💻 computer science

VA-DAR: A PQC-Ready, Vendor-Agnostic Deterministic Artifact Resolution for Serverless, Enumeration-Resistant Wallet Recovery

本文提出了 VA-DAR，一种面向无服务器钱包的、供应商无关且抗后量子攻击的确定性工件解析协议，它通过基于 ACE-GF 的密钥派生与去中心化注册机制，在利用用户标识符和恢复短语实现跨设备恢复的同时，有效抵御了公共目录枚举攻击并保障了数据完整性。

原作者： Jian Sheng Wang

发布于 2026-03-04

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Jian Sheng Wang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇文章介绍了一种名为 VA-DAR 的新系统，它旨在解决数字钱包（比如加密货币钱包）在“无服务器”环境下如何安全、方便地找回资产的问题。

为了让你轻松理解，我们可以把整个系统想象成在一个没有管理员的“公共图书馆”里，如何安全地保管和找回你唯一的“传家宝”。

1. 核心痛点：现在的钱包太脆弱

传统方式（助记词）： 就像把传家宝的钥匙抄在一张纸上，藏在鞋盒里。如果鞋盒丢了，或者纸被烧了，你就永远找不到传家宝。而且，如果别人偷看了你的纸，他们就能拿走你的东西。
现代方式（生物识别/Passkey）： 就像把传家宝锁在一个只有你指纹能开的保险柜里。这很安全，但如果你换了手机（比如手机丢了），指纹打不开新手机，你就拿不到传家宝了。
VA-DAR 的目标： 既要像指纹锁一样方便（日常使用），又要像密码本一样便携（换设备也能找回），还要防止别人通过搜索你的名字来偷窥你的存在。

2. VA-DAR 是如何工作的？（三个关键角色）

VA-DAR 设计了三种不同状态的“保险箱”（Artifact），分别应对不同场景：

📦 角色一：SA1（本地保险箱）—— 日常用的“指纹锁”

场景： 你每天用手机打开钱包。
机制： 这个保险箱被你当前手机的指纹/面容 ID 锁住了。
比喻： 就像你家里的智能门锁，只有你本人（生物特征）能开。
作用： 保证日常使用既快又安全，不需要每次都输入长密码。

📦 角色二：SA2（备份保险箱）—— 换设备时的“万能钥匙”

场景： 手机丢了，或者换了新手机。
机制： 这个保险箱不依赖任何手机，只由你自己设定的**“主密码”**（Primary Passphrase）锁住。它被加密后存放在一个公开的、去中心化的存储网络（像 IPFS 或 Arweave）上。
比喻： 这是一个你藏在公共图书馆里的“时间胶囊”，里面装着传家宝。只有知道特定密码的人，才能从图书馆的目录里找到它，并打开它。
关键点： 即使你换了新手机，只要记得密码，就能在新手机上打开这个胶囊，重新生成指纹锁（SA1）。

📦 角色三：SA3（新本地保险箱）—— 恢复后的“新指纹锁”

场景： 在新手机上成功找回了传家宝。
机制： 系统会立刻在新手机上生成一个新的指纹锁（SA3），把传家宝锁好，供你日常使用。

3. 最厉害的创新：如何防止“被偷窥”？

这是 VA-DAR 最聪明的地方。

问题： 如果有一个公开的目录（Registry），上面写着“张三的钱包在 A 地址，李四的在 B 地址”，黑客就可以遍历这个目录，看看谁有钱包，然后针对性地攻击。这叫“枚举攻击”。

VA-DAR 的解决方案：带锁的目录（Keyed Discovery）

传统做法： 目录里直接写“张三 -> 地址 A"。
VA-DAR 做法： 目录里不写名字，只写一串乱码（比如 X7#9!mP）。
- 这串乱码是怎么来的？它是用你的“主密码” + “你的名字” 经过复杂的数学运算生成的。
- 比喻： 想象图书馆的目录卡片上不是写着“张三”，而是写着一串只有张三知道密码才能解开的“暗号”。
- 效果：
  - 如果你不知道张三的密码，就算你知道他叫“张三”，你也算不出那串暗号是什么，因此你根本找不到他在图书馆的哪个位置。
  - 只有张三自己，输入密码，才能算出暗号，去图书馆找到那个保险箱。
- 结果： 黑客无法通过遍历目录来发现谁有钱包，因为目录对他们来说就是一片乱码。

