非技術人員視角中的零知識證明：何以成為區塊鏈發展史上的第三大技術革新？

作者：@Jesse_meta，新躍社科大學普惠金融節點SUSS NiFT 研究員；@EatonAshton2，Beosin 研究員；@kaplannie，Least Authority 安全研究員

本文以非技術人員的角度，介紹零知識證明的應用情境、工作原理、發展現狀和未來趨勢，以期讓無技術背景的讀者了解零知識證明即將帶來的重大變革。

註：本文為SUSS NiFT 區塊鏈安全聯盟研報

無論資訊是儲存在網路上還是線下檔案室，無論是出於主觀故意還是客觀意外，資訊外洩事件在今天已經屢見不鮮，無需多言。只要資訊是中心化存儲，就會有受到單點攻擊的危險。只要驗證過程需要可信賴的第三方，就會有道德風險且效率低。資訊安全的解決至關重要，迫在眉睫。而零知識證明技術讓使用者在保護自身隱私的前提下，更有效率、更安全地完成驗證。

如果比特幣是區塊鏈帶給現實世界的第一大發明，提供價值儲存的新方式，以太坊的智慧合約是第二大里程碑事件，解鎖創新的潛力，那麼零知識證明的應用是區塊鏈發展史上第三大第三大技術革新，帶來隱私和可擴展。這既是Web3 生態的重要一環，也是有潛力推動社會變革的重要基礎技術。

這篇文章以非技術人員的角度，介紹零知識證明的應用場景、工作原理、發展現狀和未來趨勢，以期讓無技術背景的讀者了解零知識證明即將帶來的重大變革。

1.什麼是零知識證明

零知識證明（ZKP）是在1985 年由Shafi Goldwasser、Silvio Micali、Chales Rackoff 合著的論文《The knowledge complexity of interactive proof systems》首次提出的數學協議，除了某一要證明的事實之外，不會透露任何其他資訊。驗證者無法獲得產生證明的秘密資訊。舉一個例子幫助大家理解：我要證明我知道某個人的電話號碼，我只需要能夠在眾人面前撥通那人的電話就可以證明這一事實，不需要透露那人的真實號碼。零知識證明提供了一種有效的、近乎無風險的數據分享方式。利用零知識證明，我們可以保留對資料的所有權，大大提高隱私保護，並有望使資料外洩事件成為過去式。

零知識證明有三個特性：

完整性

如果一個聲明是真的，誠實的驗證者會被誠實的證明者說服。即對的錯不了。

合理性

如果一個聲明是錯誤的，在絕大多數情況下，欺騙的證明者不能讓誠實的驗證者相信虛假的聲明。即錯的對不了。

零知識

如果一個聲明是真的，驗證者除了能得知這聲明是真實的，之外不能獲得任何多餘的資訊。

零知識證明存在極小的機率產生合理性誤差，即一個作弊的證明者可能使驗證者相信一個錯誤的聲明。零知識證明是機率性的證明，而不是確定性的證明，但我們可以透過一些技術將合理性誤差降低到可以忽略不計。

2.零知識證明的應用

零知識證明最重要的兩個應用場景是隱私和可拓展。

2.1 隱私

零知識證明允許用戶在沒有透露個人詳細資訊的情況下，安全地分享必要的資訊來獲得商品和服務，免受駭客攻擊和個人識別資訊的洩露。隨著數位和實體領域的逐漸融合，零知識證明的隱私保護功能對於Web3 乃至Web3 以外的資訊安全變得至關重要。如果沒有零知識證明，使用者資訊就會存在受信任的第三方資料庫，有受到駭客攻擊的潛在危險。零知識證明在區塊鏈中的第一個應用案例是隱私幣Zcash，用來隱藏交易細節。

2.1.1 身分資訊保護與驗證

在網路活動中，我們經常需要提供諸如姓名、出生日期、電子郵件、複雜的密碼來證明我們是有合法使用權限的使用者。因此，我們也常在網路上留下了不願透露的敏感資訊。如今接到直呼我們姓名的詐騙電話已經屢見不鮮，可見個人資料外洩的情況十分嚴重。

