BOB:巴比特現場 | 郭宇：3分鐘搞懂零知識證明，為何它是一把雙刃劍？_LIC

12月22日，2019數字資產與區塊鏈年會暨中國投資協會數字資產研究中心成立大會在北京召開。安比實驗室創始人、數字資產研究院學術與技術委員郭宇以《零知識證明，區塊鏈技術缺失的一環》為題進行了分享。

以下是郭宇演講內容精編，由巴比特整理發布。

什么是區塊鏈？在網上搜索了批評區塊鏈的文章，其中一個理由是吞吐率低。比特幣交易速度只有7筆/秒，以太坊交易處理速度不超過30筆/秒，而國際信用卡Visa至少2000筆/秒。區塊鏈吞吐率如此低下，核心原因在于網絡帶寬。當全球超過1萬個節點進行分布式共識時，不可避免的造成吞吐率的下降。單純靠提高出塊速度來提升吞吐率，到以太坊已經是極致了，出塊速度快則會導致分叉的頻繁出現，不會實質上提升吞吐率，或者靠降低節點數量提升吞吐率，會讓系統安全將得不到保證。那么，如何在不降低安全性的基礎上，提高吞吐率？

反直覺的零知識證明

零知識證明就是解決方案之一。以太坊創始人Vitalik在2018年做了一個實驗，引入零知識證明，以太坊的吞吐率可以有幾十倍的顯著提升，可以達到500TPS。最新的路印協議采用了零知識證明技術方案——ZKRollup，根據他們的測試數據，能夠在以太坊上實現高達10500TPS的去中心化應用。

亞馬遜利用人工智能提高物流和配送速度:5月15日消息，亞馬遜正在優先使用人工智能（AI），通過縮短產品與顧客之間的距離來提高配送速度。

5月15日，亞馬遜北美和歐洲客戶履行和全球運營服務副總裁Stefano Perego在接受CNBC采訪時表示，人工智能在亞馬遜運營的各個方面都發揮著作用。這包括將人工智能用于交通，如地圖和路線規劃，以及考慮天氣條件等因素。此外，人工智能還能幫助顧客在亞馬遜上搜索所需產品。

目前，亞馬遜正在優先考慮人工智能來優化其庫存。Stefano Perego強調庫存安置的重要性，認為這是減少提供服務費用的一個關鍵領域，“想象一下，決定把這批庫存放在哪里是一個多么復雜的問題。我們要縮短與客戶之間的距離，提高交貨速度。”（Cointelegraph）[2023/5/15 15:04:08]

1985年，麻省理工學院的研究人員ShafiGoldwasser，SilvioMicali和CharlesRackoff提出了“交互式證明系統”與“零知識證明”的概念，后來前兩位因為這個工作而獲得2012ACM圖靈獎。

解釋零知識證明前，我們首先要問，“證明”是什么？這個詞從古希臘開始，它代表“洞見”；到1920年代，證明意味著形式化邏輯，懷特海和羅素在《數學原理》里花了幾百頁來證明1+1=2，它代表“符號推理”；到1970年代，證明被發現實際上“程序”沒有區別；而到了1985年，證明的概念被延拓到了一個更廣泛的概念“交互系統”，零知識證明系統正是一種交互系統。

DEUS推出的穩定幣DEI遭到黑客攻擊，損失已超630萬美元:5月6日消息，DeFi協議DEUS發推文稱：“對于從今天DEI漏洞利用期間能夠挽救資金的所有白帽黑客，我們確認0x7f5ae1dc8d2b5d599409c57978d21cf596d37996是DEUS團隊在Arbitrum上擁有的多簽地址。如果你（白帽黑客）還沒有返還資金，請與我們聯系。在白帽和合作伙伴項目的幫助下，DEUS團隊暫停了相關合約并銷毀了DEI，以防止進一步的破壞。我們將跟進事后分析，并在未來幾天制定恢復計劃。在此之前，請不要與任何DEI合約互動。”

