本課主題：零知識證明:潛力與價值
課程介紹：也許你曾經聽說過ZK Proof或零知識證明。但是，你好像從來沒搞清楚它是什麼？在本節課中，你所有關於零知識證明的問題都將得到解答，我們從例子出發，講解什麼是零知識證明以及零知識證明如何被用於SK-SNARK和PLONK協議中。
課程大綱：
1. 什麼是零知識證明ZKPs
2. 舉例說明零知識工作原理及特徵
3. ZKP在區塊鏈中發揮何種優勢
4. 分析零知識證明在未來有何前景
導師簡介：
王澤華
加拿大UBC大學客座教授、博士、博導；加拿大Verilog Solutions Inc.創始人；加拿大英屬哥倫比亞大學客座教授；以太坊基金會合作夥伴。
王澤華博士，Verilog Solution安全審計公司創始人。加拿大UBC大學電子與計算機工程系客座教授，博士生導師。參與創辦的UBC大學區塊鏈研究生項目2021年排名加拿大第一。他在UBC開設的區塊鏈核心課程包括區塊鏈基礎和區塊鏈軟件工程，每年培養上百名Web3行業從業者。王澤華博士2009年畢業於武漢大學軟件工程專業，2016年獲得UBC大學博士學位，其任職首席科學家的RightMesh項目在2018年獲得加拿大總理特魯多表彰。 2019年回UBC任教，2021年創辦Verilog Solutions Inc. 區塊鏈安全審計公司，目前是多家公鏈生態和風投基金的官方合作夥伴。
課程內容：
大家好非常感謝金色財經的邀請，今天為大家帶來了零知識證明的潛力與價值系列講座。
1. 什麼是零知識證明
首先，什麼是零知識證明？零知識證明有的時候指的是零知識證明本身，泛指一切可以不需要洩露任何有用信息即可以證明我知道這些知識的方法。同時零知識證明有的時候也可以用來指代零知識證明實現的算法和協議。這裡有必要指出的是零知識證明實質上是一種涉及兩方和更多方的協議及兩方和更多方完成一項任務所需採取的一系列步驟證明者向驗證者證明並使其相信自己知道或擁有某一消息但證明過程不能向驗證者洩露任何關於被證明消息的信息。最後一點，零知識證明也可以用來指代零知識證明過程中交互的消息。雖然擁有知識和信息的一方即證明方不需要告訴被要求相信的一方（即，驗證方）這些信息本身但是驗證方需要和證明方產生交互才能達到信任證明方的目的。這些交互的消息有時候也會被稱為零知識證明。
所以我們在說零知識證明的時候，根據語境的不同強調的側重點也不同。有的時候我們說的是零知識證明的算法，有的時候我們說的是零知識證明在驗證過程中交互的消息。但是無論怎樣，我們都需要了解零知識證明是如何工作的，我們需要掌握的是零知識證明是如何可以達到不告知對方有用信息的情況下達到向對方證明我知道這些信息的目的的。
為了講清楚零知識證明我們需要從一個計算機科學裡面的基本概念講起這個概念就是P問題和NP問題。 P問題指的是在多項式時間內可以解決和驗證的問題，NP問題是指在多項式時間內可以驗證但是目前為止找不到多項式時間內完成的解決方法的問題。現在計算機科學領域普遍認為P問題不等於NP問題。我們比較感興趣的是這種NP問題，也就是說給定一個問題，並且給出這個問題的一個解答，人們很容易在多項式時間內判別這個解答是不是正確的。但是想找到一個正確的解，很難在多項式時間內實現。
這裡我們可以想幾個例子，什麼樣的問題是我們所感興趣的NP問題呢？比如，分解由兩個很大的質數相乘得到的合數。我們想要分解這樣一個很大的合數需要耗費很多的計算資源，但是給出了其中的一個質因數我們就可以很容易的得到其他一個。而且驗證一個解非常容易，只要將這兩個質數相乘看看是不是等於這樣個比較大的合數就可以了。另外一個NP問題比如說，三色問題。三色問題指的是在一個有點和邊連接的圖中，如何將網絡中的點著色，使得有公共邊的結點顏色互不相同。如果我們知道一個解，我們很容易去驗證它是不是對的，但是找到一個這樣正確的解需要花費很長時間。另外，比如說四色問題，如何給地圖填色使得相鄰的州或者相鄰的國家顏色不同。如果我們知道一個解，我們很容易去驗證它是不是對的，但是找到一個這樣的解需要耗費很長的計算時間。
