前言：當我們談到隱私時，并沒有什么靈丹妙藥能夠解決所有的問題，而是需要針對特定的用例使用不同的方法和機制。

原文作者：Dean Pierce（ConsenSys Diligence）、Robert Drost （ConsenSys 研發(fā)部）以及Mason Nystrom （ConsenSys）

在一個聯(lián)系越來越緊密的世界里，我們的信息被人復制、共享甚至被用于銷售目的，而要維護我們想要的隱私水平，這可能會是一個挑戰(zhàn)。

和大多數(shù)事物一樣，隱私并非是二元對立關(guān)系的，而是介于完全公開及完全保密之間。所以在談到隱私問題時，我們有三個問題需要進一步討論。

1. 消費者和企業(yè)想要的隱私是什么樣的程度？

2. 人們愿意為隱私付出代價嗎？

3. 在公共區(qū)塊鏈上實現(xiàn)隱私交易的權(quán)衡是什么？

本文的目的是簡要地檢查在公鏈上實現(xiàn)隱私的要求，并在高維度上討論實施隱私解決方案的權(quán)衡。

第一個問題：什么程度的隱私是有意義的？

隱私的一個例子是匿名，或者說是身份的私密化。在公鏈的背景下，匿名性是指當事方在不需要披露其自身或其他交易者身份相關(guān)信息的情況下交換某物（金錢、代幣或數(shù)據(jù)）的能力。雖然這只是隱私的一個方面，但隨著區(qū)塊鏈的發(fā)展，它已經(jīng)變得越來越重要。

像比特幣和以太幣之類的加密貨幣，因為相關(guān)交易地址及信息是公開的原因，再加上分析方法的不斷發(fā)展，人們可將這些交易與鏈外身份關(guān)聯(lián)到一起，這使得這些加密貨幣的使用者的身份變得越來越透明。

對于隱私權(quán)，企業(yè)和消費者有著截然不同的要求。企業(yè)通常以交易數(shù)據(jù)的形式要求隱私，例如產(chǎn)品名稱、數(shù)量、價格、地址、個人可識別的財務信息等。

網(wǎng)絡參與者通常是已知的，但可能需要保留身份或根據(jù)其角色提供給其他參與者。例如，貨運代理可能不需要知道某個運輸集裝箱的內(nèi)容，而只需要知道該集裝箱已經(jīng)到達。銀行業(yè)法規(guī)還會限制誰可以訪問交易數(shù)據(jù)。安永公司的Nightfall協(xié)議，以及摩根大通（JP Morgan）為Quorum定制的匿名Zether協(xié)議，是企業(yè)為以太坊開發(fā)隱私解決方案的主要例子。

相比企業(yè)（通常圍繞隱私有很強的商業(yè)動機及監(jiān)管），迄今為止，消費者對隱私的意識和關(guān)注程度則普遍較低。當然，消費者也希望保護自己的身份、信用卡信息或其他敏感數(shù)據(jù)，以防止欺詐或身份盜竊事件的發(fā)生。而有時，消費者就希望用到匿名交易，這就要求交易的發(fā)送者和接受者都具有隱私。然而，隱私在消費者的日常生活中并不是天然存在的，大多數(shù)人為了方便或免費訪問而自愿犧牲他們的隱私（接受cookies、使用免費WiFi等）。

第二個問題：隱私有需求嗎？

隱私通常發(fā)生在消息傳遞的環(huán)境中，以保護各方之間發(fā)送的內(nèi)容，它還被用于通信通道和底層網(wǎng)絡層這樣更廣泛的構(gòu)造中。

但在加密貨幣背景下，隱私的需求似乎并沒有人們想象的那么強烈。

具體來說，雖然Zcash已存在大約3年的時間，但只有大約5%的ZEC使用了SNARKs（其中大約有一半是使用的舊版SNARKs），另外大約有95%的ZEC存儲在幾乎沒有隱私的透明地址中。通過這種低采用情況，我們可以推斷，也許大多數(shù)用戶對隱私并沒有付費需求（成本相對較高）。

