干货| 比特币的学术谱系，第 2 部分

工作证明

事实上，所有的容错系统都假定系统中绝大多数（例如，超过 2/3）的节点是诚实可靠的。 在一个开放的对等网络中，节点不需要注册，可以自由加入和退出。 因此，作恶者可以发动女巫攻击，制造多个马甲节点，破坏整个系统的共识保障。 John Douceur14 于 2002 年正式提出 Sybil 攻击，并指出可以使用工作量证明的密码学模型来缓解这一问题。

起源

要了解工作证明，您必须从源头开始。 Cynthia Dwork 和 Moni Naor15 于 1992 年首次提出了工作量证明的原型，其目的是阻止垃圾邮件。 需要注意的是，垃圾邮件、女巫攻击和拒绝服务都是类似的问题，作案者会将普通用户对网络的影响放大数倍。 工作量证明可以同时抵抗所有三种攻击。 根据 Dwork 和 Naor 的工作量证明设计，如果发件人在发送邮件时附上已完成一定计算量的证明（即工作量证明），收件人才会处理邮件电子邮件。 普通计算机大约需要几秒钟即可完成工作量证明。 所以这应该不会给普通用户带来麻烦，而要发送一百万封垃圾邮件的人如果使用相同的硬件则需要数周时间。

请注意，工作量证明实例（也称为拼图）对于不同的电子邮件和收件人应该是不同的。 否则，垃圾邮件发送者会向同一收件人发送不同的消息（或向不同的收件人发送相同的消息），其成本相当于向一个收件人发送一封消息。 第二个重要的特性是接受者需要进行的计算非常少，即无论这些谜题计算起来多么困难，验证计算是否正确应该很容易。 此外，Dwork 和 Naor 提出了带有活板门的函数，活板门由一个中央实体持有，可以节省解决难题所需的精力。 活板门的一种可能应用是允许中央实体免费批准邮件发送。 Dwork 和 Naor 提出了三个满足上述性质的候选难题，引入了一个全新的领域，我们稍后会提到。

哈希现金

还有一个非常相似的想法叫做 hashcash，它是由博士后研究员 Adam Back 在 1997 年作为密码朋克社区的一员时提出的。 密码朋克是一群反对集权政府和中央集权机构的激进分子，力图通过密码学进行社会和政治改革。 回顾一下，他首先发布了 hashcash 软件2，随后是 Internet-Draft（标准化文档）和 5 年后的 2002 年的论文4。

Hashcash 比 Dwork 和 Naor 的想法要简单得多：它没有活板门和中央机构，它只使用哈希函数而不是数字签名。 它基于一个简单的原理：哈希函数是出于某种实际目的的随机函数，这意味着如果你想找到一个输入值会使哈希函数产生某个输出值，唯一的方法就是尝试多次输入值，直到得到想要的输出值。 再者，要想找到任意一组输出值对应的输入值，唯一的方法就是依次将不同的输入值代入到哈希函数中进行运算。 所以如果我让你找一个输入值，它的（二进制）散列值以10个零开头，你要尝试很多输入值，发现每个输入值满足条件的概率都是1/210，这就是 意思你必须依次尝试 210 个输入值，这相当于大约 1000 次哈希计算。

从 hashcash 的字面意思来看，Back 将工作量证明视为一种货币形式。 他在个人主页上将其定位为 DigiCash 的替代品。 DigiCash 是 David Chaum 提出的一种系统，用于银行向用户发行不可追踪的数字货币3。 为了突出数字货币的货币特性，巴克甚至在技术设计上做出了妥协。 后来他评论说比特币是从hashcash衍生出来的。 然而，Hashcash 根本不是一种货币，因为它无法抵抗双花攻击。 Hashcash 代币不能进行点对点交易。

同时比特币数量是固定的吗，从学术角度来看，研究人员发现，工作量证明除了可以防止垃圾邮件外，还有很多应用场景，比如抵御拒绝服务攻击25、保证网站分析的完整性17、加强网络安全等。密码猜测的安全性。 限速等 38. 顺便说一句，工作量证明一词最早出现在 Markus Jakobsson 和 Ari Juels 1999 年的一篇论文中，当时作者在撰写论文之前对工作量进行了详尽的调查24。 请注意，这些研究人员似乎并不关心 hashcash，而是专注于基于哈希的工作量证明，如 Eran Gabber 等人 18 以及 Juels 和 Brainard25 的论文所述。 （本段中提到的许多术语在这些论文发表很久之后才成为标准术语。）

工作量证明和数字货币：两难选择

您可能知道工作量证明最初作为对垃圾邮件的防御是不成功的。 一个可能的原因是不同设备的解题速度差异很大。 这意味着垃圾邮件发送者只需对定制硬件进行少量投资，就可以生成速度快几个数量级的垃圾邮件发送者。 从经济学的角度来看，生产成本的不对称自然会导致交易的发展，即工作量证明解决方案的市场。 然而，这是一个两难选择，因为需要一种高效的数字货币。 缺乏这种货币确实是影响工作量证明激励的首要因素。 一个原始的解决方案是使用拼图的解决方案作为货币，就像 hashcash 所做的那样。

