從技術(shù)發(fā)展和演變的角度漫談隱私交易相關(guān)的技術(shù)實現(xiàn)方案的發(fā)展情況。

你愿意公開你的錢包地址并且讓所有人都知道你有多少錢嗎？你愿意讓所有人知道你的投資偏好、每筆支出嗎？我想很多人是不愿意的。要實現(xiàn)這些數(shù)據(jù)的隱私保護(hù)，就需要用隱私協(xié)議。
市場上一直有以隱私為賣點的數(shù)字貨幣，包括DASH、XMR、Zcash、Grin、Rose（Oasis Network）、FRA（Findora）、PHA（Phala network）、SCRT（Secret Network）等，加密行業(yè)發(fā)展的十幾年中，隱私板塊一直都占有一席之地。
如果進(jìn)一步將隱私賽道進(jìn)行細(xì)分，可分為隱私計算網(wǎng)絡(luò)、隱私交易協(xié)議、隱私應(yīng)用、隱私幣等四類。其中隱私幣發(fā)展最早，隱私應(yīng)用中的Tornado目前被采用較廣，隱私交易協(xié)議和隱私計算網(wǎng)絡(luò)目前最受關(guān)注。

本文篇幅有限，只從技術(shù)發(fā)展和演變的角度漫談隱私交易相關(guān)的技術(shù)實現(xiàn)方案的發(fā)展情況。

四類實現(xiàn)隱私交易的技術(shù)方案

一、CoinJion
CoinJoin：CoinJoin是一種混幣機制，從不同的發(fā)送方那里獲取代幣，并將它們組合成一筆交易。第三方將代幣打包發(fā)送給接收方。在用戶端，每個接收方都會在一個從未使用過的地址中獲得他/她的代幣。以此來降低特定交易被追蹤的可能性。
DASH幣是采用CoinJion技術(shù)實現(xiàn)隱私交易的典型案例。DASH幣誕生于2014年，并非以隱私為唯一目的，而是將隱私交易作為提供給用戶的一種選擇，用戶可以選擇采用PrivateSend功能來進(jìn)行隱私交易，也可以選擇正常交易。
在機制方面，DASH網(wǎng)絡(luò)通過更高的獎勵收益，鼓勵礦工充當(dāng)主節(jié)點，每個主節(jié)點礦工都有1000個DASH幣作為緩沖資金。每個發(fā)起交易的用戶都可以使用這些緩沖資金，從而達(dá)到“混幣”的效果。由于混幣的存在，交易信息被打亂，難以追蹤，從而達(dá)到隱私保護(hù)的效果。
二、隱匿地址+環(huán)簽名
隱匿地址：創(chuàng)建隱匿地址意味著每次接收加密貨幣時都會創(chuàng)建一個新地址。它確保外部各方無法將支付的地址與永久錢包地址聯(lián)系起來。
環(huán)簽名：區(qū)塊鏈交易需要數(shù)字簽名來驗證簽名人是發(fā)送方，因為每個用戶的簽名都是唯一的，所以當(dāng)用戶簽名時就不難追溯到與簽名人所進(jìn)行的交易。環(huán)簽名策略是將簽名與其他環(huán)成員的簽名結(jié)合在一起：環(huán)成員簽名的數(shù)量越多，直接將簽名人與其交易聯(lián)系起來就越困難。
門羅幣XMR是采用隱匿地址+環(huán)簽名的組合模式實現(xiàn)隱私保護(hù)。門羅幣并非選擇性隱私，而是完全隱私。門羅幣為每個錢包所有者提供一個新的私有視圖密鑰、收件人地址和一個私有消費密鑰。而且XMR挖礦用一般電腦CPU即可完成，不需要專業(yè)礦機，這一定程度上讓XMR更加去中心化。
門羅幣為了進(jìn)一步提高隱私保護(hù)的有效性，發(fā)展過程中還進(jìn)行了多次技術(shù)升級。為了將交易金額隱藏，RING-CT（環(huán)機密交易工具）應(yīng)運而生；使用了RING-CT后，門羅區(qū)塊鏈的隱私性能獲得提高，但可擴展性方面有所犧牲，故而在后來又引入了Bulletproofs這種零知識證明協(xié)議，它提高了XMR的交易規(guī)模、減少了80%的驗證時間。
三、Mimblewimble
Mimblewimble這個詞來源于《哈利波特》中的咒語“混淆咒”，主要有Grin和Beam兩個項目使用了這個隱私協(xié)議。Mimblewimble所用技術(shù)包括了Confidential Transaction、CoinJoin和Cut-through。
Mimblewimble協(xié)議是在匿名性和可擴展性之間找Tradeoff的方案，這是一個為基于output模型的公有賬本提供加密貨幣隱私性的設(shè)計方案，并不涉及共識層，所以可用在幾乎任何共識規(guī)則上。
最初提出Mimblewimble的目的是為了給比特幣提供隱私性。使用該技術(shù)后，可以讓賬戶歸屬、交易關(guān)聯(lián)和交易金額隱藏起來；還可以“洗幣”，在比特幣中有些幣會被標(biāo)記為“贓款”，很多機構(gòu)會拒絕接收這些幣，通過MimbleWimble技術(shù)可以實現(xiàn)洗幣效果。
四、零知識證明類
零知識證明（Zero-Knowledge Proof)，是指證明者能夠在不向驗證者提供超過陳述本身有效性的信息的情況下，使驗證者相信某個論斷是正確/真實的。
零知識證明首先是由Goldwasser、Micali和Rackoff在1989年進(jìn)行理論化。目前零知識證明在區(qū)塊鏈行業(yè)主要用于兩個方面：隱私保護(hù)、可擴展性。本文主要介紹零知識證明在保護(hù)隱私方面的應(yīng)用。
零知識證明用于隱私保護(hù)，最早是在Zcash上進(jìn)行實踐，后面逐漸有Aztec、Manta Network、StarkWare等諸多項目采用零知識證明機制，并演變了很多項新技術(shù)。
通過“阿里巴巴和四十大盜”的例子來介紹零知識證明機制：
阿里巴巴是證明者，大盜是驗證者。大盜抓住了阿里巴巴，要他說出打開藏著寶藏的山洞的咒語，否則就要殺他。如果阿里巴巴直接說出咒語，有可能會因失去利用價值而被殺死；如果阿里巴巴堅持不說，大盜就會認(rèn)為他不知道咒語，也會殺他。阿里巴巴想了個辦法，要求大盜距離他一箭之地，如果阿里巴巴念咒語打不開山洞的石門或者逃跑，大盜就可以用弓箭射死他。
通過這種方式，阿里巴巴能夠在距離大盜足夠遠(yuǎn)（大盜聽不到咒語是什么）的位置，證明他確實掌握咒語。這個過程阿里巴巴（證明者）沒有直接透露咒語是什么，但是能夠使大盜（驗證者）相信某個論斷（阿里巴巴掌握咒語）是真實的。