在知道了NP問題的基本概念之後，我們就可以開始梳理零知識證明的脈絡了。首先零知識證明是一套基於數學的程式化的算法，這種程式化的算法可以很容易用計算機幫助我們實現我們的目。我們需要構建一個NP問題，而且這個NP問題的答案就是我們的知識。我們想要證明我們知道這個知識，但是不想告訴別人這個知識究竟是什麼。同時，我們也不能直接就把這個NP問題告訴別人，因為如果直接把這個問題告訴別人，就意味著除了告訴別人真正的答案和知識，沒有別的方法證明我知道這個知識，也就無法做到零知識證明了。
那怎麼辦呢？我不能告訴你這個NP問題本身，我更不能告訴你這個NP問題的答案。我們需要做的，首先是把我的這個NP問題的解，帶入到我的NP問題當中，並把原來的NP問題轉換成等式的形式。再把這個等式的形式轉化為另一個維度下的另一個NP問題，這個轉化後的新的NP問題會被分解成比較方便驗證的形式。這樣做的目的是，別人可以驗證的是這個新的NP問題，這個新的NP問題是原NP問題將解代入後的一種變化形式。別人知道的是，只有在知道原問題的解的情況下才能完成這種變化，那他就會相信我知道原問題的解了。
有點繞，但是我們來整理一下思路。就是我有一個知識，我構造出來一個NP問題使得我這個知識就是我這個NP問題的解。但是你可以檢驗的不是這個NP問題或者這個NP問題的解本身，而是在擁有解的一方將解帶入這個原NP問題並轉化後的另一個問題的完備性。因為你知道，倘若這個人沒有解的話這種轉化是不可能完成，當通過一系列消息交互對這個轉換後的問題的完備性進行考驗之後，你就可以相信這個人是有原NP問題的解的。
2. 舉例說明零知識工作原理及特徵
下面我們舉例說明零知識證明的工作原理及特徵。首先我們要知道的是。在數字貨幣和區塊鏈中，所有的信息都是數。這個數可以很大，可以有成百上千位。這些數可以被連接成更大的數，也可以被切割成很多稍微小一些的數，用來傳達不同的意義。這些字段可以是錢包地址，可以是金額，可以是交易的簽名，等等。所有的這些信息都是數，很大很大的數。但是本質上跟我們接觸到的正常的數沒有任何差別。
我也可以把一則消息數字化，比如我可以把一段英文字符完全轉換成很大很大的一個數，這個數就是我們NP問題的解。
我們上面說的三色和四色問題雖然說也是NP問題，但是他們不適用於我們想要實現零知識證明的NP問題。是因為我們很難將解帶入三色和四色問題並且把這個NP問題轉換到另外一個維度上。我們想要的問題是那種可以直接用等式表達其正確性的。這樣的問題比如說求解高維度下的多項式，這個多項式可以是成百上千次方，甚至是百萬次方級別的多項式。求解這樣一個百萬次方的多項式或者說方程，是很困難的。但是我們很容易去驗證一個解。比如說一個數是不是這個一元n次方程的解，我們只需要把這個解代入到原方程當中看它等式兩邊是不是相等就可以了。我們接下來用一個例子來講為什麼求解一元N次方程是一個好的NP原問題，那我們也會講到多項式方程把解代入其中之後如何轉換成另一個維度下的另一個問題，而且這種轉換後的NP問題如何可以用於被校驗。
再次想要重申的是，在區塊鍊和數字貨幣的世界裡，所有的信息都是數。和我們平時說的13579、24680，沒有任何區別。在我們的這個例子中為了方便表達，我們用一個比較小的數X=2做例子，這個2就是我們想要證明的知識，就是說我們不想告訴別人我們知道這個數是2，我們也想讓別人相信我知道這個數是2。