我們可以利用區塊鏈技術，賦予每個人一個包含個人資料的特殊加密數位識別碼。這個數字標識符可以建構去中心化身份，並且不可能在其所有者不知情的情況下被偽造或改變。去中心化身分可以由使用者來控制對個人身份的存取權限，在不透露護照細節的情況下證明公民身份，簡化了認證過程，也減少了使用者因遺忘密碼而失去存取權限的事件發生。零知識證明由能證明使用者身分的公開資料和帶有使用者資訊的隱私資料生成，可用於使用者存取服務時的身分驗證。這不僅減少了繁瑣的驗證流程，提升了使用者體驗，也避免使用者資訊的中心化儲存。

此外，零知識證明還可以在建立私人信譽系統，允許服務機構在使用者不暴露身分的情況下驗證其是否符合某些信譽標準。用戶可以從Facebook、Twitter 和Github 等平台在掩蓋具體來源帳號的前提下，匿名輸出聲譽。

2.1.2 匿名支付

使用銀行卡支付的交易細節通常對多方可見，包括支付提供者、銀行和政府等相關方，這在一定程度上暴露了普通公民的隱私，用戶需要信任相關方不作惡。

加密貨幣可以使支付擺脫第三方，直接進行點對點交易。但目前主流公鏈上的交易公開可見，雖然用戶地址匿名，依然存在透過鏈上的關聯地址和鏈下如交易所kyc、Twitter 資訊等數據分析來找到現實世界身份。如果知道一個人的錢包地址，相當於可以隨時查看個人的銀行帳戶餘額，甚至可能對使用者身分、財產造成威脅。

而零知識證明可以從隱私幣、隱私應用和隱私公鏈三個層次來提供匿名支付。隱私幣Zcash，隱藏了包括發送方、接收方地址、資產類型、數量和時間等交易細節。 Tornado Cash 是以太坊上的去中心化應用，使用零知識證明混淆交易細節來提供隱私轉帳（但也多被用於駭客洗錢）。 Aleo 是旨在從協議層面為應用程式提供隱私功能的L1 區塊鏈。

2.1.3 誠實行為

零知識證明可以在保留隱私的前提下促進誠實行為。協議可以要求使用者提交零知識證明來證明其誠實行為。由於零知識證明的合理性( 錯的對不了)，使用者必須根據協議要求做出誠實的行為才可以提交有效的證明。

MACI（Minimal Anti-Collusion Infrastructure，最小反串謀基礎設施）就是一個促進誠實的應用場景，防止在鏈上投票或其他形式的決策過程中發生串謀。該系統利用密鑰對和零知識證明技術來實現這一目標。在MACI 中，用戶將他們的公鑰註冊到一個智能合約中，並透過加密的訊息將他們的投票發送到合約中。 MACI 的防共謀特性允許投票者改變他們的公鑰，以防止其他人了解他們的投票選擇。協調者在投票期結束時用零知識證明來證明他們已經正確處理了所有訊息，而最終的投票結果是所有有效票數的總和。這保證了投票的完整性和公正性。

2.1.4 個人資訊核查

當我們想要取得貸款時，可以從公司拿一個數位收入證明來申請貸款。這個證明的合法性容易在密碼學上被檢查。銀行可以用零知識證明來驗證我們的收入是否達到了規定的最低限度，但卻得不到敏感的具體資訊。

2.1.5 結合機器學習挖掘私有資料潛能

在訓練機器學習模型時，通常需要大量的資料。透過使用零知識證明，資料擁有者可以證明他們的資料滿足模型訓練的要求，而無需實際公開這些資料。這有利於讓私有資料發揮作用，並且實現貨幣化。

此外，零知識證明可以允許模型創建者證明他們的模型滿足某些性能指標，但無需公開模型的細節，以防止他人複製或篡改他們的模型。

2.2 可擴展

隨著區塊鏈用戶的增多，區塊鏈上需要進行大量的計算，造成了交易擁塞。有些區塊鏈會走分片的擴展路線，但這需要對區塊鏈的基礎層進行大量的複雜的修改，可能會威脅到區塊鏈的安全性。另一個較可行的方案是走ZK-Rollup 路線，利用可驗證計算，將計算外包給另外一條鏈上的實體來執行，然後將零知識證明和可驗證結果一起提交到主鏈上以供驗證真實性。零知識證明保證交易的真實性，主鏈只需將結果更新到狀態，不需要存儲細節或重播計算, 也不需要等待其他人來討論交易的真實與否，極大地提高效率和擴展能力。開發者可藉助零知識證明，設計可以運行在如手機這樣的普通硬體上的輕節點dapps，更有利於Web3 走向大眾。

