區塊鏈:為何我理解不了零知識證明：ZKP常見誤區分析_Carbon Neutrality

我在零知識證明這個領域里兜兜轉轉了無數圈，之所以走了很多彎路，原因在于從一開始就對零知識證明有先入為主的錯誤認識，這些認識是后續建造零知識證明這個房子時的框架，由于框架是錯誤的，那在它基礎之上是無論如何也建立不起一個不會倒塌的房子的。

在這篇文章中，我將試著糾正這些錯誤認識，如果你正在學習零知識證明并覺得一頭霧水，希望我犯過的錯誤能對你有所啟發；如果你才剛開始去了解零知識證明，希望本文有助你搭建一個基礎的框架。在我眼中，文中討論的這些點恰是零知識證明這件事的奧妙所在，它們揭示了為何零知識證明是行得通的。

需要注意的是，下述的這些所謂糾正后的認識依然可能是不準確的認識，你只能用它做參考，并對它保持質疑。

一、零知識證明是一種證明的方法

假如我們知道宇宙演化的算法，但不知道宇宙的初始值，這時候Alice說她知道這個初始值，我們不信，于是她把一組數據作為算法的輸入，一通計算，得到一個和我們所處的宇宙一模一樣的宇宙，這時候我們是不是會相信Alice的那組數據就是宇宙的初始值？我們會相信。

這就是一個零知識證明，確切來講它應該叫零知識的證明。Alice通過這種證明方法可以證明自己擁有知識，同時又不泄漏知識。

如果觀察Alice的證明過程，就會發現它只涉及三個對象：初始值，演化算法，演化結果，我們可以把其抽象為：算法的輸入、算法、算法的輸出，而零知識證明要做到能夠證明輸出確實是輸入通過確定的算法計算出來的。

律師Jeremy Hogan：SEC過去曾稱XRP為數字貨幣，必須在法庭上解釋為何現在不予支持:4月6日消息，霍根律師事務所的合伙人杰里米·霍根（Jeremy Hogan）曾在Twitter上表示，2016年美國證券交易委員會（SEC）提到了Ripple以“數字貨幣公司”的身份進行文件研究。

現在，SEC將不得不向法官澄清其如何轉變為“數字安全”公司。（U.today）[2021/4/6 19:51:39]

這樣一來，如果驗證者看到輸出是對的，同時證明顯示輸出是用輸入計算而來的，那么驗證者就可以在不知道輸入的情況下相信輸入。

隨之而來的問題就是：如何證明輸出是由輸入通過某個確定的算法計算出來的？而不是其他的輸入、其他的輸出、或者其他的算法？這便是零知識證明協議要解決的問題。

在zk-SNARK系列的協議中，采用的方法是把輸入、算法、輸出轉換為一個多項式，通過多項式把這三者綁定到一起。如果能夠證明Alice知道這個多項式，就可以認為Alice的輸出是輸入通過算法計算出來的。

總而言之，因為零知識證明被廣泛地用于實現隱私保護，隱私保護又意味著不泄露數據，所以我們會比較容易在一開始就圍繞它是怎樣隱藏數據的為方向去思考。但如果以「它是如何實現零知識的」為線索去認識它，就會一團亂麻，而如果以「它是如何實現證明的」為線索，就會一條線清晰地貫穿始終。

網友向推特黑客轉幣包含隱藏信息：比特幣可追蹤 為何不使用門羅幣:7月16日消息，在今日早間推特眾多名人賬戶遭攻擊，并發布數字貨幣釣魚騙局后，根據Reddit網友發布的鏈上數據信息，有用戶正在向黑客相關的七個不同的地址發送0.00005348 BTC（約合0.5美元）。而在這7筆交易中隱藏著一份信息：使用比特幣時您處于危險之中，比特幣可以被追蹤，為何不使用門羅幣。（JP.Cointelegraph）[2020/7/16]

二、零知識證明只能實現特定知識的「零知識」

對于哈希函數、基于橢圓曲線的加密算法等密碼學工具而言，幾乎在任何情況下給出任何數據，它們都能夠把這個數據隱藏起來；當我們知道零知識證明可以不泄露知識時，往往也會認為能夠把任意的知識交給它來處理，但實際上，零知識證明只能在特定的場景下實現特定知識的「零知識」。

