根生群演算法

Ⅰ 共識演算法系列之一：私鏈的raft演算法和聯盟鏈的 pbft 演算法

對數據順序達成一致共識是很多共識演算法要解決的本質問題
Fabic的pbft演算法實現
現階段的共識演算法主要可以分成三大類：公鏈，聯盟鏈和私鏈
私鏈，所有節點可信
聯盟鏈，存在對等的不信任節點
私鏈：私鏈的共識演算法即區塊鏈這個概念還沒普及時的傳統分布式系統里的共識演算法，比如 zookeeper 的 zab 協議，就是類 paxos 演算法的一種。私鏈的適用環境一般是不考慮集群中存在作惡節點，只考慮因為系統或者網路原因導致的故障節點。

聯盟鏈：聯盟鏈中，經典的代表項目是 Hyperledger 組織下的 Fabric 項目， Fabric0.6 版本使用的就是 pbft 演算法。聯盟鏈的適用環境除了需要考慮集群中存在故障節點，還需要考慮集群中存在作惡節點。對於聯盟鏈，每個新加入的節點都是需要驗證和審核的。

公鏈：公鏈不僅需要考慮網路中存在故障節點，還需要考慮作惡節點，這一點和聯盟鏈是類似的。和聯盟鏈最大的區別就是，公鏈中的節點可以很自由的加入或者退出，不需要嚴格的驗證和審核。

在公有鏈中用的最多的是pow演算法和pos演算法，這些演算法都是參與者的利益直接相關，通過利益來制約節點誠實的工作，解決分布式系統中的拜占庭問題。拜占庭容錯演算法是一種狀態機副本復制演算法，通過節點間的多輪消息傳遞，網路內的所有誠實節點就可以達成一致的共識。

使用拜占庭容錯演算法不需要發行加密貨幣，但是只能用於私有鏈或者聯盟鏈，需要對節點的加入進行許可權控制；不能用於公有鏈，因為公有鏈中所有節點都可以隨意加入退出，無法抵擋女巫攻擊（sybil attack）

raft 演算法包含三種角色，分別是：跟隨者（ follower ），候選人（candidate ）和領導者（ leader ）。集群中的一個節點在某一時刻只能是這三種狀態的其中一種，這三種角色是可以隨著時間和條件的變化而互相轉換的。

raft 演算法主要有兩個過程：一個過程是領導者選舉，另一個過程是日誌復制，其中日誌復制過程會分記錄日誌和提交數據兩個階段。raft 演算法支持最大的容錯故障節點是（N-1）/2，其中 N 為 集群中總的節點數量。

國外有一個動畫介紹raft演算法介紹的很透徹，鏈接地址為： http://thesecretlivesofdata.com/raft/ 。這個動畫主要包含三部分內容，第一部分介紹簡單版的領導者選舉和日誌復制的過程，第二部分內容介紹詳細版的領導者選舉和日誌復制的過程，第三部分內容介紹的是如果遇到網路分區（腦裂），raft 演算法是如何恢復網路一致的。

pbft 演算法的提出主要是為了解決拜占庭將軍問題
要讓這個問題有解，有一個 十分重要的前提 ，那就是 信道必須是可靠的 。如果信道不能保證可靠，那麼拜占庭問題無解。關於信道可靠問題，會引出兩軍問題。兩軍問題的結論是，在一個不可靠的通信鏈路上試圖通過通信以達成一致是基本不可能或者十分困難的。
拜占庭將軍問題最早是由 Leslie Lamport 與另外兩人在 1982 年發表的論文《The Byzantine Generals Problem 》提出的， 他證明了在將軍總數大於 3f ，背叛者為f 或者更少時，忠誠的將軍可以達成命令上的一致，即 3f+1<=n 。演算法復雜度為 o（n^(f+1)) 。而 Miguel Castro (卡斯特羅)和 Barbara Liskov （利斯科夫）在1999年發表的論文《 Practical Byzantine Fault Tolerance 》中首次提出 pbft 演算法，該演算法容錯數量也滿足 3f+1<=n ，演算法復雜度為 o（n^2）。

