💻 computer science

HERMES: Provably Secure Private Accounts for Account-Model Blockchains via Commitment-Coherent Encryption

Cet article introduit HERMES, un cadre unifié qui atteint l'équilibre entre la confidentialité, l'indistinguabilité du montant de la transaction et le désengagement entre l'expéditeur et le destinataire pour les blockchains de type compte, en exploitant un chiffrement cohérent avec les engagements sous l'hypothèse de Diffie-Hellman décisionnelle sans nécessiter de configuration de confiance.

Auteurs originaux : Haofeng Guo

Publié 2026-08-07

📖 4 min de lecture☕ Lecture pause café

CC BY 4.0

Auteurs originaux : Haofeng Guo

Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez l'internet comme un immense registre public où tout le monde peut voir exactement qui a envoyé de l'argent à qui et combien. C'est ainsi que fonctionne la plupart des monnaies numériques modernes aujourd'hui : chaque transaction est comme une carte postale envoyée par la poste. N'importe qui passant par là peut lire le nom de l'expéditeur, le nom du destinataire et le montant en dollars. Bien que cette transparence aide à prévenir la fraude, elle signifie aussi que votre vie financière est totalement exposée. Vous pourriez craindre que des gens ne devinent combien d'argent vous possédez, ou pire, que vos habitudes de consommation soient suivies et vendues à des annonceurs.

Pour correr cela, les cryptographes tentent de construire des « enveloppes numériques » qui cachent ces détails. Certains systèmes utilisent une méthode où l'on fragmente votre argent en de minuscules billets non reliés entre eux (comme si l'on déchirait un chèque en morceaux), ce qui masque le lien entre les transactions mais rend difficile le suivi du solde total de votre compte. D'autres tentent de conserver le modèle de compte (où vous avez un solde unique important), mais peinent à masquer les montants sans avoir besoin d'un tiers de confiance pour mettre en place le système, ou laissent de minuscules failles mathématiques qu'un hacker habile pourrait exploiter pour deviner votre solde. La grande question a été : pouvons-nous conserver la commodité d'un compte bancaire unique, cacher le solde et le montant de la transaction, et rendre impossible la détermination de qui a payé qui — le tout sans faire confiance à une autorité centrale ?

C'est ici qu'intervient le document HERMES. Les chercheurs proposent un nouveau système conçu spécifiquement pour les blockchains basées sur des comptes (comme Ethereum) qui parvient à accomplir ces trois choses à la fois. Ils ont construit un « coffre-fort numérique » qui utilise un type spécial de mathématiques appelé Chiffrement à Cohérence de l'Engagement (Commitment-Coherent Encryption). Voyez cela comme un coffre-fort magique dont la serrure est également un reçu. Habituellement, dans la confidentialité numérique, vous devez utiliser un outil pour verrouiller la boîte et un outil complètement différent pour prouver que vous n'avez pas violé le protocole, ce qui crée un processus désordonné et lent. HERMES conçoit la serrure de telle sorte que la preuve d'honnêteté soit intégrée directement dans la boîte elle-même.

L'équipe a prouvé mathématiquement que leur système est sécurisé, ce qui signifie que tant qu'un hacker ne peut pas résoudre un problème mathématique très difficile (le problème de Diffie-Hellman décisionnel), il ne peut pas jeter un œil à l'intérieur du coffre. Ils ont également introduit un système de « Triple Clé ». Imaginez posséder trois clés différentes : une pour verrouiller l'argent, une pour jeter un coup d'œil à qui vous a envoyé une lettre (sans pouvoir l'ouvrir), et une pour vous identifier. Si quelqu'un vole seulement l'une de ces clés, il ne peut pas briser l'ensemble du système ; il accède seulement à cette partie spécifique, laissant le reste de votre vie privée intact.

Pour s'assurer qu'il ne s'agit pas seulement de théorie, l'équipe a construit un prototype fonctionnel. Ils ont constaté que leur système est assez rapide pour être pratique : il faut environ 320 microsecondes (soit 0,00032 seconde) pour chiffrer une transaction, ce qui est assez rapide pour une utilisation réelle. Ils ont également montré que même si un hacker corrompt certains utilisateurs, le système peut toujours protéger les autres. Bien que le système ait actuellement une limite sur la taille du montant d'une transaction (pour que les mathématiques restent rapides), il comble avec succès le fossé entre la commodité des comptes bancaires standards et la confidentialité de l'argent liquide secret, le tout sans avoir besoin qu'un intermédiaire de confiance le mette en place.

