摘要

本文簡單介紹目前流行的幾種去中心化隱私支付方案及其所使用的密碼學(xué)工具，并比較這些方案的優(yōu)劣。我們將重點介紹零知識證明在這些方案中所起的作用，并討論未來這個領(lǐng)域可能的發(fā)展方向。

前言

中本聰在其短短9頁的比特幣白皮書［Sato08］中用了一整個章節(jié)討論比特幣的隱私問題。

比特幣的區(qū)塊鏈是個完全公開的分布式賬本，這帶來公開可驗證性的同時，顯然也會對賬本上的這些交易隱私造成影響，這點中本聰是心知肚明的。

比特幣［Sato08］的終極目標是成為網(wǎng)絡(luò)世界的電子現(xiàn)金，我們看現(xiàn)實中的紙幣現(xiàn)金在所有貨幣形式中匿名性毫無疑問是最強的。但比特幣這種公開賬本卻允許人們通過這些公開的交易地址和金額做很多去匿名化分析，尤其是當這些公開賬本信息和從其他渠道比如某些交易平臺上獲得的數(shù)據(jù)進行交叉匹配分析的時候，很多用戶的身份將被暴露出來。

比特幣隱私性的缺乏毫無疑問是其被廣泛采用成為電子現(xiàn)金的巨大障礙，以前我們使用紙幣不用擔心隱私泄漏，使用信用卡或各個互聯(lián)網(wǎng)大廠的支付方案起碼這些銀行或大公司們受現(xiàn)行各種法律的約束，我們不用過于擔心個人隱私泄漏。可是如果使用比特幣我們直接將自己的隱私公之于眾了那就有點滑天下之大稽了。假如比特幣真的成為被人廣為使用的電子現(xiàn)金，你敢想象將自己每天衣食住行相關(guān)的所有消費記錄公開于世嗎，這個顯然不太合理。

另外一個問題是，由于比特幣區(qū)塊鏈公開記錄了所有交易歷史，這就對貨幣本身的可互換性（fungibility）造成深遠影響，這個原因在于比特幣接收方有可能因為比特幣的某些交易歷史而拒收該比特幣，比如說曾涉及恐怖活動之類的?？赡墁F(xiàn)在該比特幣的持有者未曾和恐怖活動有過任何牽連，但僅僅因為之前的持有者涉及恐怖活動，就導(dǎo)致現(xiàn)在持有者的比特幣價值降低資產(chǎn)受損，這個顯然也不是很合情合理。

在比特幣之前，隱私支付一直是密碼學(xué)一個重點研究領(lǐng)域。這方面的文獻可以說是汗牛充棟，我這里就不一一列舉了。密碼學(xué)與隱私支付結(jié)合得如此緊密一點不奇怪，因為畢竟密碼學(xué)是一種數(shù)字解決方案，而支付中所涉及的貨幣實際上就是一嘟嚕數(shù)字串，而這種數(shù)據(jù)又極為敏感，所以密碼學(xué)和隱私支付當然是天生一對。

零知識證明簡介

一般來講，區(qū)塊鏈中的隱私支付涉及的主要有這么幾個隱私方面的問題：

· 交易發(fā)起者和接收者的隱私：指讓攻擊者通過分析區(qū)塊鏈或者分布式賬本上的信息無法或很難推斷出交易發(fā)起者和接收者身份。

· 交易金額的隱私：指攻擊者通過分析區(qū)塊鏈無法獲得具體交易金額的有用信息。

· 交易安全性：

· 由于區(qū)塊鏈系統(tǒng)是去中心化的，所以需要考慮如何防止雙花攻擊（double spending attack）。

目前看來，上面談及的兩個隱私問題都可以用零知識證明來解決，而且事實上在已有的隱私幣設(shè)計中零知識證明也確實是主角。

「零知識證明」到底是什么？

我們來講講這個被神化的密碼學(xué)概念。

1）「證明」是什么？

其實大家如果上過數(shù)學(xué)課，做過證明題，你就知道“證明”是什么，零知識證明里的“證明”其實和你數(shù)學(xué)課里的證明很接近。

當你讀完一個數(shù)學(xué)題的證明之后，這個證明應(yīng)該能說服你這個證明所要證明的命題（statement）的正確性。零知識證明里也有個對應(yīng)需要證明的命題的，而且當證明讀者，或者更正式的說法叫驗證者（verifier）讀完該證明后也應(yīng)該會相信這個命題的正確性。

