环签名

加密货币中的环签名是什么？

环签名是一种密码学签名，可以证明某个选定群体中的一名成员签署了消息或交易，同时不透露具体是哪位成员创建了签名。在加密货币中，环签名主要用于通过将真实支出者隐藏在一组可能的支出者中，提升交易隐私。普通数字签名可以证明某个特定公钥签署了消息。环签名则证明一个环中的某个公钥签署了消息，但会隐藏实际使用的签名密钥。

Rivest、Shamir 和 Tauman 的原始论文《如何泄露秘密》（How to Leak a Secret）将环签名正式定义为一种在群体中匿名签名的方法。

“环”这一名称源于签名者将一组公钥选作一个群体；这一过程不需要群体管理员。对加密货币用户而言，核心概念很简单：环签名可以证明交易由有效密钥授权，同时隐藏哪个候选密钥才是真正的密钥。因此，环签名对注重隐私的交易系统尤为重要。

环签名的简单定义

环签名是一种数字签名，允许群体中的一名成员签署某项内容，而不透露具体是哪位成员签署。验证者可以确认该签名对这个群体有效。仅凭签名，验证者无法识别具体签名者。在加密货币交易中，这可以将真实输入隐藏在诱饵输入之中。区块链仍然可以验证交易是否获得授权。使用可链接环签名和密钥映像时，区块链还可以防止双重支付。这意味着隐私保护和交易验证可以兼顾。环签名本身不会隐藏交易的所有信息，但可以隐藏签名者或支出者。

环签名为何对加密货币很重要

环签名很重要，因为公共区块链通常会向所有人公开交易数据。在透明区块链上，观察者可能会随着时间推移追踪地址、输入、输出和余额。这种可见性有助于审计，但也可能损害金融隐私。环签名通过增加识别真实支出输入的难度，帮助缓解这一问题。

Monero 环签名文档说明，环签名由群体中的一名成员生成，并且在计算上应无法识别具体由哪个密钥生成。

当用户希望保护支付隐私，又不想请求中心化机构隐藏身份时，这一特性十分有用。在加密货币支付中，环签名可以保护用户隐私、商业机密、捐赠者匿名性、薪资保密性和基本金融自由。它们也很重要，因为这展示了密码学如何在保护隐私的同时，让网络仍能验证规则。

环签名与普通数字签名

普通数字签名可以证明某个特定私钥签署了特定消息。

NIST 的数字签名标准指出，数字签名可以检测未经授权的修改，并验证签名者身份。

这对普通加密货币交易很有用，因为网络需要证明账户所有者批准了交易。环签名改变了隐私模式。它仍然可以证明签名者拥有群组中某个有效私钥。但它不会透露使用了哪个私钥。因此，普通签名提供直接问责能力，而环签名则提供基于群组的授权和签名者匿名性。二者都是有效的密码学工具，但解决的问题不同。

环签名的运作方式

环签名始于一名拥有私钥的真实签名者。签名者选择一组公钥，其中包括与真实私钥相对应的公钥。其他公钥则是诱饵或其他可能的签名者。随后，签名者创建一个在数学上将消息与整个群组关联起来的签名。验证者可以检查该签名是否由拥有其中某个相应私钥的人创建。验证者无法判断环中的哪个公钥对应真正的签名者。这让签名者可以在选定的群组中获得合理的可否认性。在加密货币中，群组通常由链上现有输出或密钥构成。

环签名中的“环”是什么？

“环”是指签名中包含的一组公钥。其中一个公钥属于真实签名者。其他公钥则充当诱饵。更大的环可以形成更大的匿名集，但也可能增加数据量和验证成本。

Monero 环大小文档解释说，环大小是环中签名者的总数，并以 16 为例，说明它由 1 个真实输出和 15 个诱饵组成。

环大小很重要，因为它会同时影响隐私和效率。如果环太小，观察者需要考虑的候选签名者可能更少。如果环太大，交易可能更庞大，验证成本也可能更高。

什么是诱饵？

诱饵是环中包含的、并非真实支出者的公钥或输出。它们的作用是增加识别真实签名者的难度。在交易系统中，诱饵通常从区块链上的历史输出中选取。观察者会看到一组可能的输出，难以判断其中哪一个实际被花费。诱饵选择非常重要，因为选择不当会削弱隐私。如果诱饵明显较旧、不同寻常或从统计上看不太可能是真实支出，分析者可能更容易猜出真实输入。因此，现代隐私系统会特别关注诱饵选择算法。环签名的隐私保护能力，取决于这个环看起来是否合理。