零知識證明的擴展既可運用在一層網路上，如Mina Protocol，也可運用二層網路ZK – rollups。

3.零知識證明如何工作

Dmitry Laverenov （2019）把零知識證明結構分為互動式和非互動式。

3.1 互動式零知識證明

互動式零知識證明的基本形式由三個步驟構成：證據、挑戰者和回應

證據：隱藏的秘密訊息就是證明者的證據。這些證據建立一系列只能由知道這些資訊的人正確回答的問題。證明者開始隨機抽取問題，把計算答案發給驗證者來證明。
挑戰：驗證者從集合中隨機挑選另一個問題，要求證明者回答。
回應：證明者接受問題，計算答案後將結果回饋給驗證者。證明者的回應能夠使驗證者檢查證明者是否知道這些證據。

這個過程可以重複多次，直到證明者在不知道秘密資訊卻猜出正確答案的機率變得足夠低。舉一個簡化的數學例子，如果證明者在不知道秘密資訊卻能猜出正確答案的機率為1/2，重複交互十次，證明者每次都命中的機率僅有萬分之9.7，想讓驗證者錯誤地認可虛假證明的可能性極低。

3.2 非互動式零知識證明

互動式零知識證明具有局限性，一方面是需要證明者和驗證者同時存在並進行重複驗證，另一方面是每計算一個新的證明都需要證明者和驗證者傳遞一組信息，證明不可在獨立的驗證中重複使用。

為了解決互動式零知識證明的局限性，Manuel Blum, Paul Feldman, 和Silvio Micali 提出了非互動式零知識證明，由證明者和驗證者共享金鑰，且僅需進行一輪驗證來使得零知識證明更有效。證明者將秘密資訊透過特殊演算法計算產生零知識證明，發送給驗證者。驗證者使用另外一種演算法檢查證明者是否知道秘密資訊。該零知識證明一旦生成，任何有共享密鑰和驗證演算法的人都可以進行驗證。

非互動式零知識證明是零知識證明技術的一大突破，促進了今天使用零知識證明系統的發展。主要方法有ZK-SNARK 和ZK-STARK。

4. 零知識證明的主要技術路徑

Alchemy（2022）將零知識證明的技術路徑分為ZK-SNARK、ZK-STARK 和遞歸ZK-SNARK。

4.1 ZK-SNARK

ZK-SNARKs 是一個零知識的簡潔的非互動式的證明。

公鏈要確保在網路上執行交易的正確性，需要透過讓其他電腦（節點）重新運行每筆交易來實現。但這種方法會使每個節點重新執行每筆交易，會減慢網路的速度，限制可擴展性。節點還必須儲存交易數據，導致區塊鏈的規模呈指數級增長。

對於這些限制，ZK-SNARK 就發揮了作用。它可以證明在鏈外進行的計算的正確性，而不需要節點重播計算的每一步。這也消除了節點對儲存多餘交易資料的需求，提高網路的吞吐量。

使用SNARK 驗證鏈外計算將計算編碼為一個數學表達式來構成有效性證明。驗證者檢查證明的正確性。若證明通過了所有檢查，那麼底層計算就被認為是有效的。有效性證明的大小比它所驗證的計算小很多倍，因此我們稱SNARKs 是簡潔的原因。

大多數使用ZK-SNARK 的ZK Rollup 遵循以下步驟。

1. L2 的用戶簽署交易後提交給驗證者。

2. 驗證者利用密碼學將多個交易壓縮產生對應的有效性證明（SNARK）。

3. L1 鏈上的智能合約對有效性證明進行驗證，決定了這批交易是否發佈到主鏈上。

值得一提的是ZK-SNARK 需要可信設定。在這個階段，金鑰產生器會取得一個程式和一個秘密參數來產生兩個可用的公鑰，分別用於建立證明和驗證證明。這兩個公鑰只需透過一個可信賴的設定儀式產生一次公共參數，就可供希望參與零知識協議的各方多次使用。使用者需要相信可信設定儀式的參與者不作惡，且沒有辦法評估參與者的誠實性。知道秘密參數便可產生假證明，欺騙驗證者，因此存在潛在安全隱患。目前有研究員在探索ZK-SNARK 無需信任假設的方案。