然而，最終區(qū)塊鏈技術(shù)要成為主流仍然需要隱私。內(nèi)置的隱私層（如SSL）使得互聯(lián)網(wǎng)成為了一個值得信賴的商業(yè)媒介，這表明消費者和企業(yè)所希望的隱私，是被內(nèi)置到系統(tǒng)和應用當中的。

第三個問題：隱私的權(quán)衡

第三個問題是更偏向技術(shù)的，其需要對以太坊平臺上的隱私技術(shù)方案進行深入的檢查，這還會涉及到各種機制的權(quán)衡。

其他隱私區(qū)塊鏈給我們帶來的啟示（門羅幣和Zcash）

在我們討論以太坊的隱私話題之前，我們不妨先看一下隱私幣領(lǐng)域里的兩大主流參與者：門羅幣和Zcash。門羅幣在早期的競爭幣時代是特別的，因為它的代碼庫并不是源自比特幣代碼庫，而是基于一個完全不相關(guān)的加密貨幣項目Bytecoin（其使用的是CryptoNote協(xié)議的參考設計），而原CryptoNote協(xié)議設計是通過混合一筆交易的發(fā)送者（通過混合它們的簽名以及很多其他誘餌簽名來實現(xiàn)）來達到隱私目的。通過這一點，再結(jié)合隱形地址輸出方案，這給門羅幣帶來了非常強大的隱私保證。這一“環(huán)簽名”方案早被譽為是一種內(nèi)置式混合器，但其并不成熟。

2017年，隨著RingCT技術(shù)方案的引入，環(huán)簽名方案隱藏交易數(shù)據(jù)的能力大大提高，RingCT使用零知識范圍證明來增加可進行批處理的簽名種類。RingCT的引入還強制執(zhí)行最小混和要求，以減少早期版本門羅幣的可關(guān)聯(lián)性攻擊。而使用環(huán)簽名方案的最大挑戰(zhàn)之一是，其會占用大量磁盤空間，這使得門羅幣區(qū)塊鏈變得十分臃腫。此外，環(huán)簽名方案并不適用于大型群體，其目前僅限于10-15人的群體。

而在2018年末，我們看到了門羅幣網(wǎng)絡引入了“Bulletproof”（防彈證明），這是一種令人興奮的新零知識方案，其改善了環(huán)簽名方案，減少了交易所需的大小，這種改進使得門羅幣的隱私交易成本大大降低。

Zcash 是第一個使用 zkSNARKs技術(shù)的加密貨幣，通過這種零知識證明方案，用戶可發(fā)送僅對接收者可見的完全隱私的交易，而對于外部觀察者而言，ZEC似乎被發(fā)送到了一個巨大的密碼黑匣子中，當接收者想要將他們的幣移回到一個非隱私地址（類似比特幣標準地址）時，這些幣似乎是憑空而來的，這使得發(fā)送者和接收者之間沒有明顯的聯(lián)系。關(guān)于零知識證明的一個重要注意事項是，其需要更多的計算能力來運行，這使得交易變得更加昂貴。

對可互換性的威脅

以太坊網(wǎng)絡提供了偽匿名性（即交易鏈接到由用戶持有的私鑰所對應的地址），其分布式以及透明性特性使得許多全新的技術(shù)能力成為可能。

然而，類似于比特幣，以太坊也會無意中暴露使用這些數(shù)字資產(chǎn)的用戶的信息。

鑒于比特幣和以太坊等區(qū)塊鏈的公開特性，天真地使用它們的內(nèi)置交易框架，就好比是一路撒下面包屑，這使得對手可輕易地跟蹤你的交易路徑。

通過地址生成獲得的隱私

隨著隱私技術(shù)的不斷進步，我們可考慮很多更為復雜的威脅模型。2012年，BIP32（比特幣改進提議）引入了分層確定性密鑰（HD Key），允許一個種子短語可生成一個不斷產(chǎn)生新比特幣地址的流。這允許用戶每次接受交易時可生成新的地址，所有這些地址都可輕松地通過一個種子短語導出和導入新的錢包。