首先我們先來思考一個問題，為什麼 pbft 演算法的最大容錯節點數量是（n-1）/3，而 raft 演算法的最大容錯節點數量是（n-1）/2 ？

對於raft演算法，raft演算法的的容錯只支持容錯故障節點，不支持容錯作惡節點。什麼是故障節點呢？就是節點因為系統繁忙、宕機或者網路問題等其它異常情況導致的無響應，出現這種情況的節點就是故障節點。那什麼是作惡節點呢？作惡節點除了可以故意對集群的其它節點的請求無響應之外，還可以故意發送錯誤的數據，或者給不同的其它節點發送不同的數據，使整個集群的節點最終無法達成共識，這種節點就是作惡節點。

raft 演算法只支持容錯故障節點，假設集群總節點數為n，故障節點為 f ，根據小數服從多數的原則，集群里正常節點只需要比 f 個節點再多一個節點，即 f+1 個節點，正確節點的數量就會比故障節點數量多，那麼集群就能達成共識。因此 raft 演算法支持的最大容錯節點數量是（n-1）/2。

對於 pbft 演算法，因為 pbft 演算法的除了需要支持容錯故障節點之外，還需要支持容錯作惡節點。假設集群節點數為 N，有問題的節點為 f。有問題的節點中，可以既是故障節點，也可以是作惡節點，或者只是故障節點或者只是作惡節點。那麼會產生以下兩種極端情況：

第一種情況，f 個有問題節點既是故障節點，又是作惡節點，那麼根據小數服從多數的原則，集群里正常節點只需要比f個節點再多一個節點，即 f+1 個節點，確節點的數量就會比故障節點數量多，那麼集群就能達成共識。也就是說這種情況支持的最大容錯節點數量是 （n-1）/2。
第二種情況，故障節點和作惡節點都是不同的節點。那麼就會有 f 個問題節點和 f 個故障節點，當發現節點是問題節點後，會被集群排除在外，剩下 f 個故障節點，那麼根據小數服從多數的原則，集群里正常節點只需要比f個節點再多一個節點，即 f+1 個節點，確節點的數量就會比故障節點數量多，那麼集群就能達成共識。所以，所有類型的節點數量加起來就是 f+1 個正確節點，f個故障節點和f個問題節點，即 3f+1=n。
結合上述兩種情況，因此 pbft 演算法支持的最大容錯節點數量是（n-1）/3

pbft 演算法的基本流程主要有以下四步：

客戶端發送請求給主節點
主節點廣播請求給其它節點，節點執行 pbft 演算法的三階段共識流程。
節點處理完三階段流程後，返回消息給客戶端。
客戶端收到來自 f+1 個節點的相同消息後，代表共識已經正確完成。
為什麼收到 f+1 個節點的相同消息後就代表共識已經正確完成？從上一小節的推導里可知，無論是最好的情況還是最壞的情況，如果客戶端收到 f+1 個節點的相同消息，那麼就代表有足夠多的正確節點已全部達成共識並處理完畢了。

3.演算法核心三階段流程
演算法的核心三個階段分別是 pre-prepare 階段（預准備階段），prepare 階段（准備階段）， commit 階段（提交階段）

流程的對比上，對於 leader 選舉這塊， raft 演算法本質是誰快誰當選，而 pbft 演算法是按編號依次輪流做主節點。對於共識過程和重選 leader 機制這塊，為了更形象的描述這兩個演算法，接下來會把 raft 和 pbft 的共識過程比喻成一個團隊是如何執行命令的過程，從這個角度去理解 raft 演算法和 pbft 的區別。

一個團隊一定會有一個老大和普通成員。對於 raft 演算法，共識過程就是：只要老大還沒掛，老大說什麼，我們（團隊普通成員）就做什麼，堅決執行。那什麼時候重新老大呢？只有當老大掛了才重選老大，不然生是老大的人，死是老大的鬼。

對於 pbft 演算法，共識過程就是：老大向我發送命令時，當我認為老大的命令是有問題時，我會拒絕執行。就算我認為老大的命令是對的，我還會問下團隊的其它成員老大的命令是否是對的，只有大多數人 （2f+1） 都認為老大的命令是對的時候，我才會去執行命令。那什麼時候重選老大呢？老大掛了當然要重選，如果大多數人都認為老大不稱職或者有問題時，我們也會重新選擇老大。
四、結語
raft 演算法和 pbft 演算法是私鏈和聯盟鏈中經典的共識演算法，本文主要介紹了 raft 和 pbft 演算法的流程和區別。 raft 和 pbft 演算法有兩點根本區別：