回到Alice的例子，在她的零知識證明過程中，至少涉及到三種可以被稱為知識的東西：1.宇宙的初始值；2.宇宙的演化算法；3.宇宙的演化結果。可以通過零知識證明不泄露這些不同類型的知識嗎？不能，我們甚至必須知道宇宙的演化算法和演化結果，才能證明Alice是否知道宇宙的初始值。

換言之，零知識證明只能證明但不泄漏「輸入」這個位置上的知識。當在思考或使用零知識證明協議解決問題時，需要看不想泄漏的知識是否可以被放在輸入的位置上，并能通過確定的算法產生一個可判斷真偽的輸出。?

動態 | 馬紹爾官員David?Paul發解釋為何馬紹爾群島計劃發布自己的加密貨幣:馬紹爾群島總統助理兼環境部長David?Paul發文解釋為什么馬紹爾群島要發布自己的加密貨幣。 馬紹爾群島共和國自1979年成為獨立民主國家以來，一直使用美元作為貨幣。今天，馬紹爾正在推進使用區塊鏈技術以數字形式發行主權貨幣的計劃。馬紹爾去年通過了《主權貨幣法案》，宣布打算發行一種新貨幣Sovereign （SOV），將與美元一起使用。發行貨幣當然是任何主權國家的特權，但史無前例的是，馬紹爾選擇使用區塊鏈技術發行主權貨幣。 當馬紹爾選擇發行貨幣時，做了三個關鍵的決定。首先，貨幣將基于區塊鏈技術，這對于馬紹爾群島至關重要。第二，貨幣供應量的增長將是預先確定的和防篡改的。最后但同樣重要的是，這種合規性將被納入貨幣協議本身，同時保持個人隱私。 他表示，區塊鏈技術的出現為馬紹爾這樣的小國打開了一個充滿機遇的世界。借助基于區塊鏈的數字貨幣，馬紹爾可以自動化大部分合規負擔，并在國際舞臺上發揮積極作用。區塊鏈讓馬紹爾有機會以反映馬紹爾價值觀的方式最終獲得貨幣獨立。馬紹爾打算以創新和負責任的方式抓住這個機會。[2019/9/4]

舉例來說，如果Alice在不附帶任何條件的情況下聲稱自己知道一個數x，我們是難以用零知識證明證明她知道數x但又不泄漏x的；但如果Alice聲稱自己知道一個數x滿足某個條件a，那就可以先有一個算法，該算法的輸出一定滿足條件a，然后，如果輸入x能夠滿足這個算法，就可以相信數x滿足條件a，這也意味著Alice能夠在不泄漏數據的情況下使用數據。

韓國監管態度為何急轉？或不敢與趨勢對抗:不到一個月前，韓國司法部長表示，政府部門正在準備一項針對數字貨幣交易平臺的法案，財政部長和金融監督服務主管認為數字貨幣交易是“巨大的投機”，“泡沫注定破裂”。而本周，韓國金融監督機構（FSS）主管Choe Heungsik扭轉態度，表示當局希望促進數字貨幣交易的健康發展，政府應更多關注正常化，不是加強監管。分析文章認為，韓國政府可能意識到，與其對抗這一趨勢，不如將其變成一個有利可圖、但受到監管的行業。就像馬來西亞、新加坡和日本等國對賭場的管理方式一樣，韓國可能希望成為數字貨幣的區域性交易中心，為國外投資者提供服務，同時出臺更多限制本地居民交易活動的規定。[2018/2/23]

不過這里有另一個容易混淆的地方，就是零知識證明并不能直接證明某人有解某個問題的能力，比如有解地圖三染色問題的能力，它證明的是某人知道該問題的一組解。?

這與零知識證明協議的構造有關，如前所述，它證明的是一個把輸入、算法、輸出綁定到一起形成的多項式，而不是某個求解算法的多項式，證明這個多項式成立，實際上是在證明輸入、算法、輸出之間具有確定的關系，而不是在證明其他事情。?

