ALI:巴比特現場 | 郭宇：3分鐘搞懂零知識證明，為何它是一把雙刃劍？

12月22日，2019數字資產與區塊鏈年會暨中國投資協會數字資產研究中心成立大會在北京召開。安比實驗室創始人、數字資產研究院學術與技術委員郭宇以《零知識證明，區塊鏈技術缺失的一環》為題進行了分享。

以下是郭宇演講內容精編，由巴比特整理發布。

什么是區塊鏈？在網上搜索了批評區塊鏈的文章，其中一個理由是吞吐率低。比特幣交易速度只有7筆/秒，以太坊交易處理速度不超過30筆/秒，而國際信用卡Visa至少2000筆/秒。區塊鏈吞吐率如此低下，核心原因在于網絡帶寬。當全球超過1萬個節點進行分布式共識時，不可避免的造成吞吐率的下降。單純靠提高出塊速度來提升吞吐率，到以太坊已經是極致了，出塊速度快則會導致分叉的頻繁出現，不會實質上提升吞吐率，或者靠降低節點數量提升吞吐率，會讓系統安全將得不到保證。那么，如何在不降低安全性的基礎上，提高吞吐率？

反直覺的零知識證明

零知識證明就是解決方案之一。以太坊創始人Vitalik在2018年做了一個實驗，引入零知識證明，以太坊的吞吐率可以有幾十倍的顯著提升，可以達到500TPS。最新的路印協議采用了零知識證明技術方案——ZKRollup，根據他們的測試數據，能夠在以太坊上實現高達10500TPS的去中心化應用。

孫宇晨再次抵押stETH鑄造5000萬枚DAI并存入DSR，累計存款占比達15%:金色財經報道，據鏈上分析師余燼監測，孫宇晨在8小時前繼續通過兩個地址抵押stETH鑄造了5000萬DAI存入DSR(Dai Savings Rate)。目前孫宇晨兩個地址累計抵押231,116 stETH（約合4.28億美元）鑄造1.758億DAI并存入DSR。

數據顯示，DSR目前總TVL約為11.7億美元，孫宇晨占比達15%。[2023/8/11 16:20:00]

1985年，麻省理工學院的研究人員ShafiGoldwasser，SilvioMicali和CharlesRackoff提出了“交互式證明系統”與“零知識證明”的概念，后來前兩位因為這個工作而獲得2012ACM圖靈獎。

解釋零知識證明前，我們首先要問，“證明”是什么？這個詞從古希臘開始，它代表“洞見”；到1920年代，證明意味著形式化邏輯，懷特海和羅素在《數學原理》里花了幾百頁來證明1+1=2，它代表“符號推理”；到1970年代，證明被發現實際上“程序”沒有區別；而到了1985年，證明的概念被延拓到了一個更廣泛的概念“交互系統”，零知識證明系統正是一種交互系統。

DODO 24小時漲幅超50%，現報0.156911美元:金色財經報道，行情數據顯示，DODO 24小時漲幅超50%，現報0.156911美元。行情波動較大，請做好風險控制。[2023/8/8 21:31:27]

但是，零知識證明非常反直覺。為什么這么說？如圖所示，右邊的Bob把輸入X傳給左邊的硬件設備，在這個硬件設備上會跑一個程序Y=F(X,W)，W則是一個秘密數據，設備算出結果后，會返回Y，Bob如何相信Y的計算過程沒有問題呢？這就需要零知識證明了，只要設備再附加上一個零知識證明，而我們就能完全相信Y確實是F計算的結果，就能完全相信一個不受控制的硬件，可能是有后門的硬件設備，跑出的運算結果是沒有經過惡意篡改的。準確點說，零知識證明能夠保證遠程計算的完整性，但這是反直覺的。

零知識證明還有什么用？我簡單羅列一下，區塊不斷膨脹，越來越大？而用零知識證明技術，你只需要下載一個區塊就可以了；鏈上交易可追蹤，零知識證明可以保護用戶的交易匿名性，可以保護用戶身份的情況下進行身份認證、可以保護上鏈數據的隱私，實現安全地數據共享，以及鏈上鏈下的數據關聯，都可以用零知識證明完成。

