💻 computer science

HERMES: Provably Secure Private Accounts for Account-Model Blockchains via Commitment-Coherent Encryption

Questo articolo introduce HERMES, un framework unificato che raggiunge l'equilibrio tra privacy, indistinguibilità dell'importo della transazione e non correlabilità tra mittente e destinatario per le blockchain basate su modello ad account, sfruttando la crittografia coerente con gli impegni sotto l'assunzione Decisional Diffie-Hellman senza richiedere una configurazione fidata.

Autori originali: Haofeng Guo

Pubblicato 2026-08-07

📖 3 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Haofeng Guo

Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate internet come un enorme registro pubblico dove tutti possono vedere esattamente chi ha inviato denaro a chi e quanto. È così che funzionano la maggior parte delle moderne valute digitali oggi: ogni transazione è come una cartolina spedita per posta. Chiunque passi di lì può leggere il nome del mittente, il nome del destinatario e l'importo in dollari. Sebbene questa trasparenza aiuti a prevenire le frodi, significa anche che la vostra vita finanziaria è completamente esposta. Potreste temere che le persone possano indovinare quanti soldi avete o, peggio ancora, che le vostre abitudini di spesa vengano tracciate e vendute agli inserzionisti.

Per risolvere questo problema, i crittografi hanno cercato di costruire "buste digitali" che nascondano questi dettagli. Alcuni sistemi utilizzano un metodo in cui si frammenta il proprio denaro in minuscole note non collegate (come scomporre un assegno in pezzi), il che nasconde la connessione tra le transazioni ma rende difficile tenere un conto corrente del proprio saldo. Altri cercano di mantenere il modello basato su conti (dove si ha un unico grande saldo), ma faticano a nascondere gli importi senza dover ricorrere a una terza parte fidata per impostare il sistema, oppure lasciano piccole crepe matematiche che un hacker esperto potrebbe sfruttare per indovinare il proprio saldo. La grande domanda è stata: possiamo mantenere la comodità di un singolo conto bancario, nascondere il saldo e l'importo della transazione e rendere impossibile capire chi ha pagato chi, il tutto senza fidarsi di un'autorità centrale?

È qui che entra in gioco il documento HERMES. I ricercatori propongono un nuovo sistema progettato specificamente per le blockchain basate su account (come Ethereum) che riesce a fare tutte e tre le cose contemporaneamente. Hanno costruito una "cassaforte digitale" che utilizza un tipo speciale di matematica chiamata Crittografia a Impegno Coerente (Commitment-Coherent Encryption). Pensate a questo come a una sorta di cassaforte magica in cui il lucchetto stesso è anche una ricevuta. Di solito, nella privacy digitale, si deve usare uno strumento per chiudere la scatola e uno completamente diverso per dimostrare di non aver violato il protocollo, il che crea un processo disordinoso e lento. HERMES progetta il lucchetto in modo che la prova di onestà sia integrata direttamente nella scatola stessa.

Il team ha dimostrato matematicamente che il loro sistema è sicuro, il che significa che a meno che un hacker non riesca a risolvere un problema matematico molto difficile (il problema di Decisional Diffie-Hellman), non potrà sbirciare dentro la cassaforte. Hanno anche introdotto un sistema a "Tripla Chiave". Immaginate di avere tre chiavi diverse: una per chiudere il denaro, una per dare un'occhiata a chi vi ha inviato una lettera (senza poterla aprire) e una per identificare voi stessi. Se qualcuno ruba solo una di queste chiavi, non può rompere l'intero sistema; otterrà l'accesso solo a quella specifica parte, lasciando intatta il resto della vostra privacy.

Per assicurarsi che non si tratti solo di teoria, il team ha costruito un prototipo funzionante. Hanno scoperto che il loro sistema è abbastanza veloce da essere pratico: richiede circa 320 microsecondi (ovvero 0,00032 secondi) per criptare una transazione, un tempo sufficiente per l'uso nel mondo reale. Hanno anche dimostrato che anche se un hacker corrompe alcuni utenti, il sistema può comunque proteggere gli altri. Sebbene il sistema abbia attualmente un limite sull'entità dell'importo di una transazione (per mantenere la matematica veloce), esso riesce con successo a colmare il divario tra la comodità dei normali conti bancari e la privacy del contante segreto, il tutto senza dover affidarsi a un intermediario fidato per la sua configurazione.

