HASH160: SHA-256, затем RIPEMD-160

Любопытство

1. Зачем Bitcoin использует две разные хеш-функции последовательно?
2. Что даёт 160-битный хеш такого, чего не даёт 256-битный?
3. Как хеш длиной 20 байт может быть одновременно безопасным и уязвимым?

Исследование

1. Необработанный публичный ключ в Bitcoin в сжатом виде занимает 33 байта. Это слишком много для эффективного использования в транзакциях. Чтобы сократить его без ущерба для криптографической надёжности, Bitcoin применяет двухэтапный процесс: SHA-256, а затем RIPEMD-160. Эта комбинация называется HASH160 и даёт результат длиной 160 бит (20 байт) — достаточно компактный для кодирования в адрес.
2. Хеш-функция RIPEMD-160, разработанная в 1996 году Хансом Доббертином, Антооном Босселарсом и Бартом Пренелем, даёт более короткий результат, чем SHA-256, и создана в рамках открытого академического процесса. Сначала к публичному ключу (или, в случае P2SH, к скрипту) применяется SHA-256, затем к результату SHA-256 применяется RIPEMD-160. Такая последовательность обеспечивает баланс безопасности и эффективности; она используется в выходах Pay-to-PubKey-Hash (P2PKH), Pay-to-Script-Hash (P2SH) и Pay-to-Witness-PubKey-Hash (P2WPKH).
3. Использование двух разных хеш-функций добавляет ещё один эшелон защиты. Вложенность помогает главным образом против атак на нахождение прообраза, поскольку подбор ключа под заданный хеш потребовал бы взлома обеих функций; против коллизий она не помогает, так как любая коллизия SHA-256 одновременно является коллизией HASH160. При этом 160 бит выходного значения означают стойкость к коллизиям около 80 бит, что приемлемо для выходов адресов с одним ключом. Проблемы возникают в совместных скриптах, в формировании которых участвуют несколько сторон, — поэтому SegWit и Taproot используют для нативных скриптов 32-байтные значения.
4. Распространено утверждение, что хеширование ключа защищает монеты от будущих квантовых компьютеров. Эта защита частичная. При трате публичный ключ раскрывается, поэтому защищены только выходы, ключи которых ещё ни разу не были показаны; повторное использование адресов сводит защиту на нет; а выходы Taproot размещают публичный ключ непосредственно в блокчейне. Достаточно мощный квантовый компьютер поставил бы под угрозу любой раскрытый ключ.
5. Чтобы построить адрес Bitcoin из публичного ключа, к нему применяется HASH160, затем перед результатом ставится идентификатор сети (0x00 для P2PKH в основной сети), а после — 4-байтная контрольная сумма, полученная двойным SHA-256. Эта 25-байтная последовательность затем кодируется в Base58, что даёт удобочитаемый адрес. Такая кодировка исключает неоднозначные символы и включает контрольную сумму для обнаружения ошибок при переписывании.
6. Чтобы увидеть это на практике, откройте обозреватель блоков и найдите транзакцию P2PKH. Найдите поле scriptPubKey — в нём должен быть 20-байтный хеш. Сравните его с публичным ключом, раскрытым при трате этого выхода. Вы увидите, что публичный ключ длиннее, а хеш — это укороченная закодированная версия, используемая в адресе.

Ключевые факты

Упражнение девять, шесть, три, один

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

• Dobbertin, Bosselaers & Preneel, 'RIPEMD-160' (1996)
• Mastering Bitcoin, 3rd ed. (2023)
• Bitcoin Wiki, 'Technical background of version 1 Bitcoin addresses'