大家注意，數(shù)學(xué)證明這個過程涉及兩方：寫證明的人和證明讀者。零知識證明中除了有我們剛才說的證明讀者也稱驗證者外，還有一方是提供證明的人，這一方我們正式地稱之為證明者（prover）。通常情況下，區(qū)塊鏈里使用的零知識證明方案是公開可驗證的，換句話說，誰都可以是證明驗證者，但證明者則必須是那位掌握了命題成立所需秘密的人，只有他才能成功生成正確證明。

2）零知識（zero knowledge）又是什么呢？

當你讀完一個數(shù)學(xué)證明，正常情況下你應(yīng)該有種在數(shù)學(xué)上功力見長的感覺，因為你掌握了一個新定理，你獲得新知識。而零知識證明則有所不同，他的目的不在于讓驗證者掌握新知識，他的核心目的是說服驗證者證明者懂得如何證明這個命題，或者更正式地說他掌握了使得命題成立所需的秘密，僅此而已。他不關(guān)心驗證者讀完證明后有沒有掌握新知識，事實上這里的零知識恰恰被定義成證明本身除了泄露一個事實：即證明者掌握了使得命題成立需要的秘密外，不泄漏其他任何信息。所以零知識證明的證明往往是以密文的形式出現(xiàn)，所謂密文你可以把他看作一堆亂碼。換句話說你通過讀這些亂碼，就能相信命題成立，相信證明者懂得如何寫這個證明，但除此之外你一無所知。

由于零知識證明本身是以亂碼的形式出現(xiàn)，這時候我們就得考慮一個問題，就是如果一個沒有掌握證明這個命題所需秘密的人，一個攻擊者渾水摸魚濫竽充數(shù)怎么辦？所以零知識證明的另外一個性質(zhì)健全性（soundness）就變了非常有意義，他的目的就在于保證攻擊者在不掌握證明命題成立所需的知識或秘密情況下是無法偽造證明的。當然，通用的零知識證明還得考慮完整性（completeness）這個性質(zhì)，我們這里暫時就不展開了。

通俗地說，零知識證明可以看作數(shù)字簽名和加密兩種概念的推廣和結(jié)合。零知識這個性質(zhì)其實和加密方案所需的保密性有一定對應(yīng)關(guān)系的，加密方案的保密性能保證加密密文不泄漏所加密明文的任何有用信息。零知識這個性質(zhì)在隱私幣中則通常用于保證隱私性。

而健全性則可以看作數(shù)字簽名方案的不可偽造性在通用命題中的一種推廣。在數(shù)字簽名方案中，一個沒有簽名密鑰的用戶是無法偽造簽名的，這就是所謂的不可偽造性。零知識證明的健全性在隱私幣中往往用于保證只有用戶掌握隱私幣對應(yīng)的秘密情況下才能成功花掉相應(yīng)貨幣。希望我上述描述能讓大家對這些聽起來拗口難懂的密碼學(xué)概念之間的對應(yīng)關(guān)系有些感覺。

說句題外話，和我們中小學(xué)階段學(xué)數(shù)學(xué)所需的各種死記硬背機械計算不同，高等數(shù)學(xué)或現(xiàn)代數(shù)學(xué)的研究對象更多是概念和關(guān)系。20世紀最偉大的數(shù)學(xué)家之一格羅騰迪克在談平生所學(xué)的體會曾說過一句話：“在不同的時代和世紀中，對于依次出現(xiàn)的不同的主題，它展現(xiàn)給我們微妙而精細的對應(yīng)，仿佛來自虛空”。密碼學(xué)作為一門應(yīng)用數(shù)學(xué)時不時會有一些像零知識證明這種天馬行空天外飛客的想法出現(xiàn)，這些想法不僅能讓人很接地氣地用來造隱私幣，還能向我們展示一些“微妙而精細的對應(yīng)”，給人一種抽象美的體驗，這也算是學(xué)習(xí)密碼學(xué)的一大樂趣了。