Résumé Technique : HERMES

Énoncé du Problème

Les blockchains à modèle de compte (ex. : Ethereum) lient des identités persistantes à des soldes mutables, ce qui fait que chaque transfert révèle ouvertement l'expéditeur, le destinataire et le montant de la transaction. Bien que cette transparence favorise l'auditabilité, elle crée des passifs de confidentialité importants pour les utilisateurs de la DeFi (front-running), les émetteurs de stablecoins (confidentialité des soldes) et les consortiums d'entreprises (exposition de la chaîne d'approvisionnement).

Apporter la confidentialité au modèle de compte est structurellement plus difficile qu'au modèle UTXO (ex. : Zcash, Monero) car un identifiant unique accumule toutes les interactions. Atteindre la confidentialité dans ce contexte nécessite de satisfaire simultanément trois propriétés mutuellement contraignantes :

Confidentialité du Solde : Les observateurs n'apprennent rien sur le solde actuel du compte.
Indistinguabilité du Montant de la Transaction : Les observateurs ne peuvent pas distinguer différents montants de transfert.
Déliaison Expéditeur-Destinataire : Les observateurs ne peuvent pas lier l'expéditeur au destinataire.

Les travaux antérieurs échouent à réconcilier ces trois propriétés au sein d'un cadre formel unique. Les schémas UTXO cachent les relations mais manquent de soldes persistants ; les schémas de modèle de compte exposent soit les identités, soit nécessitent des configurations de confiance (trusted setups), ou n'offrent qu'une sécurité partielle sans réductions unifiées aux hypothèses standards.

Méthodologie

HERMES (Halo2-Enhanced Rollup Maze ElGamal Shield) propose un cadre unifié basé sur des jeux qui établit ces trois garanties de confidentialité via une réduction à l'hypothèse de Diffie-Hellman Décisionnel (DDH), sans nécessiter de configuration de confiance.

Primitives Cryptographiques Fondamentales

ElGamal Exponentiel à Double Générateur : HERMES utilise une variante du chiffrement ElGamal où le texte chiffré est $(g^r, p_k^r \cdot h^m)$ . La seconde composante fonctionne structurellement comme un engagement de Pedersen pour le message $m$ .
Chiffrement Cohérent avec Engagement (CCE - Commitment-Coherent Encryption) : Le document formalise le CCE comme un principe de conception où une composante du texte chiffré est également un engagement valide. Cela permet de construire des preuves de bornes (range proofs) directement sur le texte chiffré sans nécessiter de protocole $\Sigma$ de "pontage", éliminant ainsi la surcharge cryptographique.
Randomiseurs Indépendants : Pour prévenir les fuites algébriques (où les ratios des composantes du texte chiffré révèlent les différences de texte clair), HERMES assigne un randomiseur unique et indépendant $r_k$ à chaque texte chiffré. Le document prouve que c'est la seule stratégie pour fermer les surfaces de fuite algébrique sous l'hypothèse DDH.
Séparation des Triple-Clés : Le système emploie trois composants de clés distincts :
1. Clé de Montant ( $sk_a$ ) : Pour chiffrer/déchiffrer les soldes.
2. Clé de Vue ( $sk_v$ ) : Pour scanner les transferts entrants (générer des tags de vue) sans capacité de signature.
3. Adresse : Un hash unidirectionnel des clés publiques.
  Cette architecture garantit que la compromission d'une clé (ex. : la clé de vue) ne compromet pas les autres.

Architecture du Système

Clôture On-Chain : Les destinataires utilisent des Tags de Vue (hashes tronqués de $Y_1^{sk_v}$ ) pour filtrer les transactions entrantes on-chain. Un tag correspondant déclenche un déchiffrement complet par l'algorithme Baby-Step Giant-Step (BSGS). Cela élimine le besoin de notifications off-chain requises par les schémas non déchiffrables.
Preuves à Zéro Connaissance (Zero-Knowledge Proofs) : Le système utilise Halo2 avec un backend d'Argument de Produit Interne (IPA) pour une configuration transparente. Les preuves vérifient la validité du solde, la correction de la transaction, les contraintes de bornes ( $0 \le t < 2^{32}$ ), l'appartenance à l'état et l'anonymat de l'expéditeur via des preuves One-out-of-Many au sein d'un ensemble d'anonymat de taille $N$ .
Flux de Transaction : Les transferts impliquent la sélection d'un ensemble d'anonymat, la génération de textes chiffrés indépendants pour l'expéditeur (débit) et le destinataire (crédit), et la soumission d'une preuve unique au contrat L1.