Riepilogo Tecnico: HERMES

Definizione del Problema

Le blockchain basate su modello ad account (ad es. Ethereum) legano identità persistenti a saldi mutabili, causando il fatto che ogni trasferimento riveli apertamente il mittente, il destinatario e l'importo della transazione. Sebbene questa trasparenza supporti l'auditabilità, crea significativi rischi di privacy per gli utenti della DeFi (front-running), gli emittenti di stablecoin (confidenzialità del saldo) e i consorzi aziendali (esposizione della catena di approvvigionamento).

Portare la privacy nel modello ad account è strutturalmente più difficile rispetto al modello UTXO (ad es. Zcash, Monero) perché un singolo identificatore accumula tutte le interazioni. Raggiungere la privacy in questo contesto richiede di soddisfare simultaneamente tre proprietà mutuamente vincolanti:

Confidenzialità del Saldo: Gli osservatori non apprendono nulla riguardo al saldo attuale dell'account.
Indistinguibilità dell'Importo della Transazione: Gli osservatori non possono distinguere tra diversi importi di trasferimento.
Scollegabilità tra Mittente e Destinatario: Gli osservatori non possono collegare il mittente al destinatario.

I lavori precedenti non riescono a conciliare tutte e tre le proprietà all'interno di un unico framework formale. Gli schemi UTXO nascondono le relazioni ma mancano di saldi persistenti; gli schemi ad account o espongono le identità, o richiedono setup fidati, o offrono solo argomentazioni di sicurezza parziali senza riduzioni unificate ad assunzioni standard.

Metodologia

HERMES (Halo2-Enhanced Rollup Maze ElGamal Shield) propone un framework unificato basato su giochi che stabilisce tutti e tre i garanti di privacy tramite riduzione all'assunzione Decisional Diffie-Hellman (DDH), senza richiedere un setup fidato.

Primitivi Crittografici Core

ElGamal Esponenziale a Doppia Generatrice: HERMES utilizza una variante della crittografia ElGamal in cui il ciphertext è $(g^r, p_k^r \cdot h^m)$ . La seconda componente funziona strutturalmente come un impegno di Pedersen al messaggio $m$ .
Crittografia Coerente con Impegno (CCE): Il documento formalizza la CCE come principio di progettazione in cui una componente del ciphertext è anche un impegno valido. Ciò consente di costruire prove di intervallo (range proofs) direttamente sul ciphertext, eliminando il "ponte" con protocolli $\Sigma$ , eliminando così l'overhead crittografico.
Randomizer Indipendenti: Per prevenire la fuga algebrica (dove i rapporti tra le componenti del ciphertext rivelano le differenze di plaintext), HERMES assegna un randomizer unico e indipendente $r_k$ a ogni ciphertext. Il documento dimostra che questa è l'unica strategia per chiudere le superfici di fuga algebrica sotto l'assunzione DDH.
Separazione a Tripla Chiave: Il sistema impiega tre componenti di chiave distinte:
1. Chiave dell'Importo ( $sk_a$ ): Per cifrare/decifrare i saldi.
2. Chiave di Visualizzazione ( $sk_v$ ): Per scansionare i trasferimenti in entrata (generando tag di visualizzazione) senza capacità di firma.
3. Indirizzo: Un hash unidirezionale delle chiavi pubbliche.
  Questa architettura assicura che la compromissione di una chiave (ad es. la chiave di visualizzazione) non comprometta le altre.

Architettura del Sistema

Chiusura On-Chain: I destinatari utilizzano i View Tag (hash troncati di $Y_1^{sk_v}$ ) per filtrare le transazioni in entrata on-chain. Un tag corrispondente innesca una decifrazione completa Baby-Step Giant-Step (BSGS). Ciò elimina la necessità di notifiche off-chain richieste dagli schemi non decifrabili.
Prove a Conoscenza Zero: Il sistema utilizza Halo2 con un backend Inner Product Argument (IPA) per un setup trasparente. Le prove verificano la validità del saldo, i vincoli di intervallo ( $0 \le t < 2^{32}$ ), l'appartenenza allo stato e l'anonimato del mittente tramite prove One-out-of-Many all'interno di un set di anonimato di dimensione $N$ .
Flusso della Transazione: I trasferimenti comportano la selezione di un set di anonimato, la generazione di ciphertext indipendenti per il mittente (debit) e il destinatario (credit), e la sottomissione di una singola prova al contratto L1.