我們在區(qū)塊鏈情景里用到的零知識證明還需要些其他性質(zhì)，比如必須是簡短（succinct）的，因為證明需要在區(qū)塊鏈網(wǎng)絡(luò)中廣播，如果證明太長就會導(dǎo)致網(wǎng)絡(luò)出塊率太低。我們還希望驗證者計算負擔越小越好，因為這意味著驗證者，也就是我們通常所說的礦工們處理單個交易需要的計算量很低。

隱私幣

現(xiàn)有隱私幣大概可以分成兩大類，需要可信初始化（trusted setup）的和無需可信初始化（setup free）的方案。我們在下文中會介紹可信初始化是什么。

無需可信初始化的隱私幣

1. Cryptonote

Cryptonote［Saberhagen18］是隱私幣Monero的底層方案。Cryptonote的設(shè)計比較簡潔，其用到的主要密碼工具就兩個：一次性可鏈接環(huán)簽名及匿名地址。Monero中的匿名地址方案實際上就是一個匿名公鑰加密方案，該方案保證如果你是加密方案指定接收者，你就可以通過掃描分布式賬本找到你的密文并解密密文，但除了你之外的任何人都無法知道這個密文是應(yīng)該發(fā)給你的，這個就能保證交易接收者的匿名性了。

而一次性可鏈接環(huán)簽名則是用于保證交易發(fā)起者匿名性的，環(huán)簽名能做到用戶利用自己的私鑰和區(qū)塊鏈上其他地址的公鑰生成一個環(huán)簽名，通過驗證該簽名你知道這是這群人中某個人生成的簽名，但具體是這群人中的哪個人你是沒法知道的，所以他保證交易發(fā)起者匿名性的基本思路就是把發(fā)起者隱藏在一群人中間。這個從零知識證明角度看相當于是個成員證明（membership proof）。

Monero后來又在環(huán)簽名基礎(chǔ)上又開發(fā)了環(huán)保密交易（ring confidential transaction），因為他們最初方案沒有考慮如何隱藏交易金額，保密交易提出就是為了解決交易金額的隱私性問題。保密交易里涉及到的一個零知識證明是區(qū)間證明。區(qū)間證明能做到證明某個金額屬于一個合理的范圍，但又不透露這個金額具體是什么，區(qū)間證明也是一種特殊的零知識證明。

那么為什么這個證明是有必要的呢？這個原因是Monero所用的密碼方案是在有限域上進行的，換句話說其所定義的運算是模q運算，這里q是個非常大的素數(shù)，那么如果交易輸出結(jié)果是個很小的負數(shù)，在這個有限域里是和一個非常大的正數(shù)等價的，攻擊者就有可能利用這點憑空打印Monero。區(qū)間證明后來成為所有隱私幣方案的標配也是這個原因。

2. Beam和Grin

Mimblewimble［Elvis16］可以看作一種簡化版的Monero。他把地址這個概念從區(qū)塊鏈中去掉了，既然發(fā)送者沒有了地址，該方案也把環(huán)簽名去掉了。這個方案只留下了保密交易方案和區(qū)間證明。由于保密交易方案對應(yīng)的簽名方案具有同態(tài)性，他們可以把很多交易整合起來。這樣做的好處在于整個賬本變小，全節(jié)點挖礦時負擔就變小很多。

需要可信初始化的隱私幣

3. Zcoin

Zcoin［MGGR13］是學(xué)術(shù)界在去中心化隱私支付方面做的最早的嘗試之一，其基本思路是用一個Pedersen承諾（Commitment）作為貨幣，承諾的消息是貨幣對應(yīng)的序列號，這將被用來防止雙花攻擊，而承諾方案所使用的隨機數(shù)則代表用戶對該貨幣的所有權(quán)。