Contributions Clés

Le document revendique quatre contributions spécifiques :

Cadre Unifié Basé sur les Jeux : Le premier modèle formel définissant simultanément la confidentialité du solde, l'indistinguabilité du montant et la déliaison, avec des réductions directes et serrées à l'hypothèse DDH pour les trois.
Formalisation du CCE et de la Fuite Algébrique : Une taxonomie complète des surfaces de fuite algébrique dans les schémas basés sur ElGamal, prouvant que la randomisation indépendante par texte chiffré est la condition nécessaire et suffisante pour la fermeture totale des fuites sous DDH.
Architecture de Séparation des Triple-Clés : Une analyse formelle du "rayon de compromission" prouvant que la compromission de n'importe quelle clé (montant, vue ou adresse) est strictement limitée au rôle de cette clé, préservant la sécurité des autres composants.
Sécurité et Performance Concrètes : Dérivation de bornes de sécurité concrètes (avantage de l'attaquant $\le q \cdot 2^{-\lambda}$ ) et sélection de paramètres sur BN254. Le chiffrement ElGamal à double générateur atteint une performance sub-milliseconde ( $\approx 320 \mu s$ ), validant la déployabilité pratique.

Résultats et Évaluation

Sécurité : La sécurité des trois propriétés de confidentialité est réduite à la dureté de DDH.
- Confidentialité du Solde : Réduction serrée (Avantage $\le Adv_{DDH}$ ).
- Indistinguabilité du Montant : Réduction quasi-serrée (Avantage $\le 2 \cdot Adv_{DDH}$ ).
- Déliaison : Réduction avec un facteur de $2N$ (où $N$ est la taille de l'ensemble d'anonymat) plus le surcoût de simulation ZK. Pour $N=8$ , cela conserve $\approx 96$ bits de sécurité sur BN254.
Performance (Couche Cryptographique) :
- Chiffrement : $\approx 320 \mu s$ .
- Déchiffrement BSGS : $\approx 1,5 ms$ (limité aux montants $< 2^{32}$ ).
- Scan de Clé de Vue : $\approx 0,6 ms$ par texte chiffré.
- Addition Homomorphe : $\approx 40 \mu s$ .
Performance (Système de Preuve) :
- Utilisant Halo2 avec backend KZG (pour la vérification on-chain) : Génération de preuve $\approx 5,1 s$ , vérification $\approx 4 ms$ , taille de preuve $\approx 3,4 KB$ (à $N=8$ ).
- Utilisant Halo2 avec backend IPA (configuration transparente) : Taille de preuve $\approx 1,46 KB$ .
- Débit : Le débit natif est d'environ $\approx 0,2 txs/s$ (preuve unique) ; une agrégation de lots (couche système) est nécessaire pour un débit plus élevé.
Comparaison : HERMES est le seul schéma identifié combinant CCE (zéro-pontage), ensembles d'anonymat, réductions DDH unifiées et configuration transparente. Il offre une vérification plus rapide que Zcash Orchard et Aztec V5, bien que la génération de preuve soit plus lente que les systèmes basés sur Groth16 comme Penumbra.

Signification et Revendications

Le document positionne HERMES comme une solution pour découpler la sémantique de confidentialité des registres de modèle de compte des systèmes de preuve spécifiques. En formalisant le CCE et en prouvant la nécessité de randomiseurs indépendants, il fournit un modèle pour les futurs systèmes de comptes préservant la confidentialité.

L'auteur affirme que HERMES démontre que les comptes privés vérifiables sans confiance sont pratiques pour les blockchains à modèle de compte. Il y parvient en :

Éliminant l'exigence de configuration de confiance (via Halo2 IPA).
Permettant la découverte de soldes entièrement on-chain (via les Clés de Vue et BSGS), supprimant la dépendance aux notifications off-chain.
Fournissant un modèle de sécurité rigoureux et unifié couvrant les trois dimensions critiques de confidentialité, un vide laissé par des travaux antérieurs tels que Zether, PGC et cWETH.

Le document reconnaît des limites, notamment le modèle d'adversaire statique (élevé à adaptatif avec un coût binomial), le montant de transaction borné ( $2^{32}$ ) dû aux contraintes BSGS, et la dépendance à un Sequencer pour la vivacité (bien que le Sequencer ne puisse pas déchiffrer les soldes ni lier les parties). Les travaux futurs identifiés incluent la migration post-quantique et l'agrégation de preuves récursives.