• zk-SNARK

zk-SNARK的全稱是" Zero-Knowledge Succinct Non-Interactive Argument of Knowledge"，中文名稱為“零知識簡潔的非交互知識論證”。zk-SNARK是以色列理工學(xué)院的Ben-Sasson等人在2014年的Zerocash論文中提出的，是目前應(yīng)用最廣泛的零知識證明類隱私技術(shù)，直接部署zk-SNARK算法的知名項目有Zcash、Loopring等。它允許人們證明自己擁有特定的信息，而無需透露信息的內(nèi)容。
zk-SNARK是一個將零知識證明機制轉(zhuǎn)化成計算機程序語言的技術(shù)。基本邏輯如下圖：

zk-SNARK具體實現(xiàn)了怎樣的隱私呢？zk-SNARK實現(xiàn)了完全的隱私，不僅隱藏了交易雙方的地址和交易的金額，而且連節(jié)點都不知道交易的內(nèi)容。但zk-SNARK的缺點是它需要可信初始設(shè)置（trusted setup），這個設(shè)置無論怎樣設(shè)置，終歸有些潛在安全隱患。
在zk-SNARK的基礎(chǔ)上，為了提高隱私性的同時也兼顧交易容量和交易成本的優(yōu)化，后面又衍生出了Bulletproofs、zk-STARK、Sonic、PLONK、Supersonic等新型零知識證明。

• Bulletproofs

相較于 zk-SNARK，Bulletproofs 不需要可信初始設(shè)置，但驗證 Bulletproofs 比驗證 zk-SNARK 證明更耗時，Bulletproofs被應(yīng)用在了XMR項目中，以提高XMR的交易規(guī)模并減少其80%驗證時間。

