Ring Signature

Een ring signature (ringhandtekening) stelt één lid van een groep in staat om een transactie te ondertekenen door zijn echte ondertekeningssleutel cryptografisch te vermengen met de publieke sleutels van alle andere leden, zodat een verifier kan bevestigen dat de handtekening van iemand uit die groep komt, maar geen wiskundige manier heeft om te bepalen van wie precies. Geen enkel groepslid hoeft toestemming te geven of samen te werken: de ondertekenaar verzamelt simpelweg publieke sleutels die al zichtbaar zijn op het netwerk en combineert deze met zijn eigen private key om de handtekening te genereren.

Het concept bestond al vóór blockchain. Cryptografen Ron Rivest, Adi Shamir en Yael Tauman introduceerden ring signatures in 2001 in een paper getiteld "How to Leak a Secret", waarin ze oorspronkelijk werden voorgesteld als een manier voor een insider om informatie anoniem te lekken terwijl hij toch bewijst rechtmatige toegang te hebben. Het gebruik voor transactieprivacy kwam later, met name via het CryptoNote-protocol.

Bij Monero, een privacy coin gebouwd op CryptoNote, wordt elke transactie-input ondertekend met een schema genaamd MLSAG (Multilayered Linkable Spontaneous Anonymous Group signatures). De echte output die wordt uitgegeven, wordt vermengd met 15 decoy-outputs die worden opgehaald uit eerdere blockchainactiviteit, waardoor een ring van 16 mogelijke ondertekenaars ontstaat. Een cryptografisch "key image" gekoppeld aan de echte sleutel voorkomt dat dezelfde output ooit twee keer wordt uitgegeven, zonder te onthullen welk ringlid de handtekening heeft geproduceerd. In combinatie met stealth addresses en RingCT, dat het overgedragen bedrag verbergt met behulp van bulletproofs, laten ring signatures Monero de zender, ontvanger en waarde tegelijk verhullen.

De belangrijkste afweging is omvang: elke decoy voegt data toe aan een transactie, en statistische analyse heeft in randgevallen af en toe de anonimiteit verkleind. Dit drijft Monero-ontwikkelaars naar een opvolgersysteem, FCMP++, een zero-knowledge proof-aanpak die de anonimiteitsset zou uitbreiden van een vaste ring van 16 naar de volledige pool van niet-uitgegeven outputs op de chain.