4. 安全性如何保证？（防篡改与防回滚）

防篡改（完整性）： 每次更新保险箱位置，都需要用“主人的私钥”签名。就像银行转账需要签名一样，别人无法伪造你的签名去修改目录。
防回滚（Rollback Resistance）： 系统有一个“版本号”。如果你把保险箱从位置 A 移到了位置 B（版本号 2），黑客不能偷偷把目录改回位置 A（版本号 1）。系统只接受版本号越来越大的更新。
防量子计算（PQC-Ready）： 这个系统设计时考虑了未来。如果有一天量子计算机能破解现在的加密，我们只需要把底层的“签名算法”升级一下，整个系统就能无缝切换到抗量子模式，不需要用户重新注册。

5. 总结：VA-DAR 解决了什么？

便携性： 不需要把钱包绑定在某家公司的服务器上，换手机、换设备都能找回。
隐私性： 别人无法通过搜索你的邮箱或名字，发现你是否有钱包（因为目录是加密的）。
安全性： 结合了生物识别（日常快）和密码（恢复强），并且有防篡改机制。
无厂商锁定： 不依赖任何特定公司，数据存在去中心化网络上，谁都不能删掉你的备份。

一句话概括：
VA-DAR 就像给你的数字资产装了一个**“只有你知道密码才能看见的隐形保险箱”**。平时用指纹开，换设备时输密码就能在茫茫人海（去中心化网络）中精准定位并找回，而且黑客就算拿着放大镜看目录，也根本找不到你的保险箱在哪里。

VA-DAR 技术总结：面向无服务器、抗枚举的钱包恢复方案

1. 研究背景与问题定义

1.1 核心痛点

现有的数字钱包恢复方案在便携性、可用性和隐私性之间难以取得平衡：

助记词（Mnemonic Seeds）：虽然便携，但对普通用户而言操作脆弱，易丢失或被盗。
Passkeys（通行密钥）：提供强大的本地生物识别认证，但通常与特定厂商的同步服务或设备绑定状态耦合，难以在“无中心化服务器”的严格约束下实现跨设备恢复。
公共目录枚举风险：传统的去中心化查找方案若直接使用标识符（如邮箱）的哈希值作为索引，攻击者可通过穷举常见标识符来探测用户是否拥有钱包（成员关系泄露），即枚举攻击（Enumeration Attack）。

1.2 目标

本文提出 VA-DAR（Vendor-Agnostic Deterministic Artifact Resolution），旨在构建一个无服务器、抗枚举、PQC（后量子密码）就绪的钱包恢复层。其核心目标是：

仅凭用户提供的标识符（如邮箱）和主恢复短语（Primary Passphrase）即可实现跨设备恢复。
防止攻击者仅通过标识符枚举来探测钱包存在性。
确保恢复过程不依赖任何中心化服务器或特定厂商。

2. 方法论与系统设计

VA-DAR 作为一个构建在 ACE-GF（一种密封工件处理与确定性推导原语）之上的发现与恢复层，采用了以下关键技术架构：

2.1 三种密封工件（Sealed Artifacts）角色

系统定义了三种不同用途的工件，以平衡本地安全与跨设备恢复：

SA1 (本地工件)：由设备绑定的 Passkey PRF（伪随机函数）密封。用于日常本地解锁（生物识别），不可用于跨设备恢复。
SA2 (备份工件)：仅由用户选择的**主恢复短语（Primary Passphrase）**密封。存储在去中心化存储网络（如 Arweave）中，是跨设备恢复的唯一来源。
SA3 (新本地工件)：在新设备上恢复后，由新设备的 Passkey PRF 重新密封，用于日常使用。

关键特性：SA2 的解密完全独立于设备硬件，仅依赖用户记忆，从而实现了无厂商锁定的恢复。

2.2 密钥推导与严格域分离

为了复用同一个恢复短语同时服务于“工件密封”、“发现索引”和“注册授权”，系统采用了两阶段推导和严格域分离：

阶段 A（查找/认证根）：基于标识符 $I$ 和短语 $P$ 推导查找密钥 $K_{lookup}$ 。此阶段用于生成发现 ID，无需获取 SA2。
阶段 B（工件解密根）：在获取 SA2 后，解析其中的盐值，推导密封根密钥 $K_{sealroot}$ 。
域分离：通过 HKDF 将根密钥派生为三个独立密钥：
- $K_{sa}$ ：用于密封/解密 SA2。
- $K_{idx}$ ：用于生成发现 ID（DiscoveryID）。
- $K_{reg}$ ：用于注册授权。
- 设计原则：严禁在不同角色间直接复用密钥，防止侧信道攻击或密钥泄露导致的级联失效。

