SBT:Zk-SBT：基于zk-SNARK實現的靈魂綁定代幣教程

原文翻譯：DAOctor?@DAOrayaki.org

原文標題:?TheConstructionoftheSoulPart3:SoulboundTokenwithzk-SNARKImplementation

SBT可以更好的幫助用戶驗證某個屬性，但極易泄漏隱私。使用零知識證明技術來保證用戶數據的安全可能是一個重要的選擇。

在這篇文章中，我們將討論ZK如何可能成為增加SBT用戶數據隱私的關鍵技術，以及如何應用零知識靈魂綁定代幣。

Lambda

4.1.2生成證明密鑰和驗證密鑰

4.1.3證明和驗證密鑰的共享

4.1.4證明的生成

4.1.5用戶屬性驗證

5.高級示例

5.1鏈上與鏈下算法

6.zkSBT的實現

6.1電路創建

6.2設置階段

6.2.1密鑰生成

6.3證明生成階段

6.4驗證程序階段

6.4.1項目如何在其SBT中使用Verifier.sol？

6.4.1.1風險：防止重放攻擊

6.5實現架構

7.ZKSBT與CounterPartySoul的可組合性

7.1單一方法：SBT發行人承擔責任

7.2多重方法：每個項目都承擔責任

8.結論

證人是我們約束條件的有效解決方案。

約束是指我們將問題轉換成的多項式方程。問題的每個解決方案都必須符合約束條件的要求。例如，證明用戶的信用分數是3，可以簡單地轉換為約束條件x=3。

還有其他ZK技術；然而，zk-SNARKs是在DarkForestEth、Tornadocash和ZK-Rollups等應用中使用的最突出的ZK技術。

零知識：在交互過程中，除了聲明的有效性之外，驗證者什么都不知道。

簡潔：證明簡短且快速驗證。

V神：未來10年zk-SNARKs將與區塊鏈一樣重要:5月21日消息，在黑山舉辦的 EDCON 2023 大會上，以太坊聯合創始人 Vitalik Buterin 表示，未來 10 年，zk-SNARKs 將與區塊鏈一樣重要。

以太坊社區大會（EDCON）于 2023 年 5 月 19 日至 23 日在黑山波德戈里察舉行，本次會議演講嘉賓包括了以太坊聯合創始人 Vitalik Buterin、以太坊核心開發者 Tim Beiko、以太坊基金會 Devcon 團隊負責人 Skylar Weaver 與以太坊基金會研究員 Vlad Zamfir、Piper Merriam、Andy Guzman 等。EDCON 是一個非營利性的年度全球以太坊會議，每年在不同國家 / 地區舉辦，致力于通過促進全球以太坊社區的交流和互動來服務于以太坊生態系統。[2023/5/21 15:17:04]

非交互：沒有或僅有少量的交互。對于zk-SNARKs，通常有一個設置階段，在這之后，從證明者到驗證者只有一個消息。此外，SNARKs通常具有所謂的"公共驗證者"屬性，即任何人都可以自己驗證證明。

論證：驗證者只針對計算能力有限的證明者進行保護。具有足夠處理能力的證明者可以生成關于不正確語句的證明/論證。這被視為"計算上的健全性"，與"完全健全性"相對。

知識性：證明者不可能在不知道某個所謂的證人的情況下構建證明/論證。

簡單地說，這基本上意味著證明是一個數據的集合，可以在沒有證明者參與的情況下獨立驗證。

4、ZKSBT工作原理的高級解釋

舉例來說，SBT的用戶是證明者，向用戶發放SBT的項目方是驗證者。

假設一個項目正在查看用戶是否具有某個屬性“secret_attribute”。用戶必須證明他們有屬性`secret_attribute`而不會泄露他們的秘密`s`，它用于將屬性`secret_attribute`散列到`hash_attribute`。

通常情況下，用戶會通過向項目提供秘密`s`來證明這一點，之后項目可以計算出哈希`hash_attribute`。然而，在zk-SNARK中，用戶可以只提交他們擁有屬性`secret_attribute`的證明，而不透露他們的秘密`s`。

基于zk-Rollup的Layer 2隱私協議Zecrey獲得Polygon基金會的資助:10月24日消息，基于zk-Rollup的Layer 2隱私協議Zecrey宣布獲得Polygon基金會的資助。[2021/10/24 6:10:24]

我們可以用下面的程序C來描述用戶的情況。

換句話說：該程序接受一個公共哈希值`hash_attribute`和一個秘密值`secret_attribute`，如果`secret_attribute`的SHA-256哈希值等于`hash_attribute`，則返回true。