安全公司派盾對此表示：“這似乎是一個公共銷毀漏洞，僅BSC鏈上就損失了130萬美元。ARB/ETH的部署也會受到影響。Arbitrum部署遭到黑客攻擊，損失超過500萬美元。”

DEI系DEUS推出的穩定幣，于今日凌晨3時半左右快速脫錨至0.18美元，現回升至0.29美元。[2023/5/6 14:46:01]

但是，零知識證明非常反直覺。為什么這么說？如圖所示，右邊的Bob把輸入X傳給左邊的硬件設備，在這個硬件設備上會跑一個程序Y=F(X,W)，W則是一個秘密數據，設備算出結果后，會返回Y，Bob如何相信Y的計算過程沒有問題呢？這就需要零知識證明了，只要設備再附加上一個零知識證明，而我們就能完全相信Y確實是F計算的結果，就能完全相信一個不受控制的硬件，可能是有后門的硬件設備，跑出的運算結果是沒有經過惡意篡改的。準確點說，零知識證明能夠保證遠程計算的完整性，但這是反直覺的。

2023以太坊Devconnect大會將于11月份在伊斯坦布爾舉行:4月20日消息，以太坊基金會表示，計劃于今年11月13日至19日在土耳其伊斯坦布爾舉行Devconnect大會，為期一周。Devconnect在結構上與Devcon完全不同，由許多單獨的活動組成，由社區組織，每個活動深入探討一個主題。[2023/4/21 14:16:54]

零知識證明還有什么用？我簡單羅列一下，區塊不斷膨脹，越來越大？而用零知識證明技術，你只需要下載一個區塊就可以了；鏈上交易可追蹤，零知識證明可以保護用戶的交易匿名性，可以保護用戶身份的情況下進行身份認證、可以保護上鏈數據的隱私，實現安全地數據共享，以及鏈上鏈下的數據關聯，都可以用零知識證明完成。

通過三染色問題理解零知識證明

零知識證明背后的原理是我今天要講的重點，希望能讓大家快速地理解。這是一個尋找地圖三染色答案的問題，我們把一個地圖想象成一個個城市，然后把城市用線連起來，相鄰的城市必須用不同的顏色來染色。那么相當于我們要求一個圖上的每一條邊的兩端頂點顏色必須不同。尋找地圖三染色答案是一個NP-Complete的問題，也就是一個NP難解問題。

安全團隊：Grim Finance攻擊者中間地址向Tornado Cash轉入1800枚ETH:金色財經報道，據派盾（PeckShield）監測，Grim Finance攻擊者的中間地址（0x9882238）向Tornado Cash轉入1800枚ETH（約330萬美元）。2021年12月，Grim Finance遭到重入攻擊，該攻擊竊取了價值約3000萬美元的加密資產。[2022/8/19 12:36:08]

假設Alice有一個三染色答案，她要向Bob證明這件事，但是又不能讓對方知道每個點的顏色是什么，實現所謂的“零知識”證明。這時候應該怎么做？第一步，Alice會把顏色對調成另一套顏色，但是對調顏色之后，這個地圖仍然是一個三染色答案，然后Alice把答案的每個節點蓋上紙片給Bob看。

第二步，Bob看不見每一個頂點，但他會隨機選擇一條邊讓Alice來揭開紙片。

最近一周，以太坊網絡新增209.97萬枚NFT資產:金色財經報道，NFTScan數據顯示，最近一周，以太坊網絡新增209.97萬枚NFT資產，平均每天新增鑄造29.99萬枚NFT資產。[2022/6/15 4:26:57]

第三步，Alice揭開紙片后，Bob會看到兩邊的顏色是不同的，這時候他能相信頂點三染色問題是一個正確的答案嗎？不一定，因為可能他選的這條邊可能湊巧沒問題，但是其它邊可能是有問題的。