Zcoin使用了一個聚合器（Accumulator）來保證所使用的貨幣的匿名性。聚合器可以把系統(tǒng)中所有貨幣對應(yīng)的承諾壓縮成一個群元素，用戶使用自己的貨幣時只需證明他知道其貨幣對應(yīng)的隨機數(shù)，以及該貨幣承諾是屬于聚合器所包含元素中的一員即可。聚合器在功能上可以看作零知識證明中的或證明（Or proof）的一種推廣。

Zcoin保護隱私的思路和1999年的一個隱私支付方案一脈相承［ST99］，但有不少簡化。這個簡化帶來的缺陷就是Zcoin金額固定不可分，這在實際中非常不方便。另外一個問題就是最初Zcoin的設(shè)計沒有對貨幣金額做區(qū)間證明，這樣導(dǎo)致攻擊者有可能發(fā)起上述的憑空造幣的攻擊。這些問題在Zcash當中基本上都得到解決。

4. Zcash

Zcash是可以看作Zcoin的修正版，用了一個當時最新的零知識證明方案，把可審核性（auditability）和可追蹤性（traceability）之類的性質(zhì)都考慮進去了，他實際上相當于把1999年Sander和Ta-Shma兩人提出的方案［ST99］運用到了區(qū)塊鏈里。

Zcash使用的零知識證明是微軟和IBM的密碼學(xué)者開發(fā)的一個可驗證計算的方案Pinnochio衍生出來的。Pinnochio最早提出的目的是用于云計算中的可驗證計算，這個思路能支持通用計算，但最大的問題是需要可信初始化。可信初始化中涉及的一些陷門知識一旦被攻擊者獲得，則有可能以此對零知識證明的健全性發(fā)起攻擊，從而無限量打印Zcash并無法被探測到。

針對可信初始化Zcash團隊提出了些解決思路，如通過多方計算來分布式地初始化設(shè)置參數(shù)，但這個思路的問題在于首先他并沒徹底解決這個問題，因為多方計算是由有限的幾個參與方參與計算，大家還是得相信參與方?jīng)]有合謀攻擊這個計算過程，因為畢竟這里涉及的經(jīng)濟利益太大了，很難相信不會有人鋌而走險。

另外，這個步驟本身還會帶來一些潛在的安全隱患，信息安全里的一個基本原則是復(fù)雜性是安全性的天敵（complexity is the enemy of security），這和系統(tǒng)工程學(xué)上的Keep it simple and stupid， KISS原則，及哲學(xué)上的奧卡姆剃刀準則：如無必要勿增實體是一脈相承的。所以，如果有一個方案能夠避免這一步驟且效率相比不差，那當然應(yīng)該選擇較簡單的方案。

另外，Zcash的設(shè)計實際上還有其他一些冗余之處，比如他們的匿名性一部分是通過隱藏Zcash于系統(tǒng)中已有貨幣的membership來提供的，而雙花攻擊則通過檢驗序列號來防止的，Zcash本身實際上也是個承諾，Zcash持有權(quán)的轉(zhuǎn)讓則通過轉(zhuǎn)讓承諾內(nèi)容來實現(xiàn)的。這里零知識證明對應(yīng)的statement非常復(fù)雜，比如針對貨幣本身的合法性證明，就得通過證明承諾本身在Merkle tree上的membership proof 來證明。

這個方案非常復(fù)雜，因為首先需要用零知識證明的方案來證明哈希計算的正確性，這個本身涉及的電路就已經(jīng)夠復(fù)雜了，另外隨系統(tǒng)中發(fā)行的貨幣量增加，對應(yīng)的Merkle tree變大，需要驗證的電路數(shù)目量隨之增加。我認為Zcash系統(tǒng)的這種復(fù)雜性實際上和［ST99］本身設(shè)計的復(fù)雜性有關(guān)，因為這個方案最初設(shè)計是考慮了電子貨幣設(shè)計中的可追蹤性和可審計性問題的，這個和反洗錢之類的政策考慮是有關(guān)的。

總結(jié)