• zk-STARK

zk-STARK的英文全程為Zero-Knowledge Scalable Transparent Argument of Knowledge，“零知識可拓展的透明知識論證”。zk-STARK是由StarkWare研發(fā)的，使用新穎的密碼學(xué)證明和現(xiàn)代帶書來強制區(qū)塊鏈上計算的完整性和隱私性，StarkEx采用了zk-STARK技術(shù)。zk-STARK允許區(qū)塊鏈將計算轉(zhuǎn)移到單個鏈下STARK證明者，然后使用鏈上STARK驗證器驗證這些計算的完整性。
相較于zk-SNARK，zk-STARK被認(rèn)為是一種更快、成本更低的技術(shù)實現(xiàn)，因為其計算量增加，但證明者和驗證者之間的通信量保持不變，因此zk-STARK的整體數(shù)據(jù)量要遠(yuǎn)遠(yuǎn)小于zk-SNARK證明中的數(shù)據(jù)量。而且zk-STARK不需要初始可信設(shè)置，因為通過抗碰撞哈希函數(shù)，它們依賴于更簡潔的加密技術(shù)。總體而言，zk-SNARK在完善和采用方面取得了重大進(jìn)展，而zk-STARK則填補了zk-SNARK證明的許多缺陷（更快、成本更低、不需要初始可信設(shè)置）而被認(rèn)為是協(xié)議的改進(jìn)版，但zk-STARK采取鏈下計算鏈上驗證的方式，在安全性方面似乎不如zk-SNARK。

• Sonic

倫敦大學(xué)的Sarah Meiklejohn、愛丁堡大學(xué)的Markulf Kohlweiss和Zcash的Sean Bowe提出了一種名為Sonic的零知識證明協(xié)議，Sonic是一種通用的SNARK，也就是說，只需要一個設(shè)置，它就可以驗證任何可能。
Sonic的出現(xiàn)，讓零知識證明的演變向前邁出了一大步。不過Sonic的速度降低了，因為與非通用SNARK相比，Sonic的證明構(gòu)建時間增加了約2個數(shù)量級，所以目前并沒有知名隱私項目是采用Sonic技術(shù)方案。

• PLONK

PLONK是Aztec協(xié)議的CTO Zachary Williamson、首席科學(xué)家Ariel Gabizon（Protocol Labs及前Zcash）合作開發(fā)的高效通用zk-SNARK。Ariel Gabizon和Zac Williamson在倫敦Binary District研討會上的一次偶然會面中研發(fā)了PLONK。
這是一種全新的高效通用zk-SNARK，PLONK只需要一個可信設(shè)置，所有程序都可以重復(fù)使用這個設(shè)置，這項技術(shù)還獲得了Vitalik轉(zhuǎn)發(fā)。PLONK有多快？在完全標(biāo)準(zhǔn)的硬件上，PLONK能夠在23秒內(nèi)通過超過100萬個門的電路。這里沒有服務(wù)器場或HPC集群——這些數(shù)據(jù)來自Microsoft Surface平板電腦。
以Aztec為例，簡述基于PLONK的隱私協(xié)議Aztec的工作原理：
首先，Aztec需要一個可信初始設(shè)置——Ignition CRS。最初的時候Aztec在全球隨機召集了200名參與者，分別獲得Ignition CRS。這200名參與者都會創(chuàng)造隨機性——這是Aztec證明安全性的基礎(chǔ)。（這就相當(dāng)于有200個人洗牌，只要不是200個人全部勾結(jié)了，只要其中有一個人是誠實參與者，就能夠保證牌的隨機性，也就是系統(tǒng)的安全性。）
然后，Aztec常規(guī)的隱私交易可理解為一個UTXO（如下圖）。類似比特幣的運作方式，但Aztec的區(qū)別在于交易需要加密。所以，以太坊會驗證這個UTXO是否正確——即檢查60+40 =75+25。
具體怎么檢查呢？先檢查input note = output note；為了防止環(huán)繞攻擊（例如：10 = 11+ -1），又設(shè)置了Range Proof（范圍證明），所以Aztec改為部署集合成員證明——交易要想獲得Aztec密碼引擎（ACE）的批準(zhǔn)，用戶需要證明它們形成了來自Codex的輸出注釋。這一系列之后，才能成功驗證UTXO正確與否。
Aztec要實現(xiàn)的隱私，包括三個方面：一是數(shù)據(jù)隱私，Aztec可以將交易金額進(jìn)行加密隱藏；二是用戶隱私，觀看網(wǎng)絡(luò)的人無法再確定發(fā)件人和收件人ID；三是代碼隱私，可以將使用了Aztec SDK的dApp的智能合約代碼也隱私化。其中第一項已經(jīng)實現(xiàn)，后兩項尚未實現(xiàn)。