raft 演算法從節點不會拒絕主節點的請求，而 pbft 演算法從節點在某些情況下會拒絕主節點的請求 ;
raft 演算法只能容錯故障節點，並且最大容錯節點數為 （n-1）/2 ，而 pbft 演算法能容錯故障節點和作惡節點，最大容錯節點數為 （n-1）/3 。

pbft演算法是通過投票來達成共識，可以很好的解決包括分叉等問題的同時提升效率。但僅僅比較適合於聯盟鏈私有鏈，因為兩兩節點之間通信量是O(n^2)（通過優化可以減少通信量），一般來說不能應用於超過100個節點。
pbft有解的前提是 信道必須是可靠的 ，存在的問題是 可擴展性（scalability）差

部分來自： https://blog.csdn.net/kojhliang/article/details/80270223
區塊鏈在設計上就是為了BFT

Ⅱ 密碼學系統

本文分為7個部分，第1部分介紹密碼學的基本概念，第2部分講解常見的對稱加密演算法，第3部分講解常見的非對稱加密演算法，第4部分講解 數字簽名, 第5部分講解PKI(Public Key Infrastructure)，第6部分講解哈希函數加密，第7部分講解密碼學在區塊鏈里的應用, 最後一部分會講解隨機數。

比較常見的對稱加密演算法有: Digital Encryption Standard(DES), Triple-DES, IDEA, BLOWFISH。

對稱加密的挑戰：

非對稱加密的挑戰:

比較常見的非對稱加密演算法有: RSA, ElGamal, ECC。

菲斯特爾結構的塊加密演算法是著名的一個分組密碼加密的設計模型。

1990年後對DES進行徹底的密鑰搜索的速度開始引起DES用戶的不適。 然而，用戶並不想取代DES，因為它需要花費大量的時間和金錢來改變廣泛採用並嵌入到大型安全架構中的加密演算法。

務實的做法不是完全放棄DES，而是改變DES的使用方式。 這導致了三重DES(3DES)的修改方案。

三重DES
在使用3TDES之前，用戶首先生成並分配一個3TDES密鑰K，它由三個不同的DES密鑰K1，K2和K3組成。

詳細可以看 Triple-DES

高級加密標准(Advanced Encryption Standard，AES)是目前比較流行和廣頌橋扮泛採用的對稱加密演算法。 發現至少比三重DES快6倍。
AES的功能如下:

對稱密鑰對稱分組密碼
128位數據，128/192/256位密鑰
比Triple-DES更強更快
提供完整的規格和設計細節

詳細可以看 AES

這個密碼系統是最初的系統之一。 即使在今天，它仍然是最多被使用的密碼系統。 該系統由三位學者Ron Rivest，Adi Shamir和Len Adleman發明，因此被稱為RSA密碼系統。

下面給出生成RSA密鑰對的一個例子(為了便於理解，這里採用的素數p＆q值很小，實際上這些值非常高）。

設兩個素數為p = 7且q = 13。因此，模數n = pq = 7×13 = 91。

選擇 e = 5，這是一個有效的選擇，因為沒有數字是公因子5和(p - 1)(q - 1)= 6×12 = 72，除了1。

這對數字(n，e) = (91, 5)形成公鑰，可以讓任何我們希望能夠向我們發送加密消息的人使用。

向擴展歐幾里德演算法輸入p = 7，q = 13和e = 5。 輸出將是d = 29。
因此，公鑰是(91, 5)，私鑰是(91, 29)。

假設發送者希望發送一些文本消息給公鑰為（n，e）的人。然後發件人將明文表示為一系列小於n的數字。
為了加密第一個明消茄文P，它是一個模n的數字。 加密過程是簡單的數學步驟:
C = Pe mod n
換句話說，密文C等於明文P乘以自己e次，然後減去模n。 這意味著C也是一個小於n的數字。
回到我們的密鑰生成例子，明文P = 10，我們得到密文C:
C = 105 mod 91

屬於ECC的一種變化。加密的核心理念與RSA相似，也是利用離散對數很難求解。
但與RSA不同的野灶是 公鑰的組成部分，EIGamal的公鑰有三部分組成， 質模數 p, 生成元素 g, 以及 公共的 Y = gx(g的x次方) mod p。
詳細可以看 ElGamal Crytosystem