什么是环大小？

环大小是环签名中成员的数量。如果环大小为 16，就有 16 个可能的签名者。其中 1 个是真实签名者，另外 15 个是诱饵。在其他条件相同的情况下，较大的环可以扩大即时匿名集。不过，更大的环也会增加存储和验证数据量。这形成了隐私与效率之间的权衡。加密协议必须谨慎选择环大小，因为每笔交易都会影响网络长期存储和验证的负担。合适的环大小应提升隐私，同时避免让区块链过于沉重，以至于普通用户难以运行节点。

可链接环签名

可链接环签名是一种环签名，可以在不透露具体密钥的情况下揭示同一私钥是否被重复使用。这一特性对加密货币很重要，因为用户不能重复花费同一笔输出。如果无法进行关联，签名者就可能使用同一枚币创建多个匿名签名，尝试双重支付。可链接环签名通过加入一个与真实支出唯一对应的公开值来解决这一问题。许多隐私币设计将这一公开值称为密钥映像（key image）。网络可以拒绝使用相同密钥映像的第二笔交易。观察者可以检测到重复支出的尝试，但仍无法知道环中哪名成员是真实签名者。这是隐私型 UTXO 加密货币支付中最重要的设计理念之一。

什么是密钥映像？

密钥映像是一种密码学数值，用于在可链接环签名系统中防止双重支付。它由正在花费的真实输出推导而来。它不会直接透露哪个输出才是真实输出。同一输出再次被花费时，会再次出现相同的密钥映像。网络据此可以检测双重支付并拒绝交易。这让区块链能够维持每个输出只能花费一次的规则。与此同时，支出者仍隐藏在环成员之中。密钥映像是环签名能够用于实际加密货币隐私交易的重要原因之一。

环签名与 CryptoNote

CryptoNote 是将环签名引入加密货币隐私设计的重要协议系列。

CryptoNote 白皮书介绍了一次性环签名如何支持加密货币系统中的不可关联性。

CryptoNote 风格的系统使用一次性地址、环签名和密钥映像，让交易追踪更加困难。其目标是隐藏被花费的输出，并降低将支付关联到用户钱包的可能性。这种设计影响深远，因为它展示了如何在实际运行的数字现金系统中使用环签名。它也说明隐私保护不只是隐藏单个字段。发送方隐私、接收方隐私、金额隐私和网络隐私是不同的问题。环签名主要有助于保护发送方或输入隐私。

环签名与 RingCT

RingCT 是 Ring Confidential Transactions（环机密交易）的简称。RingCT 将环签名与机密交易技术结合，以隐藏支出者和交易金额。

《环机密交易》研究论文介绍了一种隐藏交易金额的方法，同时使用环签名和一次性密钥隐藏交易来源与目的地。

这很重要，因为如果金额仍然公开且容易用于关联交易，仅隐藏发送方还不够。例如，独特金额可能会在不同交易之间形成可识别的特征。金额隐私通过向公众观察者隐藏转移价值，降低了这种风险。RingCT 是分层隐私设计的一个典型例子。环签名提供一层隐私保护，而隐藏金额的承诺则提供另一层。

环签名与 CLSAG

CLSAG 是 Concise Linkable Spontaneous Anonymous Group signature（简洁可链接自发匿名群组签名）的缩写。这是一种效率更高的可链接环签名构造，用于现代注重隐私的交易系统。

CLSAG 审计结果页面说明，与早期环签名构造相比，CLSAG 签名体积更小、速度更快，同时仍接受了严格的安全分析。

效率很重要，因为隐私系统必须能够供真实用户实际使用。如果签名太大，交易的存储、传播和验证成本都会增加。如果验证速度太慢，节点运营也会变得更加困难。CLSAG 的重要性在于，它在保留可链接性和签名者模糊性的同时提升了性能。这表明随着研究者不断寻找更好的权衡，隐私密码学也在持续发展。

环签名可以隐藏什么

环签名可以隐藏环中的哪位成员创建了签名。在加密货币交易中，这通常意味着隐藏哪个输入才是真正被花费的输入。观察者看到的是几个可能的输入，而不是一个显而易见的输入，因此环签名可以增加区块链分析的难度。由于环中的任何成员都可能是签名者，环签名也可以为用户提供合理的可否认性。不过，环签名不会自动隐藏接收方。它也不会自动隐藏交易金额。它不会自动隐藏 IP 地址或钱包的网络行为。要实现全面隐私，通常需要多种工具协同工作。