使用函數`C(hash_attribute,secret_attribute)`，用戶需要創建他們擁有`secret_attribute`的證明，而不需要透露`secret_attribute`。這就是zk-SNARKs解決的一般問題。

為了實現這個證明和驗證系統，該項目首先要進行以下操作。

4.1.1、生成隨機Lambda

生成lambda是證明的第一步。記下生成器的秘密參數lambda。任何了解此參數的人都可以在不知道秘密“w”的情況下創建評估為真的假證明。

因此，運行生成器需要一種非常安全的方法，以確保沒有人在任何地方發現和存儲參數。這就是Zcash團隊在確保參數lambda在此過程中被銷毀的同時生成證明密鑰和驗證密鑰的極其復雜的儀式的基本原理。

4.1.2、生成證明密鑰和驗證密鑰

該項目必須生成兩個公開的密鑰--證明密鑰`pk`，和驗證密鑰`vk`。密鑰生成程序G需要一個秘密參數`lambda`和一個程序`C`。這些密鑰是公共參數，只需要為一個給定的程序C生成一次。

在大多數情況下，這個程序C是以電路的形式實現的。

該項目計算`verify(vk,hash_attribute,prf)`，如果證明正確則返回true，否則返回false。

該驗證算法也可以在鏈上。

如果驗證算法返回true，則項目可以確信用戶具有該屬性，但用戶不需要向驗證項目透露其屬性。

5、高級示例的TL;DR

Bitfinex首席技術官：Tether正在調查zk-rollups方案是否可減輕ETH壓力:8月31日，Bitfinex首席技術官Paolo Ardoino發推稱，在OMG（Tether已宣布OMG Network上發行USDT）之后，Tether正在調查zk-rollups支持是否可以減輕ETH鏈上交易壓力。Paolo Ardoino稱，與此同時，本來Tether計劃集成一個和交易費相關的新特性，但后來我們決定把重點放在第2層解決方案上。[2020/9/1]

一個zk-SNARK由三個算法`G`、`P`、`V`組成，定義如下。

生成器程序

密鑰生成器"G"接受一個秘密參數"lambda"和一個程序"C"來產生兩個公開可用的密鑰，一個證明密鑰"pk"和一個驗證密鑰"vk"。這些鑰匙是公共參數，對某個程序'C'可以只生成一次。

通過對lambda的適當處置，生成算法可以脫離鏈路。然后，生成的證明密鑰和驗證密鑰可以與用戶共享。

請注意，程序C也被稱為公共算術電路。

證明者程序

證明者P接受證明密鑰"pk"、公共輸入"x"和私人見證"w"作為輸入。該算法生成一個證明`prf=P(pk,x,w)`。

用戶的證明生成可以通過證明和驗證密鑰及其證人在鏈外完成。建議在鏈下生成證明，因為生成證明的計算成本很高，而且用戶的秘密可能在鏈上被泄露。

|證人是由用戶的秘密轉換而來，這對我們的約束來說是一個有效的解決方案。

驗證者程序

驗證者V計算“V(vk,x,prf)”，如果證明正確則返回true，否則返回false。因此，如果證明者知道證人`w`滿足`C(x,w)==true`，則此函數返回true。

驗證可以在鏈上完成，因為它相對較小，需要輸入證明、秘密的哈希值和驗證密鑰作為公共輸入參數。

5.1、鏈上與鏈下算法

鏈下

項目將運行生成器以生成證明密鑰和驗證密鑰。

然后任何用戶都可以使用證明密鑰生成鏈下證明。

用戶可以通過運行具有以下輸入的證明算法來做到這一點——證明密鑰、公共輸入和私人見證。

動態 | 報告：以太坊可通過ZK-Rollup達到Visa的TPS:據U.today消息，以太坊基金會合作初創公司Iden3發布了有關ZK-Rollup功能如何提高以太坊網絡速度的報告。報告指出，大規模采用時低吞吐量被認為是最嚴重的瓶頸，而ZK-Rollup功能將允許在每個以太坊區塊中驗證更多交易。Visa網絡目前平均為2000 TPS，以太坊目前支持大約30 TPS，但是隨著ZK-Rollup的實施，這個數字可能會激增6300％。因此，這一突破并非完全不可能。[2019/12/15]