橢圓曲線密碼術(ECC)是用來描述一套密碼工具和協議的術語，其安全性基於特殊版本的離散對數問題。它不使用數字模p。ECC基於與稱為橢圓曲線的數學對象相關聯的數字集合。有這些數字的加法和計算倍數的規則，就像數字模p一樣。

ECC包含許多最初為模塊化數字設計的密碼方案的變體，如ElGamal加密和數字簽名演算法。

相信當應用於橢圓曲線上的點時，離散對數問題更加困難。這會提示從數字模p切換到橢圓曲線上的點。如果我們使用基於橢圓曲線的變體，也可以用較短的密鑰獲得等效的安全級別。

較短的密鑰有兩個好處:
易於管理
高效的計算
這些優點使基於橢圓曲線的加密方案變體對計算資源受到限制的應用程序非常有吸引力。

詳細可以看 Elliptic Curve Cryptography

^符號表示為多少次方
簽名 = 消息^D mod N (D和N 為簽名者的私鑰，計算消息的D次方並求mod N，所得余數即為簽名)
消息 = 簽名^E mod N (E和N 為簽名者的公鑰，計算簽名的E次方並求mod N)

舉個例子:
私鑰: D = 29; N = 323
公鑰: E = 5; N = 323
消息: 123

由於 N 的值為 323, 因此消息需要為 0 ~ 322 這個范圍內的整數. 假設需要對 123 這個消息進行簽名.
用私鑰(D,N) = (29,323) 對消息 123 進行簽名.

消息^D mod N = 123^29 mod 323 = 157
因此 (消息, 簽名) = (123, 157)

用公鑰(E,N) = (5,323)對消息進行驗證
簽名^E mod N = 157^5 mod 323 = 123

得到消息 123 與發送者發送過來的消息 123 是一致的，因此簽名驗證成功.

https://andrea.corbellini.name/2015/05/17/elliptic-curve-cryptography-a-gentle-introction/

加法逆: a在集合中, -a在集合中的定義為使 a + (-a) = 0, 這就是加法逆元運算
乘法逆: a在集合中,且不為0, a^-1 在集合中定位為使 a* a^-1 = 1, 這就是乘法逆元運算

在聊橢圓曲線前，我們先打一些基礎然後再討論一下對數問題.

在一個集合上定義一個二元運算，這就是數學中的群。一個集合 G 要成為一個群，必須滿足下面 4 個條件:

從平常的加法概念來看, 整數集 Z 是一個群(而且是阿貝爾群). 自然數集 N 不是一個群.

我們可以在橢圓曲線上定義一個群:

https://andrea.corbellini.name/ecc/interactive/reals-add.html

如下圖: 點 A 的自我相加過程就是做 乘法的過程 這個過程叫 Point Doubling

計算 nP 需要做 n次加法 如果 n 為 k 位二進制 時間復雜度為 O(2^k)

倍加演算法 比如 n = 151 二進制為 10010111

用倍加演算法 時間復雜度有了很大的改進 O(logN) or O(k)

Q = nP

這只是 p = 211, 像 Secp256k1 這條橢圓曲線的 p = 34671663 一個78位的數字 要怎麼求出 n?

一個通俗的比喻: 假設這些點是有個人 A 在一個很大的房間里玩彈珠的游戲 玩了兩年 兩年後 A 的朋友 B來了 B看到了最後的點 以及 A 告訴B 起點 但是B怎麼能知道 A 是彈了多少次才從起點彈到終點？

上面這兩張圖是 橢圓曲線 - Secp256K1: y^2 = x^3 + 7
第一張圖: 定義在 實數域
第二張圖: 定義在 有限域Zp
是用下面的參數(p,a,b,G,n,h)形成的:

p = FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFE FFFFFC2F = 2^256 - 2^32 - 997
a = 0
b = 7
G = [0x79BE667E_F9DCBBAC_55A06295_CE870B07_029BFCDB_2DCE28D9_59F2815B_16F81798,
0x483ADA77_26A3C465_5DA4FBFC_0E1108A8_FD17B448_A6855419_9C47D08F_FB10D4B8]
n = 0xFFFFFFFF_FFFFFFFF_FFFFFFFF_FFFFFFFE_BAAEDCE6_AF48A03B_BFD25E8C_D0364141
h = 1

如果橢圓曲線上一點P, 存在最小的正整數 n 使得數乘 nP=O∞, 則將 n 稱為 P 的階

計算可得 27P = -P = (3, 13) 所以 28P = 0∞ P的階為28

如何簽名?
Sig = F sig ( F keccak256 ( m ) , k )

如何計算 r

如何計算 s
s ≡ q^-1 (Keccak256(m) + r * k) (mod p)

如何驗證簽名?