环签名无法隐藏什么

环签名无法隐藏区块链上的所有信息。它不会阻止交易被记录到账本中。它不会隐藏发生了一笔有效支出这一事实。除非结合隐藏金额的系统，否则它不会隐藏交易金额。除非结合一次性地址或隐身地址系统，否则它不会隐藏接收方信息。除非用户同时使用网络隐私工具，否则它不会隐藏 IP 信息等网络元数据。它无法保护主动公开钱包数据的用户。只有密码学隐私、钱包行为和网络行为都朝着同一目标设计，才能实现更强的隐私保护。

环签名与群签名

环签名和群签名都允许签名者隐藏在一个群体中。主要区别在于，群签名通常设有群体管理员。管理员可以添加成员，而且在某些设计中可能能够揭示签名者身份。环签名不需要群体管理员。签名者可以自行选择构成环的公钥。因此，环签名更具自发性和去中心化特征。对加密货币而言，这很有用，因为用户无需获得中心化机构许可，就可以创建隐私集合。代价是，与受管理的群签名系统相比，其问责能力和成员控制能力较弱。

环签名与多重签名

环签名不应与多重签名混淆。多重签名可以证明多名指定签名者共同批准了一笔交易。环签名可以证明群体中某位身份未知的签名者批准了消息。多重签名侧重共同控制和更强授权。环签名侧重签名者隐私。多签钱包可以要求 3 人中的 2 人批准一笔财资付款。环签名则可以隐藏许多可能输出中究竟哪一个被花费。两种工具都使用密码学签名，但目标截然不同。

环签名与门限签名

门限签名允许群体在足够多成员参与时创建一个有效签名。例如，3-of-5 门限签名可以允许任意 3 名获批签名者授权交易。环签名则允许一名签名者隐藏在一组可能的签名者中。门限签名适用于托管、机构钱包、验证者运营和财资安全。环签名则适用于匿名性和交易隐私。门限签名提升运营安全。环签名提升签名者隐私。两种技术有时可以在高级研究中结合使用，但它们不是相同的基础密码学原语。

环签名与零知识证明

零知识证明允许一方在不透露底层秘密的情况下证明某个陈述为真。环签名可以证明签名者属于所选群体，同时不透露具体是哪位成员签名。两者都是增强隐私的密码学工具。但它们并不相同。零知识证明通常用于在不暴露数据的情况下证明余额、有效性或成员资格等陈述。环签名专门用于在群体中匿名签名。有些隐私系统使用环签名，另一些则使用零知识证明或成员资格证明。具体选择取决于隐私目标、效率、可审计性和协议设计。

环签名与币混合

币混合试图通过汇集用户资金或交易流程来切断交易关联。环签名则通过密码学将真实签名者隐藏在诱饵之中。混合通常依赖用户、服务或时间模式之间的协调。环签名可以直接嵌入交易授权机制。如果区块链围绕环签名设计，这种方式就能更好地融入协议本身。不过，环签名仍取决于诱饵质量和用户行为。两种方法都无法在所有情况下做到完美。评估隐私工具时，应关注其威胁模型，而不仅仅是名称。

环签名与匿名集

匿名集是指可能与观察到的行为相对应的一组用户或输出。环签名通过环成员形成一个即时匿名集。如果环包含 16 个成员，外部观察者在进行额外分析前会看到 16 个可能的签名者。不过，如果诱饵质量较差，或其他交易数据泄露信息，实际匿名集可能更小。因此，环大小并不能代表全部隐私情况。诱饵选择、钱包行为、时间、输出年龄、金额隐私和网络元数据也很重要。诱饵质量差的大环，实际隐私效果可能不如表面所示。有时，诱饵逼真的小环，可能比预期更能抵抗简单分析。

环签名与诱饵选择

诱饵选择是确定哪些虚假输出会出现在环中的过程。这个过程必须让诱饵看起来真实可信。如果真实用户通常在特定时间模式下花费输出，诱饵也应遵循类似模式。诱饵选择不当会让分析者更准确地猜出真实支出。例如，如果所有诱饵都非常旧，而真实输出是新生成的，真实输出就可能显得突出。现代钱包软件会尝试按照更符合正常支出行为的方式选择诱饵。随着区块链分析方法不断进步，相关研究也在持续进行。诱饵选择是环签名隐私保护中最难处理的实际问题之一。

环签名与全链成员资格证明

全链成员资格证明（Full-Chain Membership Proofs，简称 FCMP）是一项较新的隐私研究方向，旨在证明某个输出属于规模大得多的一组输出。

全链成员资格证明开发文章说明，FCMP 可以证明被花费的输出是链上任意一个输出之一，从而大幅扩大即时匿名集。

这很重要，因为传统环签名使用固定环大小。固定大小的环只能提供有限数量的诱饵。全链成员资格方案试图免去选择小型诱饵环的需要。这可以减少诱饵选择不当造成的隐私弱点。不过，FCMP 类系统需要先进密码学和谨慎的工程实现。FCMP 研究的存在表明，环签名隐私保护能力很强，但并非区块链隐私的最终方案。