以太坊信標鏈驗證者數量突破55萬:3月16日消息，據以太坊官方網站最新數據顯示，以太坊信標鏈驗證者總數量已突破55萬，本文撰寫時為550,342個。

此外，以太坊總質押量達到18,701,653枚ETH，APR為3.6%，按照當前價格計算，質押ETH總價值達到約310億美元。[2023/3/16 13:07:14]

通過三染色問題理解零知識證明

零知識證明背后的原理是我今天要講的重點，希望能讓大家快速地理解。這是一個尋找地圖三染色答案的問題，我們把一個地圖想象成一個個城市，然后把城市用線連起來，相鄰的城市必須用不同的顏色來染色。那么相當于我們要求一個圖上的每一條邊的兩端頂點顏色必須不同。尋找地圖三染色答案是一個NP-Complete的問題，也就是一個NP難解問題。

假設Alice有一個三染色答案，她要向Bob證明這件事，但是又不能讓對方知道每個點的顏色是什么，實現所謂的“零知識”證明。這時候應該怎么做？第一步，Alice會把顏色對調成另一套顏色，但是對調顏色之后，這個地圖仍然是一個三染色答案，然后Alice把答案的每個節點蓋上紙片給Bob看。

穆長春：數字人民幣的可控匿名并不意味著控制和支配，而是防控風險和打擊犯罪:7月24日消息，穆長春表示，數字人民幣的可控匿名并不意味著控制和支配，而是防控風險和打擊犯罪，央行數字貨幣研究所所長穆長春在第五屆數字中國建設峰會發言。“總之，數字人民幣作為人民銀行發行的法定數字貨幣，會充分尊重隱私與個人信息保護，并在此基礎上做好風險防范，以防止被不法分子利用。”穆長春提到，需要強調的是，在實物現鈔依然發行的前提下，公眾仍然可獲得實物現鈔所提供的完全匿名性，不會因數字人民幣的發行而被剝奪；同時，可控并不意味著控制和支配，而是防控風險和打擊犯罪，這是維護公眾利益和金融安全的客觀需要。數字人民幣的可控匿名將為公眾提供體驗更好、更加安全的支付服務起到積極作用。（北京商報）[2022/7/24 2:34:49]

第二步，Bob看不見每一個頂點，但他會隨機選擇一條邊讓Alice來揭開紙片。

第三步，Alice揭開紙片后，Bob會看到兩邊的顏色是不同的，這時候他能相信頂點三染色問題是一個正確的答案嗎？不一定，因為可能他選的這條邊可能湊巧沒問題，但是其它邊可能是有問題的。

美國國家籃球退役球員協會將發行籃球傳奇人物NFT:金色財經報道，據美國國家籃球退役球員協會官方社交媒體賬號消息，該協會已經和Web3平臺ARIA簽署了為期五年的獨家合作伙伴關系，雙方將為NBA、WNBA和哈林籃球隊中近1500名傳奇人物發行NFT數字藏品，據悉首套系列預計將在今年夏天推出，其中將包括克萊德·德雷克斯勒、格蘭特·希爾、卡爾·馬龍、哈基姆·奧拉朱旺、比爾·拉塞爾、約翰·斯托克頓、伊賽亞·托馬斯、杰里·韋斯特和多米尼克·威爾金斯等NBA巨星。[2022/6/27 1:32:58]