P.S. 上述驗證簽名的過程中 沒有用到發送者的 私鑰

RSA 密鑰大小(bits) ECC 密鑰大小 (bits)
1024 160
2048 224
3072 256
7680 384
15360 521

有一個研究例子 同一台計算能力的計算機

為什麼 比特幣和以太坊要選擇 Secp256k1 這條橢圓曲線?

假如有人提供一條橢圓曲線比如 Secp256r1 如何驗證這條曲線的安全性？

因為公鑰是公開的，很容易被破壞或者篡改，因此需要建立和維持一種可信的基礎機制來管理公鑰。

PKI由5部分組成:

作為比喻，證書可以被視為發給該人的身份證。人們使用駕照，護照等身份證來證明自己的身份。數字證書在電子世界中具有相同的基本功能。
但有一點不同，數字證書不僅發給人，還可以發給電腦，軟體包或任何其他需要證明電子世界身份的東西。

數字證書基於ITU標准X.509，該標準定義了公鑰證書和認證驗證的標准證書格式。因此數字證書有時也被稱為X.509證書。

與用戶客戶端相關的公鑰與證書頒發機構(CA)一起存儲在數字證書中，以及其他相關信息，例如客戶信息，到期日期，使用情況，發行者等。

CA對此整個信息進行數字簽名並在證書中包含數字簽名。

任何需要對客戶的公共密鑰和相關信息進行保證的人，他都會使用CA的公鑰進行簽名驗證過程。成功的驗證可確保證書中給出的公鑰屬於在證書中給出詳細信息的人員。

下圖了展示了個人/實體獲取數字證書的過程:

如圖所示，CA接受來自客戶端的申請以證明其公鑰。 CA在適當驗證客戶身份後，向該客戶發出數字證書。

如上所述，CA向客戶頒發證書並協助其他用戶驗證證書。 CA負責正確識別要求頒發證書的客戶的身份，並確保證書中包含的信息是正確的並對其進行數字簽名。

CA的關鍵功能:

證書類別
有四種典型的證書類別:

第1類 - 通過提供電子郵件地址可輕松獲取這些證書。

第2類 - 這些證書要求提供額外的個人信息。

第3類 - 這些證書只有在對請求者的身份進行檢查後才能購買。

第4類 - 它們被需要高度信任的政府和金融機構使用。

CA可以使用第三方注冊機構(RA)對要求證書確認其身份的人或公司進行必要的檢查。 RA可能在客戶端看起來像一個CA，但它們實際上並不簽署發布的證書。

這是發布證書的管理系統，暫時或永久暫停，續訂或撤銷證書。 證書管理系統通常不會刪除證書，因為可能有必要在某個時間點證明其身份，這是出於法律原因。 CA和相關RA運行證書管理系統，以便能夠跟蹤他們的責任。

雖然客戶端的公鑰存儲在證書中，但關聯的私鑰可以存儲在密鑰所有者的計算機上。 這種方法一般不採用。 如果攻擊者能夠訪問計算機，他可以輕松訪問私鑰。 出於這個原因，私鑰存儲在通過密碼保護的安全可移動存儲令牌上。

不同的供應商經常使用不同的專有的存儲格式來存儲密鑰。 例如，Entrust使用專有的.epf格式，而Verisign，GlobalSign和Baltimore使用標準的.p12格式。

1.6 Hierarchy of CA:
由於擁有龐大的網路和全球通信的要求，所有用戶從唯一一個可信的CA獲得證書是不切實際的。其次，只有一個CA的可用性可能會導致大的阻礙，如果CA受到影響。

在這種情況下，層次認證模型很受關注，因為它允許在兩個通信方與相同CA沒有信任關系的環境中使用公鑰證書。

根CA位於CA層次結構的頂部，根CA的證書是自簽名證書。

直接隸屬於根CA(例如，CA1和CA2)的CA具有由根CA簽名的CA證書。

層次結構中下級CA(例如，CA5和CA6)下的CA具有由上級下級CA簽名的CA證書。

證書頒發機構(CA)層次體現在證書鏈中。證書鏈跟蹤從層次結構中的分支到層次結構根的證書路徑。

下圖顯示了具有從實體證書到兩個從屬CA證書(CA6和CA3)到根證書頒發機構CA證書的證書鏈的CA層次結構:

驗證證書鏈是確保特定證書鏈有效，正確簽署和可信的過程。 以下過程驗證證書鏈，從提供驗證的證書開始 -

一個正在驗證其真實性的客戶端提供他的證書，通常連同證書鏈一直到根CA.