鏈上

智能合約中的通用驗證算法可以使用證明、秘密哈希和驗證密鑰作為公共輸入參數來運行。

然后可以使用驗證算法的結果來觸發其他鏈上活動。

下圖顯示了從創建程序到使用zk-SNARK生成和驗證證明的整個過程的摘要。

zk-SNARKs的全部可信設置過程

6、zkSBT的實現

我們已經通過一個高級示例來說明zk-SNARKs和SBT如何協同工作。在本節中，我們將通過一個簡單的示例來說明項目如何實施zk-SNARK和SBT以使交易對手能夠驗證靈魂的屬性。

假設信用借貸平臺為用戶鑄造了一個SBT，并為用戶分配了信用評分。

信用借貸平臺希望允許其他交易對手的項目來驗證用戶評分是否高于某個閾值。

我們怎么能創造這個？

此應用程序有4個不同的部分。前端、后端、智能合約和電路。電路是與zk證明的生成和驗證相關的主要組件，因此我們將更多地關注這一點。

6.1、電路創建

在我們可以使用zk-SNARK之前，我們首先必須將我們的程序規范轉換為電路。對于電路的創建，我們使用的是IDEN3團隊設計的circom2庫。該庫已用于許多其他流行的應用程序，例如TornadoCash和游戲DarkforestEth。

例如，電路設計旨在允許用戶鑄造具有信用評分但沒有其他人知道信用評分是什么樣的SBT。然而，用戶仍然可以證明他的信用評分高于閾值并且他是值得信賴的。

簡單來說，我們將設計一個簡單的電路，如果用戶的分數高于公共閾值，則返回true，而無需用戶透露他的分數。

動態 | Zcoin首席運營官：zk-SNARKs或允許惡意代理商制造額外令牌:據cryptobriefing報道，Zcoin（XZC）首席運營官Reuben Yap表示，未經證實的加密假設和zk-SNARK的潛在bug會將使用該算法的區塊鏈（如Zcash）置于安全風險之下。 zk-SNARKs（Zcash使用的隱私算法）的基本缺陷可能會允許惡意代理商制造額外的令牌。[2019/1/18]

https://github.com/SpartanLabsXyz/zk-sbt/blob/master/circuits/demo/circuits.circom

在我們的資源庫中，我們還包括了其他針對不同使用情況的電路實例。項目可以考慮不同的電路，以滿足其特定的限制。

https://github.com/SpartanLabsXyz/zk-sbt/tree/master/demo/circuits

電路設計注意事項

zk-SNARKs更難的部分是實施適當的電路約束以確保程序執行。如果電路沒有正確實現，它可能會被利用，并且由于程序的零知識性質，很難檢測到這種利用。

|什么是電路？

|電路是指確定我們的約束的程序。

|zk-SNARKs不能直接應用于任何計算問題。問題首先需要轉換為正確的形式。第一步是將程序轉換為代數電路。

|有關更多信息，請查看他們的文檔

https://docs.circom.io/background/background/#zero-knowledge-proofs

A-B>0，其中A是用戶的秘密，而B是我們在驗證算法中使用的閾值。

6.2、設置階段

首先，信用貸款平臺首先生成一個隨機λ。在我們的例子中，我們使用tau的權力，這是一個多方儀式的可信設置，以分散的方式生成隨機λ。

請注意，存在不同的復雜過程來生成這個隨機lambda，這是至關重要，通過保持未知，以防止任何人偽造證明。

對于我們的應用程序，我們創建了一個示例腳本`execute.sh`來運行設置過程。

6.2.1、密鑰生成

為了創建和檢查證明，我們使用了一個名為SnarkJS的庫，由JordiBaylina和Iden3構建。SnarkJS使用您的電路在JavaScript和Solidity中生成證明和驗證代碼，以及協議參數、證明和驗證密鑰。

證明密鑰和驗證密鑰示例：

https://github.com/SpartanLabsXyz/zk-sbt/tree/master/circuits/demo

6.3、證明生成階段

“證明”是用戶為了證明自己的屬性而生成的。

但是，在用戶的輸入屬性可以用作證明之前，必須先將其轉換為見證。

使用circom2庫，我們可以通過命令輕松生成見證

`節點生成_見證。

js電路.wasm../input.json見證.wtns`

其中input.json是用戶的輸入，也就是用戶的信用評分。

證明的生成可以在客戶端的鏈下完成，它接受程序的輸入、見證人和證明密鑰。使用帶有Groth16協議的snarkjs，我們可以使用

`snarkjsgroth16證明電路_0001.zkeywitness.wtnsproof.jsonpublic.json`

|Groth16是zkSNARK證明方案的具體實現。在這里閱讀更多。

一旦我們生成了證明，我們就可以繼續由用戶驗證證明。

6.4、驗證方案階段

對于驗證，我們是在鏈上進行的。使用`snarkjs`庫，用戶可以從提供的驗證密鑰中生成驗證算法。然后，驗證算法可用于使用`snarkjs`庫生成一個solidity智能合約