而在以太坊中，也存在著相同的功能，盡管新生成的密鑰不能與智能合約直接進行交互（直到它們得到了它們所需的gas成本（ETH資助）。這一點也很復雜，因為很多基于以太坊的系統(tǒng)將用戶真實身份的許多方面與他們的地址聯(lián)系起來，這種與以太坊地址鏈接的額外數(shù)量的元數(shù)據(jù)，可以使以太坊特別容易受到去匿名化攻擊的影響。幸運的是，那些使以太坊暴露于這些威脅的智能合約，也可被尖端的新密碼學系統(tǒng)所使用，從而實現(xiàn)安全和無縫的隱私交易。

ZK構(gòu)造和可信設置

很多零知識證明構(gòu)造會用到所謂的“可信設置”（Trusted Setup），這意味著整個構(gòu)造依賴于特殊隨機數(shù)的生成，任何知道這些隨機數(shù)的人都有能力窺視操作內(nèi)部。為了減輕這些擔憂，人們就設計了復雜的方法來生成這些隨機參數(shù)，以確保構(gòu)造能夠被信任。這通常涉及到社區(qū)中的幾個可信成員，每個成員都派生出他們自己的私有隨機數(shù)據(jù)，并以一種方式將它們彼此結(jié)合（如果任何一方刪除了他們的密鑰數(shù)據(jù)，那么秘密值是安全的。因此，所以參與方都需要串通）。

值得注意的是，門羅幣所使用的“ Bulletproof”（防彈證明）是不需要可信設置的，而Zcash的zkSNARKs卻是需要的，另外，STARKs也不需要可信設置，因為它們使用了哈希函數(shù)作為“設置”，而不是任何類型的特殊數(shù)字。

零知識Note（ZK-Note）

AZTEC是以太坊隱私領(lǐng)域的早期推動者，其使用的是一個“零知識note”系統(tǒng)來追蹤隱秘財務狀況。這些 note在以太坊網(wǎng)絡上是可見的（包括每個note的所有者），但是除了note的所有者之外，note上存儲的金額數(shù)量對其他所有人而言都是隱藏的。

當一個note 擁有者決定執(zhí)行“joinSplit”操作時，零知識的魔力就來了，這意味著他們可記下他們控制的任意數(shù)量的note，并創(chuàng)建一組輸出note，這些note可能屬于也可能不屬于其他人。與隱形地址技術(shù)相結(jié)合，這可使創(chuàng)建的每個新note都歸一個完全干凈的以太坊地址所有。在一個常見的用例中，一個“ZK-Asset”（零知識資產(chǎn)）合約可連接到任何ERC20兼容代幣，允許用戶存放代幣以生成ZK-Note，并允許用戶燃燒ZK-Note進行提幣。此機制允許以太坊網(wǎng)絡上的任何現(xiàn)有資產(chǎn)以保護隱私的方式進行交易。

AZTEC協(xié)議使用的證明要比ZK-Snarks更容易使用，但其仍需要一個可信設置。

AZTEC也正在接近其他新的需要可信設置的新生解決方案。PLONK是一種新的、高效的ZK-SNARK結(jié)構(gòu)，所有程序都可重用這一設置。由于PLONK的gas需求量并不大，因此它對以太坊而言更有實用價值。對此，AZTEC協(xié)議首席執(zhí)行官Tom Pocock認為，PLONK可用于編程復雜的邏輯語句，以保持完美的隱私。

ZK與安全多方計算（MPC）的結(jié)合使用

在ZKBoo以及最近的Ligero例子中，零知識證明系統(tǒng)就與安全多方計算（MPC）進行了結(jié)合使用。這要求證明者提交安全MPC協(xié)議的記錄，然后讓驗證者隨機評估其中一方的視圖，將安全多方計算協(xié)議“編譯”成ZK-PCP系統(tǒng)（最早使用概率證明的ZK系統(tǒng)之一）。更重要的是，使用MPC有可能創(chuàng)建隱私智能合約。

