议以现场及视频会议形式召开，易纲表示，中国支持有富余资源的国家将特别提款权转借给有需求的国家，支持扩大“减贫与增长信托”规模和成立“韧性和可持续性信托”。中方支持国际货币基金组织关于气候变化和数字货币领域的工作。（财联社）[2021/10/15 20:32:06]
根据论文CryptographicHash-FunctionBasics里的定义可知，CHF对应的安全属性有以下3类：
?preimage-resistance—基本上对于所有预先指定输出，要找到任何散列到该输出的输入，在计算上是不可行的，例如，当给定任意未知输入的y时，要找到使h(x')=y的所有原像(preimage)x'。
?2nd-preimageresistance—要找到与任何指定输入具有相同输出的任何第二输入，在计算上是不可行的，例如，给定x，要找到一个第二原像x'=x，使h(x')=h(x)。
dYdX基金会：关于将功能恢复至安全模块质押池的提案现已开启投票:10月5日消息，dYdX基金会在推特上表示，由Paradigm开发者Dan Robinson提出的dYdX改进提案0（DIP 0）已经上线开启投票，该提案涉及内容如下：
- 将功能恢复到安全模块质押池；
- 允许目前参与质押的用户收回资金。
- 允许参与质押的用户额外获得奖励以补偿所受损失。[2021/10/5 17:25:13]
?collisionresistance—要找到任意两个散列到相同输出的不同输入，在计算上是不可行的，例如，使h(x')=h(x)。
需要注意的是：
a.2nd-preimageresistance可以归约为collisionresistance，即collisionresistance满足，则2nd-preimageresistance必定满足。
南非发布关于加密资产的潜在监管文件:南非政府间金融科技工作组（IFWG）今天通过加密资产监管工作组（CARWG）发布了一份关于加密资产立场的文件。该文件证实，将以分阶段、结构化的方式将加密资产纳入南非监管范围。根据新闻稿，IFWG的CAR-WG关于加密资产的立场文件提出了25条建议，内容涉及如何通过分阶段和结构化的方法将加密资产纳入南非监管范围，涉及三个主要领域。[2021/6/11 23:30:42]
b.preimage-resistance不可以归约为collisionresistance，即collisionresistance满足，则preimageresistance未必满足。
2.什么是randomoracle(RO)？
randomoracle(RO)用以下模型来描述：
?有一个黑盒子。盒子里住着一个侏儒，还有一本大书和一些骰子。
动态 | 律师：NVIDIA在整个集体诉讼期间 作出关于公司加密业务的虚假陈述:据globenewswire消息，霍华德·G·史密斯律师事务所提醒投资者在针对NVIDIA公司的集体诉讼日期即将截止，律师称被告NVIDIA在整个集体诉讼期间，作出虚假和误导性陈述，未能披露：（1）归因于NVIDIA游戏GPU的收入增长在很大程度上是由于加密货币矿工需求激增所致；（2）NVIDIA没有了解其库存渠道，也无法适应加密货币市场的变化；（3）随着加密货币价格开始暴跌，NVIDIA通过继续推动中档GPU进入渠道，掩盖了增长放缓，导致库存水平飙升，最终导致NVIDIA在其渠道中超过三个月的库存过剩。[2019/2/6]
?我们可以向盒子里输入一些数据。
?给定侏儒一些事先没有看到的输入，他用骰子在一些常规空间中均匀且随机地生成一个新的输出。侏儒还会在书中写下输入和新生成的输出。
?如果给定侏儒一个已经看到的输入，他就用书来恢复他上次返回的输出，并再次返回。
简单来概括下RO的行为，假设输入为x：
?如果x之前输入过，则直接返回对应的H.
?如果x未曾输入过，则RO会在完全随机的在值域里生成一个由0,1组成的字符串。
需要注意的是：
?这里的完全随机意味着，连RO自己都不知道最终会是一个什么值，它是没有规则可循的，这是和Hash的主要区别，任何Hash都是有自己的计算规则的。
但是在现实的世界中，实现一个真正的RO是很困难的；因此，我们需要为RO寻找一个潜在候选者，需要尽可能的使得输出看起来是随机的。Hash函数是一个不错的选择，一个安全的Hash函数需要满足preimage-resistance、2nd-preimageresistance、collisionresistance。一个可以当做RO的Hash是肯定要满足这三个属性的，但是满足这三个属性的Hash不一定就可以当做RO；它们之间是一种必要不充分关系。更多的细节可以参考Whatisthe"RandomOracleModel"andwhyisitcontroversial?
3.Hash在ECDSA和Schnorr签名算中的要求?
在论文OnthesecurityofECDSAwithadditivekeyderivationandpresignatures和OntheExactSecurityofSchnorr-TypeSignaturesintheRandomOracleModel中提到，ECDSA和Schnorr签名算法里的Hash函数都需要可以被认为是RO，才是安全的。根据前面的描述，则这个Hash需要满足CHF的所有安全属性preimage-resistance、2nd-preimageresistance、collisionresistance。
4.关于Sinsemilla哈希函数?
Sinsemilla哈希函数是由DairaHopwood和SeanBowe一起设计，底层依赖ECDLP(EllipticCurveDiscreteLogarithmProblem)。在固定长度的输入下，Sinsemilla哈希函数满足collisionresistance，不满足preimageresistant属性，原因可以参考DairaHopwood的回答。
根据Zcash协议说明书，设计Sinsemilla哈希函数的初衷是为了在零知识证明算法Halo2的执行过程中，充分利用Lookup-friendly的优势，来提高Halo2的执行效率；因此，Sinsemilla哈希函数是一个Lookup-friendly的哈希函数，它更适合用于承诺的计算和Merkletreeroot的计算。
5.总结
再次感谢DairaHopwood的指导，让我们对cryptographichashfunction(CHF)的使用有了更深的认知。我们将继续广泛听取意见，在高效性和安全性方面对设计方案进行持续优化。
Sinsemilla哈希函数会仍然用于Olavm设计中的其他合适模块；签名部分的Hash函数，我们将会在安全的哈希函数中，择优选择，比如Poseidon哈希函数、ReinforcedConcrete哈希函数等。
关于我们
Sin7y成立于2021年，由顶尖的区块链开发者组成。我们既是项目孵化器也是区块链技术研究团队，探索EVM、Layer2、跨链、隐私计算、自主支付解决方案等最重要和最前沿的技术。
微信公众号：Sin7Y
GitHub|Twitter|Telegram|Medium|Mirror|HackMD|HackerNoon
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。