驗證者獲取證書並使用發行者的公鑰進行驗證。 發行人的公鑰在發行人的證書中找到，該證書位於客戶證書旁邊的鏈中。

現在，如果已簽署發行人證書的較高的CA由驗證方信任，則驗證成功並在此停止。

否則，發行人證書的驗證方式與客戶在上述步驟中完成的相似。 此過程將繼續進行，直到在其中找到可信的CA，否則它將持續到根CA。

哈希函數非常有用，並且出現在幾乎所有信息安全應用程序中。

哈希函數是將數字輸入值轉換為另一個壓縮數值的 數學函數。 哈希函數的輸入具有任意長度，但輸出始終為固定長度。

哈希函數返回的值稱為消息摘要或簡單的散列值。 下面的圖片說明了哈希函數:

為了成為一個有效的加密工具，哈希函數具有以下屬性:

散列的核心是一個數學函數，該函數在兩個固定大小的數據塊上運行以創建散列碼。 這個哈希函數構成哈希演算法的一部分。

每個數據塊的大小因演算法而異。 通常塊大小從128位到512位。 下圖演示了哈希函數:

哈希演算法涉及上述哈希函數，如分組密碼。 每一輪都會輸入一個固定的大小，通常是最近消息塊和最後一輪輸出的組合。

這個過程重復進行多次，以散列整個消息。 哈希演算法的示意圖如下圖所示:

因為第一消息塊的散列值變成第二散列操作的輸入，其輸出改變第三操作的結果，等等。 這種效應被稱為散列的雪崩效應。雪崩效應對兩個即使是單個數據位也不相同的消息產生明顯不同的散列值。理解哈希函數和演算法之間的區別。 哈希函數通過對兩個固定長度的二進制數據塊進行操作來生成哈希碼。哈希演算法是一個使用哈希函數的過程，指定如何分解消息以及如何將先前消息塊的結果鏈接在一起。

後來在1995年，SHA-1被設計用於糾正SHA-0的所謂弱點。SHA-1是現有SHA哈希函數中使用最廣泛的。它被用於幾個廣泛使用的應用程序和協議，包括安全套接字層(SSL)安全。

2005年，發現了一種在實際時間框架內發現SHA-1沖突的方法，使SHA-1的長期可用性受到懷疑。

SHA-2系列具有四個更進一步的SHA變體，SHA-224，SHA-256，SHA-384和SHA-512，取決於其散列值中的位數。還沒有成功的攻擊報道過SHA-2哈希函數。

雖然SHA-2是一個強大的哈希函數。雖然有很大的不同，但其基本設計仍然遵循SHA-1的設計。因此，NIST要求提供新的競爭性散列函數設計。

2012年10月，NIST選擇Keccak演算法作為新的SHA-3標准。 Keccak提供了許多好處，例如高效的表現和良好的攻擊抵抗力。

該集包括RIPEND，RIPEMD-128和RIPEMD-160。此演算法還有256位和320位版本。

原始的RIPEMD(128位)基於MD4中使用的設計原則，並且發現提供可疑的安全性。 RIPEMD 128位版本是解決原始RIPEMD漏洞的快速修復替代品。

RIPEMD-160是一個改進版本，是使用最廣泛的版本。與RIPEMD-128和RIPEMD-160相比，256和320位版本分別減少了意外沖突的可能性，但沒有更高的安全等級。

Merkle Tree 默克爾樹

哈希演算法的一個重要應用是默克爾樹(Merkle tree)，默克爾樹是一種數據結構，通常是一個二叉樹，也有可能是多叉樹，它以特定的方式逐層向上計算，直到頂部，最頂層叫做默克爾根(Merkle Root)，默克爾樹最為常見和最簡單的是二叉默克爾樹。