新型零知識(shí)證明方案詳細(xì)解析

導(dǎo)讀：這周我們先通過兩篇科普文章了解零知識(shí)證明的概念，再來了解由“計(jì)算機(jī)安全教母”宋曉冬教授等人提出的新型零知識(shí)證明方案Virgo（處女座）。

而在硬核技術(shù)文章周選部分，我們還會(huì)看到比特幣技術(shù)年度總結(jié)、Eth2.0中繼者網(wǎng)絡(luò)與手續(xù)費(fèi)機(jī)制、區(qū)塊鏈分層模型新思路的內(nèi)容。

另外，由V神提出的新方案，可能會(huì)加快ETH 2.0的整體落地進(jìn)度。

以下是上周內(nèi)容的精選回顧，enjoy ~

一、理解零知識(shí)證明，新型零知識(shí)證明方案Virgo（處女座）又長什么樣？

關(guān)于區(qū)塊鏈的隱私問題，我們經(jīng)常會(huì)提到零知識(shí)證明（ZKP）方案，它們可允許證明者說服驗(yàn)證者一個(gè)語句是真的，而不會(huì)泄露任何超出聲明有效性的額外信息。

近年來，零知識(shí)證明協(xié)議在計(jì)算委托、匿名證書、隱私保護(hù)加密貨幣和智能合約方面已經(jīng)取得了巨大的進(jìn)展。而在進(jìn)入這周的學(xué)術(shù)論文分享之前，我們需要先來了解一下零知識(shí)證明的概念，因此先推薦兩篇科普好文：

1 零知識(shí)證明學(xué)習(xí)筆記：背景與起源

文章由斯坦福大學(xué)密碼學(xué)學(xué)者東澤提供，其先從比特幣的保密性不足問題入手，然后談到CoinJoin、保密交易（CT）這兩個(gè)比特幣隱私提升方案所存在的弊端，接著他講到ZCash所使用的零知識(shí)證明方案zk-SNARKs及其潛在的應(yīng)用。

文章鏈接：https://www.8btc.com/media/537030

2 郭宇：3分鐘搞懂零知識(shí)證明，為何它是一把雙刃劍？

由安比實(shí)驗(yàn)室創(chuàng)始人、數(shù)字資產(chǎn)研究院學(xué)術(shù)與技術(shù)委員郭宇分享的《零知識(shí)證明，區(qū)塊鏈技術(shù)缺失的一環(huán)》演講內(nèi)容（經(jīng)巴比特記者整理），談到了零知識(shí)證明概念的由來，以及用地圖三染色問題來解釋零知識(shí)證明的基本概念，此外，2018年3月1日，ZCash團(tuán)隊(duì)成員在論文 ［BCTV14］ 附錄B中的一個(gè)致命錯(cuò)誤，可被用于無限造幣，這也提醒了人們零知識(shí)證明協(xié)議離不開形式化驗(yàn)證。

文章鏈接：https://www.8btc.com/article/537797

盡管研究進(jìn)展是顯著的，但很多零知識(shí)證明（ZKP）方案仍存在著一些局限性，例如上面提到的zk-SNARKs，它就需要一個(gè)可信的設(shè)置階段來生成結(jié)構(gòu)化引用字符串（SRS），而如果該陷門被泄露，那么系統(tǒng)的安全性將被破壞。

為了解決這一問題，最近有很多零知識(shí)證明（ZKP）方案的設(shè)計(jì)都移除了對(duì)可信設(shè)置的需求。

而來自加州大學(xué)伯克利分校及德克薩斯A&M大學(xué)的四位研究者（包括Yupeng Zhang 、Jiaheng Zhang、TIancheng Xie 和 Dawn Song （宋曉冬））則將這類ZKP方案稱為透明零知識(shí)證明（ZKP）協(xié)議，他們還根據(jù)Goldwasser等人提出的雙有效交互式證明GKR方案，提出了一個(gè)具有簡潔證明大小和驗(yàn)證時(shí)間的高效透明ZKP系統(tǒng)。

原論文鏈接：https://eprint.iacr.org/2019/1482.pdf

而這一研究論文，已被安全與隱私頂級(jí)會(huì)議IEEE S&P 2020接受。

看上去是不是感覺“灰常膩害呢”！不妨來具體看看這個(gè)協(xié)議到底長啥樣吧！

根據(jù)論文介紹，該研究的貢獻(xiàn)大致可被分為3點(diǎn)：

1. 透明零知識(shí)可驗(yàn)證多項(xiàng)式委托（Transparent zero knowledge verifiable polynomial delegaTIon）：研究者們提出了一種新的無需可信設(shè)置的零知識(shí)可驗(yàn)證多項(xiàng)式委托（zkVPD）方案。與現(xiàn)有基于配對(duì)的密鑰分配方案相比，這種新方案不需要陷門和線性大小公鑰，其消除了模冪運(yùn)算和雙線性配對(duì)等繁重的密碼運(yùn)算；

