1703866920
1703866921
Tor[1]
1703866922
1703866923
如何处理一个有好坏两面性的技术，比特币并不是唯一一个面临这种道德上两难选择问题的技术。另外一个匿名性设定有争议的系统是Tor，一个匿名通信网络。
1703866924
1703866925
一方面，Tor的用户只是一些普通人，想保护他们在网络上不被跟踪。其用户包括记者、社会活动家和持不同政见者等，他们追求在互联网上的言论自由而不用担心政治迫害。同时，执法部门的探员也使用这个系统，监控在线嫌疑犯，而不会泄露他们的IP地址（毕竟，大家都知道IP地址是根据不同的组织机构来分配的，包括执法部门）。很显然，Tor有很多应用场景是我们从道德上认可的。另一方面，它也还有一些不好的应用场景：有人用其运作僵尸网络来控制一些被感染的电脑，进而用来传播淫秽等非法图片。
1703866926
1703866927
要想从技术角度去区分这些使用场景，基本上是不可能的。Tor的开发者以及社区一直在尝试解决这个难题，全社会也在努力尝试。我们似乎可以总结一下，整体而言，这样的技术利大于弊，实际上，Tor主要的投资方之一就是美国政府，其投资兴趣在于，Tor可以让不同政见者在互联网上发表自由言论，而不用担心政治迫害。同时，执法部门也勉强接受Tor的存在，甚至还开发了使用这个平台的方法。FBI也经常会查封一些在“黑暗网络”上非法传播色情图片的网站，即使这些网站也使用了Tor的平台，多数情况是，这些网站的运营者被绳之以法。我们必须要记住，技术仅仅是工具，而那些犯罪分子生活在现实世界里，并可能留下各种犯罪证据，或者在使用这些工具的时候犯一些人为错误。
1703866928
1703866929
在本章6.5节中，我们会探讨零币（Zerocoin）和零钞（Zerocash），这是一种匿名化并且去中心化的加密数字货币系统，有点类似于乔姆的电子货币（ecash），但是因为上述两个限制，它们需要找到合适的方法，以解决棘手的加密问题。
1703866930
1703866931
[1]The Onion Router，洋葱路由，用户通过Tor可以在互联网上进行匿名交流。——译者注
1703866932
1703866933
1703866934
1703866935
1703866936
区块链技术驱动金融：数字货币与智能合约技术 [:1703863941]
1703866937
区块链技术驱动金融：数字货币与智能合约技术 6.2 如何对比特币去匿名化
1703866938
1703866939
我们已经强调过很多次比特币仅仅是一个化名系统，所以你所有的交易记录或者交易地址很有可能被关联在一起。让我们再进一步讨论这种关联是怎么发生的。
1703866940
1703866941
图6.1展示了维基解密的捐款页面上的一个片段（包括本章开头的时候就引用的一段），请注意那个在比特币地址旁边的刷新按钮。可能你会期望通过点击这个刷新按钮，就会把接收捐款的地址换成一个全新生成的地址。类似地，如果你刷新页面或者关闭这个页面，重新再打开的时候，这个地址也会重新生成，而且是之前没有出现过的。这是因为，维基解密需要保证每接收一笔新的捐款，都会对应一个新创设的仅用于此笔捐款的公钥。维基解密这么做就是最大限度地利用了可以创建新化名功能的作用。这事实上就是比特币钱包实现匿名性的最好途径。
1703866942
1703866943
1703866944
1703866945
1703866946
图6.1 维基解密的捐款页面的一个片段
1703866947
1703866948
注：请注意那个在比特币地址旁边的刷新按钮。维基解密遵循了为每一笔捐款生成一个新接收地址的比特币匿名化的最佳实践。
1703866949
1703866950
你可能觉得这些不同的地址一定是无法关联的，维基解密收到的不同的捐款是完全分开的，并且推测它们可以分开使用每一笔捐款，但事实并非如此。
1703866951
1703866952
关联性（linking）
1703866953
1703866954
假设爱丽丝想要去买一个茶壶，价格是8个比特币（可能根据2015年的比特币价格，实际情况应该是8分比特币，1个=100分）。进一步假设，她的比特币分在三个不同的地址里面，分别有3、5和6个比特币。实际上，爱丽丝没有一个比特币地址有足够的8个比特币，她必须要把两个输出合并成一个单体输入，以支付给店铺。
1703866955
1703866956
1703866957
隐形地址
1703866958
1703866959
假设鲍勃要通过他的网站还有广告牌来宣传他的捐赠地址。现在还没有任何方式可以将一个不同的地址显示给每个用户，必然地，接收现场捐款的这个地址会很容易连接到鲍勃的站点。
1703866960
1703866961
能够利索地解决这个问题的办法，是利用隐形地址（stealth addresses）。它允许收件人鲍勃发布一个静态“永久”的地址，任何发件人（比如爱丽丝）由此可以派生出新的地址，该地址的私钥只有鲍勃知道。
1703866962
1703866963
这是如何做到的呢？回忆一下椭圆曲线数字签名算法（ECDSA）中的公钥的函数形式是gx，其中的x是私钥，地址函数是H(gx)。为了启用隐形地址，鲍勃需要广告公钥本身，而不是长度更短的哈希值。然后，爱丽丝可以选取一个随机数值r, 计算 (gx)r=gxr,并且将钱汇给这个公钥。如果爱丽丝能够单独将数值r发送给鲍勃，鲍勃就可以计算出正确的私钥xr，将汇到公钥gxr的钱花掉。
1703866964
1703866965
这种方法并不完美，因为爱丽丝需要将数值r发送给鲍勃，而且还假定即使鲍勃不在线，比特币交易照样运行。为了解决这个问题，还有更复杂的协议，让爱丽丝能够有效地将数值r嵌入比特币交易本身。随后，鲍勃可以扫描区块链，检测针对他的交易，并恢复私钥。黑暗钱包中使用了这种方法，该钱包设计时旨在增强隐私，并且类似的想法在加密签名（CryptoNote）这种另类币中有所使用。
1703866966
1703866967
那么问题来了，这笔交易会在区块链网络里有一个永久的记录，任何看到这个记录的人都可以推断，这两个输入型交易很有可能是由同一个用户控制的。换句话说，共享型消费，成为不同输入地址联合控制的证据。当然也可能存在例外，有可能爱丽丝和鲍勃是同寝室的朋友，决定一起联合购买这个茶壶，并且分开付款。但是，大体来说，共同输入基本上意味着共同控制。
1703866968
1703866969