Contributi Chiave

Il documento rivendica quattro contributi specifici:

Framework Unificato Basato su Giochi: Il primo modello formale che definisce simultaneamente la privacy del saldo, l'indistinguibilità dell'importo e la scollegabilità, con riduzioni esplicite e strette all'assunzione DDH per tutte e tre.
Formalizzazione di CCE e Fuga Algebrica: Una tassonomia completa delle superfici di fuga algebrica nei sistemi basati su ElGamal, dimostrando che la randomizzazione indipendente per ogni ciphertext è la condizione necessaria e sufficiente per la chiusura totale della fuga sotto DDH.
Architettura a Separazione di Chiave Tripla: Un'analisi del "raggio di compromissione" formale che dimostra che la compromissione di una singola chiave (importo, visualizzazione o indirizzo) è strettamente limitata al ruolo di tale chiave, preservando la sicurezza degli altri componenti.
Sicurezza e Performance Concrete: Derivazione di limiti di sicurezza concreti (vantaggio dell'attaccante $\le q \cdot 2^{-\lambda}$ ) e selezione dei parametri su BN254. La crittografia ElGamale a doppia generatrice raggiunge prestazioni sub-millisecondo ( $\approx 320 \mu s$ ), validando la deployabilità pratica.

Risultati e Valutazione

Sicurezza: La sicurezza delle tre proprietà di privacy è ridotta alla durezza di DDH.
- Privacy del Saldo: Riduzione stretta (Vantaggio $\le Adv_{DDH}$ ).
- Indistinguibilità dell'Importo: Riduzione quasi stretta (Vantaggio $\le 2 \cdot Adv_{DDH}$ ).
- Scollegabilità: Riduzione con un fattore di $2N$ (dove $N$ è la dimensione del set di anonimato) più l'overhead di simulazione ZK. Per $N=8$ , questo mantiene circa 96 bit di sicurezza su BN254.
Performance (Livello Crittografico):
- Cifratura: $\approx 320 \mu s$ .
- Decifrazione BSGS: $\approx 1.5 ms$ (limitata ad importi $< 2^{32}$ ).
- Scansione Chiave di Visualizzazione: $\approx 0.6 ms$ per ciphertext.
- Addizione Omomorfica: $\approx 40 \mu s$ .
Performance (Sistema di Prove):
- Utilizzando Halo2 con backend KZG (per la verifica on-chain): Generazione della prova $\approx 5.1 s$ , verifica $\approx 4 ms$ , dimensione della prova $\approx 3.4 KB$ (con $N=8$ ).
- Utilizzando Halo2 con backend IPA (setup trasparente): Dimensione della prova $\approx 1.46 KB$ .
- Throughput: Il throughput nativo è di circa $\approx 0.2 txs/s$ (singola prova); l'aggregazione dei batch (livello di sistema) è necessaria per un throughput più elevato.
Confronto: HERMES è l'unico schema identificato che combina CCE (zero-bridging), set di anonimato, riduzioni DDH unificate e setup trasparente. Offre una verifica più veloce di Zcash Orchard e Aztec V5, sebbene la generazione delle prove sia più lenta rispetto ai sistemi basati su Groth16 come Penumbra.

Significato e Rivendicazioni

Il documento posiziona HERMES come una soluzione per disaccoppiare la semantica della privacy dei ledger ad account da specifici sistemi di prova. Formalizzando la CCE e dimostrando la necessità di randomizer indipendenti, fornisce un modello per futuri sistemi di account che preservano la privacy.

L'autore afferma che HERMES dimostra che gli account privati verificabili senza fiducia sono pratici per le blockchain ad account. Lo ottiene:

Eliminando il requisito del setup fidato (tramite Halo2 IPA).
Abilitando la scoperta completa dei saldi on-chain (tramite Chiavi di Visualizzazione e BSGS), rimuovendo la dipendenza dalle notifiche off-chain.
Fornendo un modello di sicurezza rigoroso e unificato che copre tutte e tre le dimensioni critiche della privacy, un vuoto lasciato da lavori precedenti come Zether, PGC e cWETH.

Il documento riconosce i limiti, tra cui il modello di avversario statico (elevato ad adattivo con un costo binomiale), l'importo massimo della transazione ( $2^{32}$ ) dovuto ai vincoli BSGS, e la dipendenza da un Sequencer per la liveness (sebbene il Sequencer non possa decifrare i saldi né collegare le parti). Il lavoro futuro è identificato nella migrazione post-quantistica e nell'aggregazione ricorsiva delle prove.