环签名与 OSPEAD

OSPEAD 是 Optimal Spend Probability Estimation Across Denominations（跨面额最优支出概率估算）的缩写。这项研究旨在改进对环签名统计分析的防护。

OSPEAD 研究文章称，当前研究显示环签名模型存在隐私风险，并指出全链成员资格证明可能是未来的升级方向。

这很重要，因为隐私系统必须如实说明自身局限。环签名可以隐藏签名者，但如果诱饵模式较弱，统计攻击仍可能降低不确定性。OSPEAD 研究表明，隐私保护不仅取决于密码学是否正确。它也取决于现实行为和概率模型。完善的隐私工程必须同时考虑数学和用户行为。

环签名的优势

环签名的第一项优势是保护签名者隐私。第二项优势是不需要中心化群体管理员。第三项优势是合理的可否认性，因为环中的任何成员都可能签名。第四项优势是可以与可链接机制兼容，以防止双重支付。第五项优势是在注重隐私的加密货币交易中具有实用价值。第六项优势是具有灵活性，因为签名者可以选择一组可能的签名者。第七项优势是可以与隐身地址和机密交易等其他隐私工具结合使用。这些优势使环签名成为加密货币发展史上最重要的隐私原语之一。

环签名的局限

第一项局限是隐私取决于环成员。第二项局限是诱饵选择不佳会降低匿名性。第三项局限是环签名不会自动隐藏金额或接收方。第四项局限是更大的环会增加数据量和验证要求。第五项局限是现实支出模式泄露信息时，环签名可能容易受到统计分析。第六项局限是即使密码学设计正确，用户行为仍可能削弱隐私。第七项局限是未来的分析方法、软件漏洞或协议假设可能影响旧交易的隐私。环签名功能强大，但不是能提供魔法般隐私保护的屏障。

环签名的安全属性

安全的环签名应具备不可伪造性。这意味着除非攻击者控制环中的某个私钥，否则不应能够创建有效签名。它还应具备签名者模糊性。这意味着观察者无法判断环中的哪位成员进行了签名。在加密货币中，可链接环签名还应提供可链接性，以便检测双重支付。它不应允许攻击者诬陷诚实用户为签名者。它还应在现实的密码学假设下保持安全。在环签名系统用于保护真实资金前，必须仔细审查这些属性。

环签名的风险

环签名风险包括诱饵选择不当、环太小、实现漏洞、随机性较弱、侧信道泄露、元数据泄露和未来的密码分析。即使签名算法在数学上可靠，存在缺陷的钱包仍可能选择质量不佳的诱饵。软件漏洞可能泄露哪个输出才是真实输出。随机性不足可能暴露私钥，或以不安全的方式让签名可关联。时间、网络活动或钱包行为产生的元数据可能降低隐私保护效果。区块链分析能力的未来提升，也可能削弱此前的安全假设。用户不应假设环签名本身就能保证完全匿名。隐私保护需要良好的协议设计、安全实现、谨慎的钱包使用方式和持续研究。

关于环签名的常见误解

一种常见误解是环签名能让交易完全不可见。事实并非如此，因为账本仍会记录发生过一笔有效交易。另一种误解是环签名会自动隐藏接收方和金额。除非结合其他隐私工具，否则环签名主要隐藏签名者或真实输入。还有一种误解是环越大就一定能实现完美隐私。更大的环可能有帮助，但诱饵质量和元数据同样重要。另一种误解是环签名与多重签名相同。环签名将一名签名者隐藏在群体中，而多重签名要求多名签名者共同批准操作。

环签名的风险信号

钱包或项目声称可以提供完美隐私，却不说明环大小、诱饵选择和威胁模型，是一种风险信号。忽视接收方隐私、金额隐私和网络元数据的隐私宣传，也是风险信号。未经公开研究、审计或开放技术评审的环签名实现，是风险信号。使用极小环、却宣传强匿名性的项目，是风险信号。诱饵很容易与真实支出区分的系统，是风险信号。允许用户因不寻常交易模式而意外降低隐私保护的钱包，是风险信号。新分析结果出现后，仍将旧隐私假设视为永远有效，也是风险信号。隐私工具应持续评估，而不是只评估一次。