2.3 抗枚举的发现标识符构建

机制：发现 ID 不是标识符的简单哈希，而是基于密钥的 HMAC 构造：
$\text{DiscoveryID} = \text{HMAC}(K_{idx}, \text{ctx}_{did} \parallel \text{Norm}(I))$
原理：由于 $K_{idx}$ 依赖于用户私有的恢复短语 $P$ ，攻击者无法在不知道 $P$ 的情况下计算特定标识符对应的 DiscoveryID。这使得公共注册表无法被用于枚举用户成员资格。

2.4 注册表与更新授权

数据结构：注册表存储 DiscoveryID 到 内容标识符 (CID) 的映射，包含单调版本号（ver）和工件承诺（commit）。
更新授权选项：
- Option A (HMAC 授权)：基于短语派生密钥生成 HMAC 签名。需配合 ZK 证明或链下验证器，隐私性高但实现复杂。
- Option B (公钥授权)：首次注册时原子绑定所有者公钥，后续更新需签名。易于在 L2 智能合约上实现，是本文推荐的主要部署实例。
防回滚（Rollback Resistance）：强制版本号单调递增，防止攻击者将映射回滚到旧的 CID。

3. 协议流程

初始注册 (Flow 1)：
- 用户输入标识符 $I$ 和短语 $P$ 。
- 推导 $K_{idx}$ 和 $K_{sa}$ 。
- 生成 SA2（加密 REV），上传至去中心化存储获取 CID。
- 计算 DiscoveryID，原子写入注册表（绑定 Owner 公钥）。
跨设备恢复 (Flow 2)：
- 新设备输入 $I$ 和 $P$ 。
- 推导 $K_{idx}$ 计算 DiscoveryID，查询注册表获取 CID。
- 下载 SA2，验证承诺，推导 $K_{sa}$ 解密获取 REV。
- 生成新设备本地 SA3。
备份更新/撤销 (Flow 3)：
- 支持密码轮换或工件更新。
- 若密码不变，更新同一 DiscoveryID 下的版本和 CID。
- 若密码变更，生成新的 DiscoveryID，并可选择性地标记旧条目为“墓碑”或重定向。

4. 安全分析与主要成果

4.1 形式化安全证明

论文通过密码学博弈（Cryptographic Games）证明了以下目标：

枚举抵抗性 (G2)：在假设 Argon2id 单向性和 HMAC 为伪随机函数（PRF）的前提下，攻击者无法区分真实用户 ID 与随机 ID，除非进行昂贵的离线密码猜测（受限于内存硬 KDF 成本）。
映射完整性 (G3)：在 Option B 模型下，未经授权无法篡改映射。攻击者需伪造签名或破解密码/密钥派生。
防回滚安全性 (G4)：结合注册表的单调版本控制和客户端的完整性检查（Hash Commitment），防止旧版本工件的重放或篡改。

4.2 关键贡献

抗枚举的密钥发现构造：解决了公共目录中通过标识符哈希泄露用户存在性的问题。
域分离的密钥调度：防止了单一短语在密封、索引和授权角色间的密钥复用风险。
版本化注册表协议：提供了带所有者授权的原子更新和防回滚机制。
PQC 就绪架构：由于 ACE-GF 的算法敏捷性，VA-DAR 支持平滑迁移到后量子算法，仅需更新注册表授权层的签名算法（如 Option B 使用 PQ 签名）。

5. 意义与局限性

5.1 意义

隐私保护：实现了真正的“无服务器”恢复，且公共注册表不再是用户目录，保护了用户元数据。
去中心化与便携性：解除了对特定厂商同步服务的依赖，用户仅凭记忆（短语）和公开基础设施即可恢复资产。
标准化与互操作性：作为 ACE-GF 的补充层，不修改底层原语，易于集成到现有钱包生态中。
未来兼容性：为后量子时代的钱包安全预留了清晰的迁移路径。

5.2 局限性与挑战

弱密码风险：如果用户短语熵值不足，仍面临离线猜测攻击（需通过策略强制高熵和 KDF 成本）。
可用性依赖：恢复依赖于去中心化存储和注册表的可用性（需多端点容错）。
密钥撤销：VA-DAR 仅解决“发现”和“恢复”工件的更新，不直接撤销链上已派生的旧地址或密钥（需配合智能账户或资产迁移机制）。
Option B 的密钥生命周期：若所有者签名密钥泄露，防回滚机制失效（这是基于公钥体系的固有特性）。

结论

VA-DAR 提出了一种务实的混合架构，巧妙地将设备绑定的本地安全（Passkey）与基于短语的便携恢复（Password）分离开来。通过引入密钥化发现标识符和严格域分离，它在保持去中心化和无服务器特性的同时，有效抵御了公共目录枚举攻击，为下一代隐私保护的钱包恢复方案提供了重要的理论依据和工程蓝图。