Script Bitcoin et vérification des signatures UTXO

Bitcoin utilise des sorties de transaction non dépensées (UTXO). Chaque UTXO est une unité monétaire avec un script de verrouillage (scriptPubKey). Pour la dépenser, le dépensier fournit un script de déverrouillage (scriptSig) qui satisfait le script de verrouillage. Les UTXO sont atomiques : dépensés ou non dépensés, jamais partiels.

Le langage de script Bitcoin est un langage fondé sur une pile et non complet au sens de Turing. Les scripts s'exécutent en empilant des données et en exécutant des opcodes. Ni boucles ni récursion : les scripts se terminent toujours. Cette limitation intentionnelle empêche les attaques par déni de service et rend la vérification du script O(n) par rapport à sa longueur.

Type de sortie le plus courant. scriptPubKey: OP_DUP OP_HASH160 OP_EQUALVERIFY OP_CHECKSIG. scriptSig: . Exécution : empiler sig+pubkey, dupliquer la clé publique, appliquer hash160, comparer avec le hachage intégré, vérifier la signature ECDSA. Si tout réussit : l'unité monétaire peut être dépensée.

Trace de pile pour P2PKH : empiler ; empiler ; OP_DUP → empiler une copie ; OP_HASH160 → appliquer hash160 au sommet ; empiler ; OP_EQUALVERIFY → retirer les deux éléments, échouer s'ils sont différents ; OP_CHECKSIG → retirer sig+pubKey, vérifier ECDSA, empiler TRUE/FALSE. Le script réussit si le résultat est TRUE.

Bitcoin utilise ECDSA sur secp256k1 (courbe de Koblitz, y^2 = x^3 + 7 mod p). La clé privée d ∈ [1, n-1]. La clé publique Q = d*G. Sign(m) : k aléatoire ; r = (k*G).x mod n ; s = k^{-1}(H(m)+r*d) mod n. La signature = (r, s). Elle est encodée en DER dans scriptSig.

Les signatures Bitcoin se portent garantes de parties précises de la transaction : SIGHASH_ALL (par défaut) : signer toutes les entrées+sorties. SIGHASH_SINGLE : signer uniquement la sortie correspondante. SIGHASH_NONE : ne signer aucune sortie (dangereux). SIGHASH_ANYONECANPAY : signer uniquement sa propre entrée — autorise les transactions collaboratives.

P2SH permet de dissimuler des conditions de dépense complexes derrière un hachage. scriptPubKey: OP_HASH160 OP_EQUAL. scriptSig: . Exécution : vérifier que hash(redeemScript) == scriptHash, puis exécuter redeemScript. Cela permet la multisignature sans révéler les conditions avant le moment de la dépense.

redeemScript: OP_2 OP_3 OP_CHECKMULTISIG. scriptSig: OP_0 . OP_0 contourne un bogue de OP_CHECKMULTISIG, qui retire un élément supplémentaire de la pile. Une multisignature 2-sur-3 nécessite 2 signatures parmi les 3.

Le témoin séparé (SegWit, BIP-141) déplace les signatures de scriptSig vers un champ de témoin distinct. Il corrige la malléabilité des transactions (l'ID change si scriptSig change). scriptPubKey de P2WPKH : OP_0 <20-byte pubKeyHash>. Témoin : [ ].

Taproot (BIP-340/341/342) utilise des signatures de Schnorr et des arbres de syntaxe abstraite organisés en arbre de Merkle (MAST). Dépense par défaut : une seule signature de Schnorr, indiscernable d'une dépense par chemin de clé. Les conditions complexes sont dissimulées dans un arbre de Merkle et révélées uniquement si elles sont utilisées. Confidentialité + efficacité.

Bitcoin Core valide les scripts dans un interpréteur de pile. CheckSig appelle VerifyScript, qui exécute le scriptSig+scriptPubKey combiné. Pour chaque opcode CHECKSIG, il appelle CheckECDSASignature, qui vérifie la paire (r,s) encodée en DER par rapport au hachage de la transaction, en utilisant secp256k1.

Les UTXO utilisent le langage de script Bitcoin fondé sur une pile. P2PKH : le modèle de dépense le plus courant — vérifier le hachage d'une clé publique, puis vérifier une signature ECDSA. SegWit corrige la malléabilité ; Taproot ajoute Schnorr et MAST. Ensuite : la cryptanalyse différentielle.