Zmiana adresów Bitcoin: elektroniczny system płatności peer-to-peer

1. Wstęp

Załącznik 295

Handel w Internecie opiera się prawie wyłącznie na instytucjach finansowych, które są zaufanymi stronami trzecimi do przetwarzania płatności elektronicznych. Chociaż system działa wystarczająco dobrze dla większości transakcji, nadal cierpi z powodu nieodłącznych słabości modelu opartego na zaufaniu. Całkowicie nieodwracalne transakcje nie są tak naprawdę możliwe, ponieważ instytucje finansowe nie mogą uniknąć mediacji w sporach. Koszt mediacji zwiększa koszty transakcyjne, ograniczając minimalny praktyczny rozmiar transakcji i odcinając możliwość drobnych transakcji dorywczych, a szerszy koszt wiąże się z utratą możliwości dokonywania nieodwracalnych płatności za nieodwracalne usługi. Wraz z możliwością odwrócenia rośnie potrzeba zaufania. Sprzedawcy muszą uważać na swoich klientów i nękać ich o więcej informacji, niż potrzebowaliby w innym przypadku. Pewien odsetek oszustw jest uznawany za nieunikniony. Tych kosztów i niepewności co do płatności można uniknąć osobiście, używając fizycznej waluty, ale nie istnieje żaden mechanizm dokonywania płatności kanałem komunikacyjnym bez zaufanej strony. Potrzebny jest elektroniczny system płatności oparty na dowodzie kryptograficznym, a nie na zaufaniu, pozwalający dwóm chętnym stronom na bezpośrednie dokonywanie transakcji między sobą bez konieczności korzystania z zaufanej strony trzeciej. Transakcje, których odwrócenie jest niepraktyczne pod względem obliczeniowym, chroniłyby sprzedawców przed oszustwami, a rutynowe mechanizmy depozytu można łatwo wdrożyć w celu ochrony kupujących. W tym artykule proponujemy rozwiązanie problemu podwójnych wydatków przy użyciu rozproszonego serwera znaczników czasu typu peer-to-peer do generowania obliczeniowego dowodu chronologicznej kolejności transakcji. System jest bezpieczny, o ile uczciwe węzły zbiorowo kontrolują większą moc procesora niż jakakolwiek współpracująca grupa węzłów atakujących.

2. Transakcje

Definiujemy monetę elektroniczną jako łańcuch podpisów cyfrowych. Każdy właściciel przekazuje monetę następnemu, podpisując cyfrowo skrót poprzedniej transakcji oraz klucz publiczny następnego właściciela i dodając je na końcu monety. Odbiorca może zweryfikować podpisy, aby zweryfikować łańcuch własności. Problem polega oczywiście na tym, że odbiorca nie może zweryfikować, czy jeden z właścicieli nie wydał dwukrotnie monety. Powszechnym rozwiązaniem jest wprowadzenie zaufanego organu centralnego lub mennicy, który sprawdza każdą transakcję pod kątem podwójnych wydatków. Po każdej transakcji moneta musi zostać zwrócona do mennicy, aby wyemitować nową monetę, a tylko monety wyemitowane bezpośrednio z mennicy nie są podwójnie wydane. Problem z tym rozwiązaniem polega na tym, że los całego systemu pieniężnego zależy od firmy prowadzącej mennicę, a każda transakcja musi przejść przez nie, tak jak bank. Potrzebujemy sposobu, aby odbiorca wiedział, że poprzedni właściciele nie podpisali żadnych wcześniejszych transakcji. Dla naszych celów liczy się najwcześniejsza transakcja, więc nie przejmujemy się późniejszymi próbami podwójnego wydania. Jedynym sposobem potwierdzenia braku transakcji jest znajomość wszystkich transakcji. W modelu menniczym mennica była świadoma wszystkich transakcji i decydowała, która dotarła jako pierwsza. Aby to osiągnąć bez zaufanej strony, transakcje muszą być publicznie ogłaszane [1] i potrzebujemy systemu, w którym uczestnicy mogliby uzgodnić jedną historię kolejności, w jakiej zostały odebrane. Odbiorca potrzebuje dowodu, że w momencie każdej transakcji większość węzłów zgodziła się, że była to pierwsza otrzymana transakcja.

