深度介紹主要的隱私交易技術 捍衛隱私

2.3 Zerocoin、Zerocash——巧用密碼學領域的高級證明法

2013年5月，為了改進Coinjoin需要第三方參與的缺陷，約翰霍普金斯大學教授Matthew D. Green等提出了Zerocoin協議。此協議提議允許銷毀并重新生成數字通證，以保證通證交易匿名化且無需第三方參與。

2014年5月，Matthew D. Green等人基于Zerocoin創建了Zerocash協議。該協議利用密碼學領域的高級證明——零知識證明方法對Zerocoin進行了完善和改進。Zerocash提出了一種經典的零知識證明方法——zk-SNARKs。

本系列前文已經提到，零知識證明是密碼學的高級證明（詳見《隱私計算：動態的加密技術——區塊鏈技術引卷之八》）。證明者在不透露隱私數據的情況下，可以向任意第三方證明自己確實擁有特定數據。零知識證明具有完備性、穩定性、零知識性的特點。理論上，零知識證明是匿名程度最好的隱私計算技術，其學術資本較強。

zk-snark（Zero-knowledge succinct non-interactive arguments of knowledge）是一種經典的零知識證明法，發送方可以在不泄露交易的金額、地址等細節的前提下向驗證者證明交易的合法性。

zk-SNARKs的驗證過程主要包含三部分。

第一：抽象編碼。證明者需要向驗證者證明他知道某一事實，這一邏輯在第一步被抽象為證明者需要向驗證者證明一個多項式成立。例如：

第二：簡單隨機抽樣。驗證者雖無法直接確認多項式成立，但可使用評估點進行評估。驗證者選取隨機的評估點s，若在評估點上等式成立（即f(s)?g(s)=h(s)?w(s)），則說明含參多項式具有一定可信度。通過多次選取評估點能不斷提升可信度。

第三：零知識證明。為了確保證明者不會因為透露f(s)、g(s)、h(s)、w(s)的值而泄露安全信息，證明者使用同態加密技術將上述值加密。例如使用同態加密函數E將上述值加密為E(f(s))、E(w(s))、E(h(s))、E(w(s))，驗證者被授權驗證加密后的值，如果加密后的值符合下式，則驗證成功。

但是，zk-SNARKs有兩個明顯的缺陷。第一，依賴于可信的初始設置。基于此方法的數字通證交易要求每一對證明者和驗證者都提供一組公共參數以進行零知識證明，而這組公共參數是由協議開發者共同設置的，擁有這些公共參數意味著擁有了造假權。換言之，zk-SNARKs無法避免開發者風險，開發者可能由于不同的原因泄露公共參數。第二，zk-SNARKs的加密技術基于橢圓曲線密碼，目前的計算機無法暴力破解。但隨著計算機性能的提高，尤其是量子計算機的進步，這種不具備量子抵抗能力的方法可能會在將來被暴力破解。

zk-stark（Zero-knowledge Scalable Transparent Argument of Knowledge），一種零知識、可擴展、透明的知識論證正在研究當中。該方法能夠保證生成證明的所有參數都是公開并隨機生成的，同時還具備量子抗性。