上述幾種隱私幣各有千秋。目前看來，Zcash這條技術(shù)路線的設(shè)計純粹從保密交易的角度看有點過度工程化（over-engineering），但是對通用零知識證明應(yīng)用的一個很不錯的嘗試。

CryptoNote，保密交易這條技術(shù)路線中Mimblewimble是最簡潔的隱私支付方案，但其使用的區(qū)間證明仍需要對數(shù)級別的交易大小，應(yīng)該還有改進的空間，但我相信這條技術(shù)路線由于其所做的假設(shè)較弱，安全可靠性更高將會逐漸成為主流。我們還會在后續(xù)文章中繼續(xù)介紹相關(guān)領(lǐng)域的最新進展。

Suterusu的嘗試

目前來看，現(xiàn)有隱私保護區(qū)塊鏈方案設(shè)計萬變不離其宗，零知識證明始終是這個技術(shù)改革風暴的核心。

開發(fā)一個隱私保護區(qū)塊鏈，尤其是開發(fā)一個基于最安全高效的零知識證明技術(shù)的隱私保護區(qū)塊鏈不是件容易的事情，這件事的難度不僅在于設(shè)計上零知識證明需要很高深的數(shù)學(xué)，這對沒有密碼學(xué)背景的工程師而言已經(jīng)是個很大的挑戰(zhàn)了。密碼學(xué)模塊的實現(xiàn)及與區(qū)塊鏈系統(tǒng)的整合也是山高路遠坑深，實現(xiàn)一個安全可靠高效的隱私保護區(qū)塊鏈方案往往需要眾多密碼學(xué)專家和安全系統(tǒng)工程師緊密配合通力合作才能完成。

Suterusu項目將基于目前最新的無需可信初始化設(shè)置的零知識證明方案，打造一個讓開發(fā)者一鍵發(fā)布隱私保護區(qū)塊鏈的發(fā)射平臺。我們注意到現(xiàn)有的幾種隱私幣社區(qū)處于相對隔離的狀態(tài)，Suterusu將為本生態(tài)系統(tǒng)中產(chǎn)生的匿名數(shù)字資產(chǎn)搭建一個跨鏈協(xié)議，保證這些匿名資產(chǎn)在本生態(tài)系統(tǒng)中的自由流動。

Suterusu將是一個模塊化，動態(tài)的，可交互的生態(tài)系統(tǒng)，我們將與零知識證明研究一道共同進化，從而保證在我們生態(tài)系統(tǒng)中搭建的隱私保護區(qū)塊鏈方案始終建立于最安全高效的基礎(chǔ)之上。

關(guān)于Suterusu：

Suterusu實現(xiàn)和整合最新的無需可信初始化的零知識證明協(xié)議，在此基礎(chǔ)上我們將打造可讓開發(fā)者一鍵實現(xiàn)其所定義的隱私保護區(qū)塊鏈方案的發(fā)射臺。

Suterusu將為使用Suterusu生態(tài)系統(tǒng)技術(shù)的匿名數(shù)字資產(chǎn)實現(xiàn)隱私跨鏈協(xié)議，從而保證這些數(shù)字資產(chǎn)在生態(tài)系統(tǒng)中的高流動性和可交換性。Suterusu以社區(qū)自治為核心發(fā)展路徑，高達76%的Suter token通過挖礦產(chǎn)生，且支持“投票即挖礦”。我們引入最新的流動性去中心化選賢機制（Liquid Decentralized Meritocracy）實現(xiàn)鏈上治理。與已有解決方案相比，本方案提供了更高的靈活性和參與者自主性。

關(guān)于SERO：

SERO是新一代隱私公鏈，支持智能合約，可以發(fā)行匿名幣和匿名資產(chǎn)，被稱為匿名版以太坊，SERO采用性能遠超ZCash的零知識證明加密方式，并且默認所有交易匿名，是真正的匿名公鏈，采用最先進的POW+POS底層共識，網(wǎng)絡(luò)安全性和性能高于純粹的POW公鏈。SERO由前IDG合伙人章蘇陽、LD和量子的早期投資，目前已和F2Pool等多家大型礦池對接。