2. 透明的零知識(shí)論證（Transparent zero knowledge argument）：研究者們將新的zkVPD協(xié)議與GKR協(xié)議有效地結(jié)合起來，從而得到了一個(gè)透明的ZKP方案，這一方案只使用了輕量級(jí)的密碼學(xué)原語（例如抗碰撞的散列函數(shù)，因此可能是抗量子計(jì)算的）；

3. 在新方案的基礎(chǔ)上，研究者們實(shí)現(xiàn)了一個(gè)名為Virgo（處女座）的ZKP系統(tǒng)，它是研究者們上一個(gè)ZKP方案Libra（不要誤會(huì)，并不是Facebook的Libra哦）的升級(jí)版本，而他們還計(jì)劃開源這一系統(tǒng)；

Virgo（處女座）與其它零知識(shí)證明方案的對(duì)比

上面，我們簡單介紹了這項(xiàng)研究的主要貢獻(xiàn)，為了節(jié)省時(shí)間，我們直接跳過非常復(fù)雜的技術(shù)描寫而看結(jié)論，這一研究中主要的技術(shù)貢獻(xiàn)是一個(gè)新的具有O（N log N）證明者時(shí)間、33證明大小和驗(yàn)證時(shí)間的透明zkVPD方案（其中的N代表多項(xiàng)式的大?。?。

另外，研究者實(shí)施的零知識(shí)證明系統(tǒng)Virgo（處女座）是用C++實(shí)現(xiàn)的，其中透明zkVPD協(xié)議大約有700行代碼，而GKR部分則有2000行代碼。

在單臺(tái)服務(wù)器條件下進(jìn)行實(shí)驗(yàn)后，研究者們將其與其它6種ZKP方案（包括Libra、Ligero、Bulletproofs、Hyrax、Stark以及Aurora）進(jìn)行了比較，結(jié)果如下圖顯示：

其中，在前兩個(gè)基準(zhǔn)上，Virgo（處女座）相比Libra要優(yōu)化了7-10倍，而在第三個(gè)基準(zhǔn)上則要快3-5倍，而這種優(yōu)化便是來自于研究者們新提出的高效zkVPD。

而與其它透明ZKP系統(tǒng)相比，從實(shí)際證明者時(shí)間來看，Virgo是這些系統(tǒng)中表現(xiàn)最好的，它要比其它系統(tǒng)至少快一個(gè)數(shù)量級(jí)，而在驗(yàn)證時(shí)間的對(duì)比上，Virgo的表現(xiàn)也是非常出眾的。

例如，驗(yàn)證一個(gè)256個(gè)子葉的Merkle樹，2^26個(gè)門的電路構(gòu)造，Virgo只需要花費(fèi)50 毫秒的時(shí)間，它的驗(yàn)證時(shí)間與ZK-Stark是可競(jìng)爭(zhēng)的。

而在證明大小方面，它要比Bulletproofs（防彈證明）更大一些，類似于Hyrax、Stark以及Aurora。

zkVPD和新ZKP方案的應(yīng)用場(chǎng)景

最后，在這篇論文中，研究者們提出了新方案適用的三個(gè)應(yīng)用場(chǎng)景，分別如下：

1. 可驗(yàn)證秘密共享；

2. 提升區(qū)塊鏈項(xiàng)目的隱私性；

3. 大規(guī)模零知識(shí)證明：除了區(qū)塊鏈之外，也有很多其它應(yīng)用需要證明大型聲明的ZKP，例如美國國防高級(jí)研究計(jì)劃局（DARPA）最近打算使用ZKP來證明復(fù)雜程序的行為，而不泄露敏感信息，而這樣的應(yīng)用需要將ZKP方案擴(kuò)展到具有數(shù)十億門的電路。

灑脫喜簡評(píng)：2019年，零知識(shí)證明研究領(lǐng)域迎來了多個(gè)新的方案，而“無需可信設(shè)置”、“較小驗(yàn)證大小”、“較短證明者（p）時(shí)間和驗(yàn)證（v）時(shí)間”，已經(jīng)成為了優(yōu)秀ZKP方案的“標(biāo)配”，盡管Virgo（處女座）方案是在單服務(wù)器條件下進(jìn)行的測(cè)試，但其呈現(xiàn)出來的結(jié)果是令人感到驚喜的，至于該方案的具體實(shí)現(xiàn)及潛在的問題，就等研究者們?nèi)ゼ?xì)心探索了（尤其是它在多服務(wù)器條件下的表現(xiàn)，這是論文中沒有提到的）。

二、硬核技術(shù)文章一周精選

2、1 比特幣技術(shù)年度最全總結(jié)

