Reppo 的隐私与安全
Reppo 的隐私模型随着版本演进而变化。
提交-揭示（commit-reveal）是 Reppo V1 的一部分。它并非 Reppo V2 的一部分。
本页将该遗留投票机制与网络当前使用的隐私与安全模型区分开来。
1. 遗留隐私机制：Reppo V1 中的提交-揭示
Reppo 使用一种 提交-揭示方案 以在分发与评估周期中防止偏见、贿赂或投票操纵。
提交阶段
投票者生成其投票与一个秘密盐值组合后的哈希：
commit = hash(vote + salt)此提交发布在链上。在此阶段，任何人都无法推断实际投票或投票者偏好。
揭示阶段
在提交窗口关闭后，投票者揭示其原始投票和盐值。
系统会验证
hash(vote + salt)是否与先前的提交匹配。只有有效的揭示会被计入结果和分发。
优点
防止提前披露结果。
确保提交后投票无法更改。
保持投票匿名且可验证。
示例流程：
用户 → commit("positive", salt123) → 链上存储哈希 → 之后揭示 ("positive", salt123) → 系统验证 → 奖励分配。
此流程在区块链上固定了公开的参与证明，同时维护公平性。
2. 当前隐私与安全模型
当前的 Reppo 模型不依赖提交-揭示。
相反，隐私与安全来自于最小化链上暴露、控制对敏感数据的访问，并使重要操作可审计而不暴露底层内容。
数据保留与最小化
链上数据： 仅将必要的密码学证明、余额和参与记录永久存储。在 V1 中，这包括投票哈希。任何可读的人类内容或个人识别信息均不会触及区块链。
链下数据： 内容和元数据存放在分布式存储中（例如 IPFS、Arweave、datanet 数据库）用于 验证或审计所需的最短时间 。
到期策略： 一旦分发和争议解决完毕，链下数据可能被修剪或重新加密以消除与钱包的可关联性。
受限数据网的访问控制
受限访问的数据网允许组织和创作者对敏感数据集保持完全控制。
基于角色的访问： datanet 所有者定义谁可以读取、写入和投票。访问通过钱包允许列表或角色代币强制执行。
加密： 所有私有数据在静态和传输中均被加密。只有 datanet 所有者或其委托者持有解密密钥。
可验证的审计： 每次访问或更新都会发出轻量级的链上证明，确保透明性而不泄露底层数据。
合规与法律一致性
Reppo 与主要的全球隐私标准保持一致，同时保持完全去中心化。
GDPR / CCPA 原则
数据最小化： 仅在链上存储必要的元数据。
被遗忘权： datanet 所有者可以轮换或撤销加密密钥以使数据无法访问。
用途限制： 为模型训练收集的数据未经新同意不得被重新用于其他目的或转售。
PII 边界： 个人可识别信息不应被上传。提交前内容必须去标识化或伪匿名化。
区域存储： 企业 datanet 可以选择区域性或特定司法辖区的存储端点以遵守数据本地化法律。
安全最佳实践
智能合约设计精简并由 Pashov Group 审计，减少攻击面。
敏感操作如密钥管理、加密和验证工作流在链下处理，并在适当情况下采用密码学证明。
Reppo 支持 社区漏洞赏金 和 第三方安全审计 以维持透明度与信任。
钱包认证取代了集中式用户账户，确保参与者对私钥的完全保管。
摘要
Reppo 的隐私设计在 透明性 和 与保密性:
之间取得平衡。
敏感活动在不暴露原始用户数据的情况下可被验证。
数据可被验证但不被暴露。
用户保留对其信息的控制权。
在 V1 中，提交-揭示在投票期间保护了选票隐私。在当前模型中，隐私与安全依赖于最小化链上暴露、控制对敏感数据的访问，以及使验证可审计而不将底层内容公开。
最后更新于