• SuperSonic

SuperSonic技術(shù)結(jié)合了Sonic和DARK證明，是個無需可信設(shè)置的短證明，100萬邏輯門的前提下可以將證明大小壓縮到10-20 KB，甚至還有優(yōu)化空間，該技術(shù)首次被應(yīng)用在金融公鏈Findora上。
零知識證明系列技術(shù)方案在驗證證明大小、驗證速度、是否需要可信設(shè)置和應(yīng)用案例方面的對比如下表：

總體而言，這些高效通用SNARK的出現(xiàn)，允許通過最多一個MPC設(shè)置實現(xiàn)Web3的隱私和擴展，使得我們能夠在所有用戶設(shè)備（手機、平板電腦等）上生成隱私交易，也可以在公共網(wǎng)絡(luò)上有效地執(zhí)行這些隱私交易。從而大大推動了隱私領(lǐng)域的發(fā)展步伐。
隱私技術(shù)未來趨勢

• 當(dāng)前階段隱私交易使用率還較低，隨著技術(shù)更迭有望獲得提高

隱私交易使用率較低主要有三個原因：一是技術(shù)門檻過高，早期的隱私交易對大多數(shù)普通用戶而言使用體驗不友好，盡管Zcash、XMR之類的隱私幣已經(jīng)存在多年，但絕大多數(shù)普通人都沒真正用過它們；二是隱私交易的需求還沒有被普及，以前談起隱私交易，大家潛意識里都認(rèn)為只有見不得光的一些交易才需要隱私交易，人們對于隱藏自己在鏈上的交易、轉(zhuǎn)賬/支付等行為及金額的意識還比較弱，隨著DeFi等鏈上交易的爆發(fā)，人們對鏈上交易的隱私保護(hù)的意識正在覺醒；三是早期的隱私協(xié)議并沒有提供用戶真正想要使用的貨幣，比如ETH、USDC、DAI主流鏈上資產(chǎn)等，普通用戶為了保持隱私而特意去選擇使用隱私幣的概率不高。

• 主流區(qū)塊鏈部署隱私功能，或許是隱私領(lǐng)域發(fā)展的最終趨勢

隱私幣作為一個獨立的存在，可能不會再受到追捧和歡迎，尤其是經(jīng)過前面幾年各國監(jiān)管的圍追堵截。例如，受FATF規(guī)則影響，2019年時Coinbase UK下架了Zcash，而OKEx韓國則下架了Monero、Dash、Zcash、ZCache、Horizon和SuperBitcoin等六種加密貨幣。
但隱私交易這個需求是真實存在的，而且一直會有這個需求，有需求就有市場。根據(jù)近期行業(yè)內(nèi)最受關(guān)注的隱私項目類型來看，在比特幣、以太坊、Polkadot等為代表的主流區(qū)塊鏈中納入隱私保護(hù)功能的方式可能會成為一種趨勢。
在比特幣交易中使用Coinjion技術(shù)，這是目前使用較廣泛的用于隱藏交易信息的混幣器（Mixers）服務(wù)，Mixers是通過第三方將比特幣發(fā)幣方地址和收幣方地址的聯(lián)系打亂從而隱藏交易信息的一種服務(wù)。
在以太坊上關(guān)注度最高的隱私解決方案是零知識證明系列（zk-SNARK、zk-STARK等）。Vitalik曾講過“零知識證明是最強大的隱私解決方案，盡管技術(shù)實現(xiàn)難度最高，但在保護(hù)在以太坊網(wǎng)絡(luò)的隱私性和安全性上，效果最佳。”而零知識證明類隱私解決方案中，較受推崇的當(dāng)屬Aztec的PLONK技術(shù)。
在Polkadot生態(tài)也有一個較受關(guān)注的隱私交易項目——Manta Network。它是由P0xeiden Labs構(gòu)建的zk-SNARK類型（Plonk with Lookup）的隱私協(xié)議，Manta Network部署在Polkadot，其測試網(wǎng)Calamari則部署于Kusama，據(jù)該項目官網(wǎng)規(guī)劃，未來還計劃在Avalanche、Near等公鏈部署相應(yīng)隱私協(xié)議。Manta Network計劃推出一個多資產(chǎn)去中心化匿名支付協(xié)議MantaPay，以及一個由zk-SNARK提供支持的AMM機制的去中心化交易協(xié)議MantaSwap。
總而言之，隱私交易是個真實存在的市場需求，這個賽道的發(fā)展值得持續(xù)關(guān)注。隨著鏈上交易的數(shù)量和資金量的增長，這部分市場需求也會相應(yīng)增長。

作者：IOBC Capital

來源：DeFi之道