現在我們需要構建一個多項式方程而這個多項式方程的解就是2, 我們這裡用到的是x^2+2x+1=9。在實際系統中這個值可以是一個非常非常大的數，有成百上千位。而這個多項式也可以是百萬次方級別的一元N次方程。
方便的同學可以把這個多項式寫在紙上：x^2+2x+1=9。大家可以看到x=2就是它的解。如果不做任何轉換我除了告訴你這個解好像沒有別的方式讓你相信我。我們需要完成一種轉化，達到我不告訴你解等於2，也能證明我知道這個解。實際系統中的多項式很複雜，我們需要藉助計算機完成。但是想讓計算機幫我們轉換轉化，我們就需要一用一套簡單的計算邏輯。計算機需要把上面的多項式打開，每個步驟只乾一件事，並引入額外的臨時中間變量存中間的結果。所以，我們可以把x的平方轉化為x乘以x， 2x其實就是2乘以x，前兩項的相加我們把這兩項的中間結果分別定義為t1和t2，所以前兩項的相加結果就是t1加t2，我們再把這個結果定義為中間變量t3。 t3再加上1，就是我們最後的輸出結果。具體說來，我們現在應該有四個等式，t1=x*x， t2=2*x， t3=t1+t2，out= t3+1。這個里面的常量包括1和2，因為他們是線性關係我們只保留1，再把x，t1，t2，t3，out全部提取出來變成一個向量。也就是說一個常量1是第1個元素，未知數x是第2個元素，多項式的輸出output是第3個元素，中間變量t1，t2，t3分別是第4，5，6個元素。這樣的話我們就把這樣一個具有6個元素的向量定義成我們這個系統的solution。也就是解。那其實我們對應的解應該是 （1,2,9,4,4,8），也就是說如果我知道x=2, 那麼就很容易構建出來這六個元素組成的向量是（1,2,9,4,4,8）。為了方便表述，我們後面把這個向量成為解向量。
現在我們分別要把t1=x*x， t2=2*x， t3=t1+t2，和out= t3+1寫成解向量表達的形式。我們可以用點乘，也就是內積，的形式將需要的元素過濾出來。我們構建一個向量（0,0,0,1,0,0），這裡面唯一一個1對應的是t1在解向量中的位置，再構建向量（0,1,0,0,0,0），這裡面的1對應的x在解向量中位置，這樣，t1=x*x，就可以寫成一個解向量的向量內積t1，等於包含有解向量的第二個向量內積x，乘以包含有解向量的第三個向量內積x。這部分在後續的文字版中會加上插圖方便聽眾理解。我們用相同的方式，可以把t2=2*x寫成一個包含有解向量的向量內積t2等於兩個包含有解向量的向量內積結果相乘的形式，同理t3=t1+t2可以寫成解向量的一個向量內積t3等於一個解向量的向量內積乘以1，而這個1其實也是一個解向量的向量內積。這個包含解向量的向量內積等式同樣可以用於表達最後一個等式，就是out= t3+1。
我們發現，我們已經把一個簡單的數字2，變成了一個向量解，而且，這個向量解在經過我們上面的一連串算法變換之後，變成了由四個方程約束的向量解。現在如果我告訴別人這四個約束方程的話，也不能完全達到零知識證明的目的，因為向量解裡麵包含了我們的真實解x=2。那麼怎麼辦呢，我們一定要繼續對這四個約束方程在進行變化。
這四個約束方程，其實可以大致寫成C=A x B的形式，這樣的等式有4個。其中每一個中的C，A，B，都對應一個6個元素的常向量，就是我們上面使用的通過內積過濾所需元素的向量。對應於等式左邊，我們把這4個用過內積過濾元素的向量寫成按行排列的矩陣，就得到了一個4行6列的矩陣，對應於等式右邊的A和B，同樣每一個A或者B我們也有4個常向量用於過濾元素，同樣可以寫成一個4行6列的矩陣。所以，我們有三個4行6列的矩陣，分別對應於C，A，和B。為了進一步變換，我們現在將C，A，和B這樣的4行6列的矩陣，按照列向量處理。對應於C的第1列，我們有（0,0,0,0），第二列也是（0,0,0,0），第三列是（0,0,0,1），第四列是（1,0,0,0），第五列是（0,1,0,0），第六列是（0,0,1,0）。同樣對於A和B也是分解成列向量。