由Bitcoin Optech總結(jié)的2019年比特幣技術(shù)進(jìn)展文章，其回顧了比特幣技術(shù)項(xiàng)目代碼庫近9000次commit（近2000次合并）、1500多個(gè)郵件列表帖子、數(shù)千行IRC日志以及其它很多公共來源。

以下是每個(gè)月中最顯著的技術(shù)進(jìn)展：

1月：BIP127儲(chǔ)備證明；

2月：（1）兼容硬件錢包接口的Bitcoin Core，（2）Miniscript；

3月：（1）共識(shí)清理軟分叉提議，（2）Signet，（3）Lightning Loop；

4月：（1）AssumeUTXO，（2）Trampoline支付；

5月：（1）Taproot，（2）SIGHASH_ANYPREVOUT，（3）OP_CHECKTEMPLATEVERIFY；

6月：（1）Erlay和其它P2P中繼改善，（2）閃電網(wǎng)絡(luò)暸望塔（Watchtower）；

7月：Guix

8月：無契約金庫

9月：（1）SNICKER，（2）發(fā)現(xiàn)閃電網(wǎng)絡(luò)漏洞；

10月：LN錨輸出；

11月：（1）Bech32，（2）移除Bitcoin Core中的OpenSSL，（3）移除Bitcoin Core中的BIP70；

12月：閃電網(wǎng)絡(luò)多路徑支付

完整原文鏈接：https://bitcoinops.org/en/newsletters/2019/12/28/

灑脫喜簡評(píng)：可能是目前市場(chǎng)上介紹2019年比特幣技術(shù)進(jìn)展最全的一篇文章，比特幣迎來了一系列增量改進(jìn)解決方案，而其中有很多內(nèi)容是被大家忽略了，有興趣的可以了解下。

2、2 干貨 | Eth2.0 的中繼者網(wǎng)絡(luò)與手續(xù)費(fèi)機(jī)制

來自以太坊 2.0 研究者John Adler的技術(shù)總結(jié)文章（由IAN LIU & 阿劍翻譯），其重點(diǎn)關(guān)注了以太坊2.0 的中繼網(wǎng)絡(luò)及手續(xù)費(fèi)機(jī)制。其中，每種提案都有其不同的權(quán)衡取舍，而且被不同的平臺(tái)所采用，因此做一次合理且全面的匯總，能讓新入門的研究者更快上手。

文章鏈接：https://www.8btc.com/media/539143

2、3 Vitalik ：基礎(chǔ)層和功能逃逸速度，論并行開發(fā)layer 1和layer 2的必要性

以太坊聯(lián)合創(chuàng)始人Vitalik Buterin在其最新發(fā)布的博文《基礎(chǔ)層和功能逃逸速度》中提到，“保持 layer 1簡單，使用layer 2來彌補(bǔ)不足” 并不是解決區(qū)塊鏈可擴(kuò)展性和功能性問題的普遍答案，因?yàn)檫@種思路沒有考慮到layer 1區(qū)塊鏈本身必須要具有足夠的可擴(kuò)展性和功能性，否則所謂的layer 2協(xié)議只是可信的中介。在這篇文章中，Vitalik提出了“功能逃逸速度”的概念，他還表示，短期內(nèi)我們需要并行開發(fā)layer 1與 layer 2 ，而長期則要更關(guān)注layer 2的開發(fā)。

文章鏈接：https://www.8btc.com/arTIcle/539384

灑脫喜簡評(píng)：V神解釋了layer 1在具備三種條件下（1、包括一種可驗(yàn)證任意內(nèi)容的編程語言，2、豐富的有狀態(tài)性，3、充分的數(shù)據(jù)可擴(kuò)展性和低延遲），即可使得layer 2在無需可信中介的情況下進(jìn)行部署，因此他建議短期內(nèi)我們?nèi)砸⑿虚_發(fā)layer 1和layer 2。

一般認(rèn)為，用戶對(duì)layer 2的去中心化屬性并沒有太大的要求，但如果能夠在實(shí)現(xiàn)高性能的情況下再去實(shí)現(xiàn)去中心化，感覺是不是很美呢？咦，似乎又會(huì)導(dǎo)致一些安全問題哦，原文https://vitalik.ca/general/2019/12/26/mvb.html下有相關(guān)的評(píng)論。

三、主流區(qū)塊鏈項(xiàng)目技術(shù)進(jìn)展

3、1 Vitalik Buterin發(fā)布重磅新提案，讓ETH 1.0鏈作為分片0，更快遷移到ETH 2.0

上周，以太坊聯(lián)合創(chuàng)始人Vitalik Buterin提出了一種將ETH 1.0數(shù)據(jù)遷移到ETH 2.0的更快方法，這種方案需要用到無狀態(tài)客戶端，但不需要無狀態(tài)的礦工和Web程序集，因此需要更少的重構(gòu)工作，而ETH 1.0將作為ETH 2.0 的分片0而存在。