那么再來一遍，重復三步，Alice重新把顏色交換，Bob再隨機挑一條邊看，這時候Bob能相信嗎？不一定，可能恰好兩次都被Alice都蒙著了，有這種可能。

但是Bob可以不斷的試，試N次，只要N足夠大，Alice作弊的概率就會指數級減小，減小到幾乎不可能。

通過這個方案，Alice成功以零知識的方式向Bob證明了自己確實擁有一個三染色答案，這就是零知識證明的最基本概念。

零知識證明的運行邏輯

說了這么多，大家可能覺得這和我們所說的“反直覺”非常遙遠。如何信任一個遠程計算呢？我具體說明下零知識證明技術是怎么做到的。

假設我們有一個超級攝像機，它把遠程計算的詳細過程，包括CPU、內存、程序的全部狀態拍攝下來，我把視頻從頭放一遍，理論上就會知道這個計算過程沒有問題，因為在任何一步作弊，理論上都可以找出來。但實際做不到，因為視頻巨大無比，檢驗過程基本不可實現。

接下來我們做一個簡單轉換，用“算術電路”來重新表達這個計算過程。算術電路是什么意思呢？理論上大部分可終止的計算過程都可以轉化為由“+”“×”兩種電路門構成的電路來計算完成。在電路這頭輸入X，就會從另一頭的引腳上得到Y。因此我們不再需要一個攝像機了，而只需要拍攝一張照片即可，然后我就可以“分別檢查“每個門的計算過程是否正確。

但這仍然存在問題，就是驗證過程太長了，意味著我們要檢查所有門，檢查一次哈希計算需要檢查兩萬多個門的輸入輸出，顯然這很麻煩。一個改進思路就是，用多項式編碼所有門，把N次檢驗壓縮到1次。

如圖右側所示，這個黃色的曲線編碼了正確的計算過程，如果Alice要作弊，她只要改動任意一個引腳上的數字，曲線就會變得非常不一樣，改動會被放大。理論上，我們通過一個叫做Schwatz-Zippel的定理，檢查X軸上任意一點，就能知道這個曲線有沒有改動過，這就是用代數理論，把N次檢驗轉換成一次。

但這個問題還沒有結束，這個過程中我們需要檢驗數據，但不想讓Bob知道計算過程中的任何中間數據和結果數據，也就是說要對Bob是零知識的。這時候我們的思路是把多項式運算同態映射到橢圓曲線群上。在正常運算時我們得到的是“0、1、2、3…”這樣的整數，它可以映射到橢圓曲線群上的N個點，進行一一對應。

通過橢圓曲線上的點你很難倒推回整數域，因為它是“離散對數難題”。接下來我們要去除交互過程，變成非交互零知識證明。思路是我們在X軸上隨意選個點，由一個第三方預先產生一個加密挑戰數，用來挑戰曲線。最后就會形成一個簡潔方案，即由第三方生成一個加密挑戰數，生成兩個密鑰，Bob把計算交給Alice，Alice進行計算，完成零知識證明的動作，這就是2013年誕生的Pinocchio協議。

零知識證明離不開形式化驗證

零知識證明安全嗎？密碼學教授MatthewGreen這樣評論：“使用零知識證明技術就好像走了一條捷徑：通過中土龐大地下城——摩瑞亞，這比翻山越嶺要快不少，但是你可能會與炎魔作斗爭。”所以說零知識證明是一把鋒利的雙刃劍，因為一旦你用了零知識證明，黑客攻擊也將是零知識的，也就是說沒有人知道已經被黑客攻擊了。

2018.3.1ZCash團隊的ArielGabizon發現了論文中附錄B有一個致命錯誤，可導致無限造幣。但有趣的是，在長達4年的時間里，沒有其它密碼學家發現這個漏洞，直到2019年2月份，BCTV14的論文作者和Zcash團隊才同時公布了這個嚴重漏洞。

我的結論是，如果用零知識證明，請一定要進行嚴格的形式化驗證。最后我想強調可信的3方面：1、區塊鏈提供的共識協議的信任；2、零知識證明提供了數據信任和計算完整性；3、形式化驗證最終保證這個計算邏輯是完全沒有問題的。這三者結合在一起，才能形成真正可信任的數學基礎，謝謝大家！

Tags：ALIBOBLICALICEJust for DecentralizationBOBTDALICHAINalice幣價格

幣安下載