我們用拉格朗日插值法對於每一個這樣的列向量，把每個元素的位置，即n=1,2,3,4作為輸入，得到每一列的解析式。比如，對應於C矩陣的第三列，我們有f(1)=0, f(2)=0, f(3)=0, f(4)=1。使用拉格朗日差值法，我們可以得到第三列的解析式：
所以我們把C，按列的方向，分別寫成
6個關於n的三次方解析式。同理A和B矩陣也可以分別寫成6個關於n的三次方解析式。我們把這六個解析式寫成列的形式，即每個矩陣現在被轉化成了一個6×1的列向量，其中每個列向量的每個元素是一個n的三次多項式。此時，我們已經把原問題轉化成了另一個維度的問題。我們用C矩陣對應的列向量的轉置乘以我們的解向量（其結果應該是一個n的三次多項式）應該等於A矩陣對應的列向量的轉置乘以我們的解向量，再乘以B矩陣對應的列向量的轉置乘以我們的解向量，其結果應該是一個n的6次多項式。上面的等式，應該是在n=1, 2, 3, 4時都成立。把右邊挪到左邊變做減法，我們得到了一個三次多項式減六次多項式等於0的形式，並且要求該六次多項式等於0，在n=1,2,3,4時都成立。
要求該六次多項式等於0，在n=1,2,3,4時都成立，其實就是意味著（n−1）（n−2）（n−3）（n−4）是它的子因式，我們把（n−1）（n−2）（n−3）（n−4）定義為Z（n），上面的六次多項式定義為P（n），我們可以求出另外一個子因式，應該是n的2次方多項式，把它定義為H（n）。為了證明我知道原多項式的解向量，此時只需將P（n）與H（n） 發給檢驗者，檢驗者使用Z（n）×H（n） 檢查是否與P（n）相等，即可判斷我是否有正確的解向量。
整個過程中，我們先構建了一個x的二次方程，將x=2擴展成解向量，並用了4個向量方程約束解向量，再把約束方程的參數以矩陣列的形式轉化到另外一個維度成為n的多項式，並用因式分解的形式完成對n的多項式的驗證。可以看到，如果我們不知道解x=2，是無法完成這樣的轉化的。一旦驗證者驗證了這樣的轉化是正確的，那麼就可以在不知道x=2的情況向，相信我知道正確的答案。
3. ZKP在區塊鏈中發揮何種優勢
隱私保護是ZKP在區塊鏈中的最大優勢。前面已經提到過，在區塊鏈的世界裡，所有的信息都可以表示成數字。類似的，區塊鏈中的狀態轉換也可以用數字的拼接和分割表示不同的意義。說的直白一些，就是區塊鏈的狀態，包括各個錢包地址或者智能合約地址上的狀態轉換，都可以通過編碼數字化。雖然這個數字化的結果是個很大的數，但是也可以構建出一個高階多項式，使得這個數字就是他的解，之後通過我們前面講的方法，構建出零知識證明。這樣，我們可以將區塊鏈上的交易信息隱藏起來，達到隱私保護的目的。
更進一步，我們可以把一連串的交易打包，只記錄這一連串的交易對區塊鏈造成的影響，即增量更新。這種增量更新也可以數字化成一組編碼。那麼用同樣的方式，可以達到將一連串交易打包成零知識證明。這也就是zkrollup的最基本的原理了。
4. 分析零知識證明在未來有何前景
正如上面講到的那樣，使用零知識證明，不僅可以隱藏信息增加現有區塊鏈上交易的私密性，同時可以將交易打包增加吞吐量。所以，使用零知識證明相關的技術，將毫無引文催生新的生態和在其上發展的應用。這對DeFi、GameFi、以及未來的元宇宙都具有很實際的意義。比如，一個人和智能合約交互的地址將是不可見的，或者一些交易記錄可以被隱藏。但是我還是可以相信當前的區塊鏈狀態是正確的，是可以被驗證為真實和正確的。同時可以預見的是，對於黑客來講，最終他們的資金來源和流向將變的更加困難。可也會增加項目方和廣大用戶對區塊鏈安全團隊的需求和對智能合約安全性提出更高的要求。