在生成`Verification.sol`后，我們可以使用函數`verifyProof`來證明給定的SBT具有有效屬性。

本質上，`verifyProof`是一個接受哈希和證明并返回布爾值的函數。

合約：https://github.com/SpartanLabsXyz/zk-sbt/blob/master/contracts/Verifier.sol

6.4.1、項目如何在其SBT中使用

Verifier.sol？

項目可以在SBT合約中包含驗證者作為接口，如函數`validateAttribute`所示。

這允許任何項目包含鏈上驗證機制，其中所有用戶需要的只是他們的證明，以及驗證其屬性的驗證密鑰。

https://github.com/SpartanLabsXyz/zk-sbt/blob/master/contracts/zkSBT.sol

驗證屬性

函數中的輸入`a,b,c,inputs`是snarkjsgeneratecall函數生成的參數。

`@param_soul`是靈魂的地址。`@paramverifierAddress`是為Verifier.sol合約部署的地址。如果證明有效，該函數返回true，否則返回false

6.4.1.1、風險：防止重放攻擊

驗證算法的風險之一是攻擊者如何能夠提交另一個用戶的證明作為他們自己的證明并因此得到驗證。項目必須注意這可能是可能的。一些解決方案正在添加檢查或無效符，以防止攻擊者提交其他用戶的證明。

6.5、實現架構

簡而言之，帶有Circom和Snarkjs實現的zk-SNARKs可以用下面的實現來概括。

用戶可以在本地創建證明，然后上傳簡短的證明以在智能合約中進行恒定時間驗證，計算成本很高。

整體架構可以在我們的資源庫中查看：

https://github.com/SpartanLabsXyz/zk-sbt#architecture

有關集成zk-SNARK的步驟的更多信息，您可以參考我們的GitHub，或者更具體地說，是用于生成所有算法和證明的腳本`execute.sh`。

https://github.com/SpartanLabsXyz/zk-sbt/blob/master/circuits/execute.sh

7、ZKSBT與CounterPartySoul的可組合性

在我們的示例中，我們將發行SBT的項目的角色與可能想要驗證靈魂屬性的交易對手結合起來。但是，對于SBT與其他可能想要驗證用戶SBT屬性的交易對手項目的可組合性，我們必須根據所使用的方法進行一些更改。

7.1、單一方法：SBT發行人承擔責任

在SBT中的數據簡單明了的情況下，SBT發行者可能希望生成自己的lambda、證明密鑰和驗證密鑰。然后，他們可以提供一個界面，允許交易對手項目驗證用戶的屬性。

優點是這允許輕松采用SBT，因為其他項目可以利用現有的驗證機制，而無需生成和存儲自己的lambda。

但是，如果SBT中的數據不同，并且存在幾個旨在證明SBT不同屬性的不同程序C，這可能不可行。

7.2、多重方法：每個項目都承擔責任

單個交易對手項目將負責生成lambda、證明密鑰和驗證密鑰，而不是SBT發行者或中心化機構。然后，密鑰和驗證方法將通過項目的應用程序分發給用戶。

但是，SBT發行人應提供包含特征的SBT數據結構的清晰文檔，同時保持數據的私密性。

這種策略可能適合不想為保護其秘密承擔全部責任的SBT發行人。此外，如果需要SBT中的多個數據證明，則可能需要多個驗證程序，每個程序都有自己的證明和驗證密鑰。

此外，該策略消除了對中央機構的依賴，而是將確保證明有效性的責任置于項目本身。

然而，這種策略需要每個項目根據被測試的屬性開發自己的生成、證明和驗證算法。

8、結論

總之，這篇文章是關于如何使用zk技術使SBT真正私有化以及項目如何在solidity中實現zkSBT的入門讀物。

SBT允許將社會身份與去信任的可組合性相結合，如果做得好，可能會改變web3生態系統的未來。信任和所有權的核心方面可以上鏈，以增強智能合約世界中的社會可組合性，這可以為去中心化應用程序打開許多可能性。

未來的一個重要研究方向是對不同種類的數據權限的確切限制進行界定，對保持數據隱私的具體技術組合進行研究，以及對可以建立在SBTs之上的產品進行研究，以創造一個“匿名經濟"。

Tags：SBTARKNARBUTPSBTMARKS價格MercenaryDogestribute

幣安app官網下載