與ZK-STARKs一樣，基于MPC的證明具有：

1. 透明性：隨機數(shù)的生成是公開信息；

2. 后量子安全性；

3. 可擴展性：基于MPC的證明具有一個（準線性）證明時間及一個驗證者時間，這可提高分期和批量計算的效率；

使用此類技術(shù)的一些折衷方案，涉及如何使這些技術(shù)對中小型“電路”或問題具有最佳效果，而這可能會導致驗證程序的可擴展性問題。

也就是說，基于MPC的技術(shù)在區(qū)塊鏈領(lǐng)域還沒有得到充分的開發(fā)，這些技術(shù)將比現(xiàn)有的ZK（零知識）技術(shù)普遍得多，特別是在各方需保護與實際計算本身有關(guān)的機密信息的情況下。例如，MPC技術(shù)對于嘗試運行信用評分算法來評估客戶信用度而言是有用的，無論是客戶還是銀行都不想放棄與其交易歷史相關(guān)的機密信息，以及在ML信用評分模型中的權(quán)重。

硬件限制

當Zcash首次提出使用zk-SNARKs來發(fā)送交易的想法時，人們對使用隱形交易所需的計算力的數(shù)量存在嚴重擔憂，在當時這需要數(shù)小時或更長的時間才能生成交易。從那時起，我們已走過了很長的一段路，而當前的實現(xiàn)能夠在瀏覽器甚至在移動設備上，以秒為單位完成類似的任務。

隱私混合器

最近一個備受關(guān)注的話題就是混合器，早在今年5月份時，Vitalik就發(fā)布了以太坊網(wǎng)絡下一代混合器設計的動機和粗略概要的一篇文章。

用戶需要以太坊混合器來幫助他們實現(xiàn)錢包或個人的隱私交易，以太幣的可追溯性意味著特定的交易可被跟蹤并鏈接到其他錢包、賬戶等。而混合器則被用于交換以太幣，以提高交易的隱私性。

從那時起，很多團隊在進行相關(guān)的努力，以使混合器更適合于以太坊。下面是一個最新的圖表，計算了相關(guān)混合交易的gas成本。

應用層中單獨的混合器永遠不會給用戶提供絕對的隱私性，而只是提供了概率保證。然而，這或許足以滿足大多數(shù)個人和企業(yè)的隱私需求。

誰為Gas買單？

然而，上述這些混合器方法中存在著一個致命的缺陷，那就是，最終需要有人支付gas才能確認輸出。那這部分以太幣是從哪里來呢？如果支付最終確認輸出的以太幣可追溯到某個用戶，那么該用戶就相當于失去了匿名保護，這就破壞了整個隱私目的。

這就產(chǎn)生了一種隱私“雞與蛋”的場景，其中接受匿名以太幣的唯一方法是已擁有匿名以太幣。在Vitalik的原混合器帖子中，他用一個簡單的中繼者注冊合約解決了這一問題，其中承諾發(fā)布任意交易的中繼運營者可注冊一個HTTP端點，這樣交易就可實現(xiàn)匿名發(fā)布。

最后，我們還需要考慮錢包和操作安全問題，這需要在保護用戶安全的同時，又不會給用戶帶來太多麻煩的體驗。所有這些混合器解決方案需要大量的參與者來合理地期望隱私，所以工具需要容易被容易使用，但這里的任何捷徑都可導致一些嚴重侵犯隱私的行為。

這些技術(shù)，以及行業(yè)當中很多其它在發(fā)展的技術(shù)，都是以太坊網(wǎng)絡的隱私問題越來越受到關(guān)注的標志，而這些技術(shù)進展可能很快會得到巨大的推動。雖然在公共區(qū)塊鏈上實現(xiàn)隱私似乎有些自相矛盾，但零知識和其他隱私技術(shù)方案將使得各種新的、尖端的用例成為可能。

展望未來

本文并不是對以太坊所有隱私方案的完整概述，當我們談到隱私時，并沒有什么靈丹妙藥能夠解決所有的問題，而是需要針對特定的用例使用不同的方法和機制。

因此，我們將繼續(xù)檢查和評估以太坊的隱私解決方案，以幫助科普和推動這類技術(shù)的發(fā)展。這包括未來會提供的關(guān)于具體隱私解決方案的文章以及解釋各種隱私技術(shù)的報告，另外還有對目前正在構(gòu)建隱私解決方案的項目及公司的更深入的分析。

披露：Consensys仍然對隱私和可擴展性技術(shù)非常感興趣，Consensys實驗室已投資了Aztec協(xié)議、Ligero以及Starkware，并會繼續(xù)尋找突破這一領(lǐng)域限制的項目。
來源： 巴比特