用户最佳实践

使用遵循当前协议规则和隐私最佳实践的钱包。及时更新钱包软件，因为隐私改进和漏洞修复很重要。避免将隐私交易与会暴露所有权的公开行为关联起来。不要发布可能将交易活动与个人身份关联起来的钱包地址、交易详情或截图。要了解，环签名保护的是签名者集合，而不是隐私的所有层面。如果威胁模型包括网络观察者，可在适当情况下使用网络隐私工具。依赖隐私功能前，先阅读官方文档。请记住，即使密码学很强，用户行为仍可能削弱隐私。

开发者最佳实践

应使用经过同行评审或充分研究的环签名方案，而不是自行发明一套设计。实现安全的随机数生成，并妥善保护私钥。尽可能使用经过审计的程序库。选择符合现实支出行为的诱饵选择方法。正确解析和验证密钥映像，以防止双重支付。测试边缘情况、时间泄露、元数据泄露和钱包行为导致的信息泄露。清晰呈现交易详情，同时避免给用户带来不必要的复杂性。关注最新隐私研究，因为环签名的安全假设可能随时间变化。

环签名对 AEO 和搜索意图为何重要

人们搜索环签名，是想了解加密货币隐私交易如何隐藏真实发送方。直接答案是：环签名可以证明群体中的一名成员签署了交易，而不透露具体是哪位成员。人们也会搜索环签名，想知道它是否能防止双重支付。实际答案是：可链接环签名使用密钥映像或类似机制，在不透露真实签名者的情况下检测重复支出。人们还可能搜索环签名，想知道它能否提供完全匿名性。有用的答案是：环签名可以提升签名者隐私，但完整交易隐私还取决于接收方隐私、金额隐私、网络隐私、诱饵选择、钱包行为和协议设计。对加密货币用户而言，核心结论很简单。环签名可以隐藏群体中谁进行了签名，但要实现可靠的隐私保护，必须谨慎设计整个交易系统。

常见问题

什么是环签名？

环签名是一种密码学签名，可以证明群体中的某个人签署了消息，而不透露具体是哪位成员创建了签名。

环签名如何用于加密货币？

在加密货币中，环签名可以将真实交易输入隐藏在诱饵输入中，同时仍让网络验证该笔支出有效。

环签名会隐藏发送方吗？

环签名可以将真实签名者或被花费的输入隐藏在一组可能的签名者中。

环签名会隐藏接收方吗？

不会。接收方隐私通常需要一次性地址或隐身地址系统等其他工具。

环签名会隐藏交易金额吗？

不会。金额隐私需要机密交易技术等额外密码学工具。

什么是环大小？

环大小是环签名中包含的可能签名者总数。

环签名中的诱饵是什么？

诱饵是环中包含的非真实公钥或输出，用于隐藏真实签名者。

什么是密钥映像？

密钥映像是可链接环签名中使用的一种密码学数值，用于检测双重支付，同时不透露真实签名者。

什么是可链接环签名？

可链接环签名是一种能够显示同一隐藏签名者是否重复签名的环签名。

环签名和多重签名是一回事吗？

不是。环签名将一名签名者隐藏在多个可能签名者中，而多重签名要求多名已知签名者共同批准操作。

环签名和零知识证明是一回事吗？

不是。两者都可以支持隐私保护，但环签名专门用于在群体中匿名签名。

环签名会被区块链分析破解吗？

签名本身可能仍然在密码学上有效，但诱饵选择不佳或元数据泄露可能降低实际隐私保护效果。

环签名仍然重要吗？

重要。尽管新的成员资格证明设计仍在发展，环签名在加密货币隐私发展史和当前隐私研究中仍然重要。

结语

环签名是一种注重隐私的数字签名，可以证明群体中的某人签署了消息或交易，而不透露具体是哪位成员签名。在加密货币中，环签名主要用于将真实支出输入隐藏在诱饵中，同时仍允许网络验证交易有效性。可链接环签名和密钥映像让这一机制适用于数字现金，因为它们可以在不暴露真实支出者的情况下帮助防止双重支付。环签名不同于普通签名、多重签名、群签名、门限签名和零知识证明。它的主要优势是在不需要中心化群体管理员的情况下保护签名者隐私。它的主要弱点是，实际隐私效果取决于环大小、诱饵质量、钱包行为、元数据、实现安全性和整体交易设计。现代隐私研究正在通过改进诱饵选择和扩大成员资格证明系统，持续改进或替代环签名模型的部分设计。实际结论很简单：环签名是一种强大的加密货币隐私工具，但只有结合完善的协议设计、安全的钱包、谨慎的用户行为和对风险的清醒认识，才能更好地发挥作用。