那么再來一遍，重復三步，Alice重新把顏色交換，Bob再隨機挑一條邊看，這時候Bob能相信嗎？不一定，可能恰好兩次都被Alice都蒙著了，有這種可能。

但是Bob可以不斷的試，試N次，只要N足夠大，Alice作弊的概率就會指數級減小，減小到幾乎不可能。

通過這個方案，Alice成功以零知識的方式向Bob證明了自己確實擁有一個三染色答案，這就是零知識證明的最基本概念。

零知識證明的運行邏輯

說了這么多，大家可能覺得這和我們所說的“反直覺”非常遙遠。如何信任一個遠程計算呢？我具體說明下零知識證明技術是怎么做到的。

假設我們有一個超級攝像機，它把遠程計算的詳細過程，包括CPU、內存、程序的全部狀態拍攝下來，我把視頻從頭放一遍，理論上就會知道這個計算過程沒有問題，因為在任何一步作弊，理論上都可以找出來。但實際做不到，因為視頻巨大無比，檢驗過程基本不可實現。

接下來我們做一個簡單轉換，用“算術電路”來重新表達這個計算過程。算術電路是什么意思呢？理論上大部分可終止的計算過程都可以轉化為由“+”“×”兩種電路門構成的電路來計算完成。在電路這頭輸入X，就會從另一頭的引腳上得到Y。因此我們不再需要一個攝像機了，而只需要拍攝一張照片即可，然后我就可以“分別檢查“每個門的計算過程是否正確。

但這仍然存在問題，就是驗證過程太長了，意味著我們要檢查所有門，檢查一次哈希計算需要檢查兩萬多個門的輸入輸出，顯然這很麻煩。一個改進思路就是，用多項式編碼所有門，把N次檢驗壓縮到1次。

如圖右側所示，這個黃色的曲線編碼了正確的計算過程，如果Alice要作弊，她只要改動任意一個引腳上的數字，曲線就會變得非常不一樣，改動會被放大。理論上，我們通過一個叫做Schwatz-Zippel的定理，檢查X軸上任意一點，就能知道這個曲線有沒有改動過，這就是用代數理論，把N次檢驗轉換成一次。

但這個問題還沒有結束，這個過程中我們需要檢驗數據，但不想讓Bob知道計算過程中的任何中間數據和結果數據，也就是說要對Bob是零知識的。這時候我們的思路是把多項式運算同態映射到橢圓曲線群上。在正常運算時我們得到的是“0、1、2、3…”這樣的整數，它可以映射到橢圓曲線群上的N個點，進行一一對應。

通過橢圓曲線上的點你很難倒推回整數域，因為它是“離散對數難題”。接下來我們要去除交互過程，變成非交互零知識證明。思路是我們在X軸上隨意選個點，由一個第三方預先產生一個加密挑戰數，用來挑戰曲線。最后就會形成一個簡潔方案，即由第三方生成一個加密挑戰數，生成兩個密鑰，Bob把計算交給Alice，Alice進行計算，完成零知識證明的動作，這就是2013年誕生的Pinocchio協議。

零知識證明離不開形式化驗證

零知識證明安全嗎？密碼學教授MatthewGreen這樣評論：“使用零知識證明技術就好像走了一條捷徑：通過中土龐大地下城——摩瑞亞，這比翻山越嶺要快不少，但是你可能會與炎魔作斗爭。”所以說零知識證明是一把鋒利的雙刃劍，因為一旦你用了零知識證明，黑客攻擊也將是零知識的，也就是說沒有人知道已經被黑客攻擊了。

2018.3.1ZCash團隊的ArielGabizon發現了論文中附錄B有一個致命錯誤，可導致無限造幣。但有趣的是，在長達4年的時間里，沒有其它密碼學家發現這個漏洞，直到2019年2月份，BCTV14的論文作者和Zcash團隊才同時公布了這個嚴重漏洞。

我的結論是，如果用零知識證明，請一定要進行嚴格的形式化驗證。最后我想強調可信的3方面：1、區塊鏈提供的共識協議的信任；2、零知識證明提供了數據信任和計算完整性；3、形式化驗證最終保證這個計算邏輯是完全沒有問題的。這三者結合在一起，才能形成真正可信任的數學基礎，謝謝大家！

Tags：ALIBOBALICELICMalinkaBoba Networkalice幣還有長期價值嗎ALICE幣

Filecoin