優勢

1. 安全性

ZK rollup 被認為比OP rollup 更安全的擴展方案，因為ZK-SNARK 使用了先進的加密安全機制,很難欺騙驗證者和進行惡意行為。

2. 高吞吐量

ZK-SNARK 減少了以太坊底層的運算量，緩解了主網堵塞情況，鏈下運算分擔交易費用，帶來更快的交易速度。

3. 小證明尺寸

SNARK 證明的小尺寸使它們容易在主鏈上得到驗證，這意味著驗證鏈下交易的Gas Fee 較低，減少了用戶的成本。

局限

1. 相對中心化

大多數時候都依賴一個可信的設定。這和區塊鏈去信任的初衷相違背。

以ZK-SNARK 產生有效性證明是一個計算密集的過程，證明者必須投資於專門的硬體。這些硬體價格昂貴，只有少數人負擔得起，因此ZK-SNARK 的證明過程是高度集中的。

2.ZK-SNARK使用橢圓曲線密碼學（ECC）來加密用於產生有效性證明的訊息，目前相對安全，但量子計算的進步可能會打破其安全模型。

使用ZK SNARK的項目

Polygon Hermez

Polygon 在2021 年以2.5 億美元併購Hermez，成為第一個兩個區塊鏈網路全面併購的案例。 Hermez 為Polygon 快速成長的用戶群帶來的ZK 技術和工具，使Polygon 獲得開發zkEVM 的支援。 Hermez 1.0 是支付平台，把一批交易在鏈外執行，允許用戶便捷地把ERC-20 代幣從一個Hermez 帳戶轉移到另一個Hermez 帳戶，每秒交易可達2000 次。

Hermez 2.0 作為一個零知識的zkEVM 以透明方式執行以太坊交易，包括具有零知識驗證的智能合約。其可與以太坊完全相容，無需對智慧合約程式碼進行太多改動，方便開發者將L1 的專案部署到Polygon Hermez 上。 Hermez 1.0 使用SNARK-proofs，2.0 中同時使用SNARK-proofs 和STARK-proofs。在2.0，使用STARK-proof 證明鏈外交易的有效性。但STARK-proof 在主鏈上驗證的成本很高，因此引入SNARK-proof 來驗證STARK 。

zkSync

Matter Labs 於2020 年推出的zkSync 1.0 不支援智能合約，主要用於交易或轉帳。支援智能合約的ZkSync 2.0 已於2023 年3 月公開上線主網。

ZkSync 把以太坊上的智慧合約原始碼Solidity 編譯為Yul 來實現EVM 的兼容性。 Yul 是可以編譯成不同EVM 的字節碼的中間語言。使用LLVM 編譯器框架可以將Yul 程式碼重新編譯為為zkSync 的zkEVM 設計的自訂、電路相容的字節碼集。透過這種方法，免除透過更高層級的程式碼對EVM 執行中的所有步驟進行zk 證明，從而在保持高效能的同時更容易使證明流程去中心化。未來還可以透過建立新的編譯器前端來增加對Rust、Javascript 或其他語言的支持，增加zkEVM 架構的靈活性和更多的開發者。

Aztec

Aztec 是第一個混合型zkRollup，在一個環境中同時實現公共和私有智慧合約的執行。這是一個零知識的執行環境，而非zkEVM。透過將公共和私有執行合併到單一混合匯總中來實現機密性，例如公開AMM 的隱私交易、公開遊戲中的私密對話、公開DAO 的隱私投票等等。

4.2 ZK-STARK

ZK-STARK 不需要可信任的設定。 ZK-STARK 是for Zero-Knowledge Scalable Transparent Argument of Knowledge 的縮寫。比起ZK-SNARK, ZK- STARK 有更好的可拓展性和和透明性。