在比特币白皮书发表之前，有两篇文章提出了更符合上述思路的解决方案，即b-money13和bit gold42。 上述两种方案都提供时间戳服务（通过工作量证明）来创造货币并同意在货币创造后转移。 如果分类帐上的服务器或节点之间存在分歧，则没有明确的解决方案。 这两篇文章看似暗示了多数表决机制，但由于Sybil攻击的存在比特币数量是固定的吗，除非在网络入口设置看门人或者使用工作量证明来抵御Sybil攻击，否则这些机制并不是很安全。 （见下面的注释）

抗女巫攻击的网络

John Douceur 写了一篇关于女巫攻击的论文。 他提出的解决方案是要求所有参与拜占庭容错协议的节点来解决哈希难题。 如果一个节点冒充N个节点，不可能及时解决N个问题，假身份就会被清除。 然而，恶意节点仍然比没有伪造身份的诚实节点有优势。 John 后来在 20051 年写了另一篇论文，指出诚实节点可以模仿恶意节点的行为，并根据自己的计算能力尽可能多地虚假报告身份。 如果这些虚拟身份实现拜占庭容错协议，那么“故障节点的比例不能超过f%”的假设可以被“故障节点的算力比例不能超过总计算量的f%”的假设代替力量”。 因此，不再需要验证身份，开放的对等网络可以运行拜占庭容错协议。 比特币采用了相同的想法。 然而，中本聪提出了一个更深层次的问题：是什么可以激励节点在工作量证明上花费大量的算力？ 解决这个问题需要另一个飞跃：数字货币。

合成器

了解构成比特币设计的项目，才能真正体会到中本聪的天才。 比特币出现后，第一次把问题的解决从数字货币中分离出来，它们只用来维护账本。 解决工作量证明难题是称为“矿工”的专门实体的责任（尽管中本聪没想到挖矿会变得如此专业）。

矿工们不断竞争寻找下一个难题的解决方案； 每个矿工都必须解决一个略有不同的难题，其成功概率与矿工控制的全球计算能力部分成正比。 解决难题的矿工根据串联的时间戳将下一组（块）交易贡献给分类帐。 作为提供账本维护服务的奖励，贡献区块的矿工会收到新铸造的硬币。 如果某个矿工贡献的交易或区块无效，会遭到后续贡献区块的大多数矿工的抵制，导致坏块得不到有效的区块奖励。 这样，在货币激励下，矿工将确保彼此遵守协议。

比特币巧妙地帮助通过工作量证明创造货币来应对双重支出问题，因为它不会为难题本身的解决方案赋予价值。 事实上，谜题的解之所以没有经济价值，是因为以下两个因素：产生一个区块所需的工作量是一个浮动参数（与全球算力成正比），以及比特币的数量每块发行也不是固定的。 区块奖励（新比特币的铸造方式）设置为每 4 年减半（2017 年，比特币的区块奖励从 50 个比特币下降到 12.5 个比特币）。 比特币还包含另一种奖励机制——交易的发送者向矿工支付挖矿的服务费。 交易费用和矿工奖励预计将由市场决定。

中本聪的天才之处不在于比特币使用的任何一个组件，而在于将这些组件巧妙地组合在一起，为整个系统注入了生机。 时间戳和拜占庭容错协议的研究人员并没有想出一种机制来激励节点诚实，直到 2005 年他们才想到使用工作量证明来代替身份。 相比之下，提出 hashcash、b-money 和 bit gold 想法的研究人员并没有纳入共识算法来防止双花问题。 在比特币系统中，安全的账本是防止双重支出和保护比特币货币价值的必要条件。 有价货币是奖励矿工所必需的。 反之，强大的算力是保证账本安全的必要条件。 否则，犯罪者可以聚集全球超过 50% 的算力，以比网络其余部分更快的速度生成区块，从而发起双花攻击，有效地改写历史，并推翻整个系统。 因此，比特币是一个循环依赖上述三个组成部分的自包含系统。 中本聪面临的挑战不仅仅是设计，还要说服最初的用户和矿工社区踏入未知领域——一开始，一个披萨价值 10,000 个比特币，而整个网络的算力还不到今天的 10,000 个比特币。 十亿分之一。 （未完）

注解：

[1]：Aspnes, J., 等人。 2005. 揭露在计算上受到挑战的拜占庭冒名顶替者。 耶鲁大学计算机科学系；

[2]：返回，A.1997。 Apartial hashcollision based postage scheme；

[3]：返回，A.2001。 哈希现金；://cypherspace.org/hashcash/。

[4]：返回，A.2002。 Hashcash——拒绝服务反措施；

[13]：戴伟，1998；

[14]：Douceur，JR 2002。Sybil 攻击；

[15]：Dwork, C., Naor, M. 1992。通过处理或打击垃圾邮件进行定价；

[17]; Franklin, MK, Malkhi, D. 1997。可审计计量和轻量级安全；

[18]：Gabber, E. 等人。 1998. 通过安全分类遏制垃圾邮件。

[24]：Jakobsson, M., Juels, A. 1999。工作证明和面包布丁协议；

[25]：Juels, A., Brainard, J. 1999。客户端难题：针对连接完成攻击的密码对策。 网络和分布式安全系统会议记录：151-165；

[38]：Pinkas, B., Sander, T. 2002。保护密码免受字典攻击。 第九届 ACM 计算机和通信安全会议论文集：161-170；

[42]：Szabo, N. 2008。比特黄金。 未列举；

原文链接：

作者：Arvind Narayanan & Jeremy Clark

译校：敏敏、阿健

你可能还喜欢：