Załącznik 296

3. Serwer znacznika czasu

Proponowane przez nas rozwiązanie zaczyna się od serwera znaczników czasu. Serwer sygnatury czasowej działa na zasadzie zbierania skrótu bloku elementów, które mają być opatrzone znacznikiem czasowym i szeroko rozpowszechniającego go, na przykład w gazecie lub poście w Usenecie [2-5]. Znacznik czasu dowodzi, że dane musiały istnieć w tym czasie, oczywiście, aby dostać się do skrótu. Każdy znacznik czasu zawiera poprzedni znacznik czasu w swoim skrócie, tworząc łańcuch, a każdy dodatkowy znacznik czasu wzmacnia te poprzedzające.

Sieć

Kroki, aby uruchomić sieć, są następujące:

1) Nowe transakcje są transmitowane do wszystkich węzłów.
2) Każdy węzeł gromadzi nowe transakcje w bloku.
3) Każdy węzeł pracuje nad znalezieniem trudnego dowodu pracy dla swojego bloku.
4) Gdy węzeł znajdzie dowód pracy, rozgłasza blok do wszystkich węzłów.
5) Węzły akceptują blok tylko wtedy, gdy wszystkie zawarte w nim transakcje są ważne i nie zostały jeszcze wykorzystane.
6) Węzły wyrażają swoją akceptację bloku, pracując nad utworzeniem następnego bloku w łańcuchu, używając hasha zaakceptowanego bloku jako poprzedniego hasha.

Załącznik 297

Węzły zawsze uważają najdłuższy łańcuch za właściwy i będą dalej pracować nad jego przedłużeniem. Jeśli dwa węzły jednocześnie transmitują różne wersje następnego bloku, niektóre węzły mogą najpierw odebrać jedną lub drugą. W takim przypadku pracują nad pierwszą, którą otrzymali, ale zachowują drugą gałąź na wypadek, gdyby stała się dłuższa. Remis zostanie zerwany, gdy zostanie znaleziony następny dowód pracy i jedna gałąź stanie się dłuższa; węzły, które pracowały na drugiej gałęzi, przełączą się następnie na dłuższą.

Transmisje nowych transakcji nie muszą koniecznie docierać do wszystkich węzłów. Dopóki dotrą do wielu węzłów, wkrótce znajdą się w bloku. Transmisje blokowe są również odporne na odrzucone wiadomości. Jeśli węzeł nie otrzyma bloku, zażąda go, gdy otrzyma następny blok i zorientuje się, że pominął jeden.

Zachęta

Zgodnie z konwencją, pierwsza transakcja w bloku jest transakcją specjalną, która uruchamia nową monetę będącą własnością twórcy bloku. Stanowi to zachętę dla węzłów do obsługi sieci i zapewnia sposób początkowej dystrybucji monet do obiegu, ponieważ nie ma centralnego organu, który by je emitował. Stałe dodawanie stałej ilości nowych monet jest analogiczne do sytuacji, w której górnicy wydają zasoby, aby dodać złoto do obiegu. W naszym przypadku zużywa się czas procesora i energię elektryczną. Zachętę można również sfinansować z opłat transakcyjnych. Jeżeli wartość wyjściowa transakcji jest mniejsza niż jej wartość wejściowa, różnica jest opłatą transakcyjną, która jest dodawana do wartości zachęty bloku zawierającego transakcję. Gdy z góry określona liczba monet wejdzie do obiegu, zachęta może przejść całkowicie na opłaty transakcyjne i być całkowicie wolna od inflacji. Zachęta może zachęcić węzły do zachowania uczciwości. Jeśli chciwy napastnik jest w stanie zebrać więcej mocy procesora niż wszystkie uczciwe węzły, musiałby wybrać między używaniem go do oszukiwania ludzi poprzez kradzież swoich płatności lub wykorzystaniem go do generowania nowych monet. Powinien uważać, że bardziej opłaca się grać według zasad, takich reguł, które faworyzują go dzięki większej liczbie nowych monet niż wszyscy razem wzięci, niż podważanie systemu i słuszności jego własnego bogactwa.

Załącznik 298

Odzyskiwanie miejsca na dysku

Gdy ostatnia transakcja w monecie zostanie zakopana pod wystarczającą liczbą bloków, wykorzystane transakcje, zanim zostaną odrzucone, aby zaoszczędzić miejsce na dysku. Aby ułatwić to bez łamania hasha bloku, transakcje są haszowane w drzewie Merkle, a tylko korzeń jest zawarty w hashu bloku. Stare bloki można następnie ubić, odcinając gałęzie drzewa. Wewnętrzne skróty nie muszą być przechowywane.