一方面，這種構造限定了零知識證明的應用，它只能在輸入、算法、輸出齊備的情況下實現輸入的零知識證明，如果輸出為真，就可以相信輸入為真；但另一方面，這種構造擴展了零知識證明的其他應用，即如果輸入為真，我們也可以相信輸出為真。

美國“韭菜”跑步進場 美國70歲買家不知比特幣為何物:據報道，美國70歲的比特幣投資者Rita Scott在孫子的幫助下賣掉了她的比特幣，短短幾周賺了45%的收益率。在這之前，她根本不知道什么是比特幣，還以為是硬幣。而在美國，有很多人甚至想刷信用卡來買比特幣。[2017/11/30]

三、零知識證明為何與區塊鏈如此契合?

區塊鏈激活了零知識證明的應用，零知識證明則提供給區塊鏈一種卓越的解決方案，兩者能夠彼此促進更主要的原因在于區塊鏈的系統特點和零知識證明的證明方法特點，而不僅僅因為零知識證明能保護隱私。

回憶我們做數學的證明大題，那是一種推理式證明，有著嚴格的可被驗證的推導過程；但還有另一種證明叫交互式證明，它不通過推導，而是借助于證明者和驗證者的交互，驗證者向證明者提出問題，如果證明者能給出正確的回答，就認為證明者聲稱的命題是對的。

舉一個不算特別準確的例子：Alice聲稱當宇宙的輸入為x時，輸出為42，推理式證明是指她要代入x一步步計算，算出42，并把計算過程展示出來以供驗證；交互式證明看起來則是：給驗證者一臺平行宇宙穿梭機，驗證者隨機穿梭到有輸出的宇宙，然后根據宇宙的輸出是否為42來判斷Alice聲稱的是否可相信。

相較于推理式證明，交互式證明的驗證者只需驗證一個點或幾個點，這是零知識證明與區塊鏈契合的一個重要原因：區塊鏈是一種分布式系統，每個節點都要重復完成驗證的工作，受益于只需驗證挑戰點，簡潔零知識證明系統可以減少驗證的工作，它提供給驗證者的是一個比原命題小得多的證明。

形象化而言就是：在非區塊鏈的系統中，零知識證明減少一份驗證者的工作，同時可能增加一份證明者的工作，這或許就算不上好處；可在區塊鏈系統中，零知識證明每減少一份驗證者的工作，如果有100個節點，就能減少100份的總工作量，而此時增加的仍然只是一份證明者的工作，那么這種好處就很明顯了。

此外，單從用零知識證明來解決問題的角度，區塊鏈上的空間資源和時間資源都是極為稀缺的，而簡潔零知識證明產生的證明小、驗證時間短，適合作為區塊鏈上的解決方案。

但需要注意，交互式證明只需驗證挑戰點，與之相伴的推理式證明和交互式證明的另一個區別就是：推理式證明能夠證明一個命題是否成立，交互式證明卻只能證明一個命題在概率上是否成立。

也就是說，假如證明者聲稱的命題是錯的，但當驗證者提出問題時證明者蒙對了答案，驗證者會認為命題是對的。因此在零知識證明協議的設計中，非常重要的一部分工作就是用數學的方法讓證明者幾無可能蒙對答案。

回到zk-SNARK。zk-SNARK把證明輸入、算法、輸出的關系轉換為證明一個綁定三者關系的多項式，就能夠給驗證者提供一臺平行宇宙穿梭機。在皮諾曹協議中，交互式證明是這樣的：

證明者聲稱自己知道一個多項式p(x)，該多項式是可以被分解成t(x)和h(x)的，即p(x)=t(x)·h(x)；驗證者隨機選擇一個挑戰點s，通過對s加密讓證明者只能算出p(s)和h(s)，而無法計算t(s)；證明者把p(s)和h(s)給驗證者，驗證者手中有t(s)，就可以計算t(s)·h(s)是否等于p(s)，如果相等，就相信證明者確實知道一個多項式。

而知道一個多項式，就意味著輸入、算法、輸出之間存在確定的關系，如果輸出為真，我們就可以在并不知道輸入的情況下相信輸入為真，即實現零知識證明。那么到現在，我們就不僅知道了零知識證明是一種證明的方法，而且知道了它是如何來做證明的。

四、不要被「無需交互」欺騙

零知識證明是一種交互式的證明系統，它依賴于兩個重要元素：交互、隨機。

交互是指一方提出挑戰，一方給出證明，如果沒有這種交互，零知識證明就無法開展；隨機是指挑戰點必須是隨機的，也就是不能被證明者預測到的，不然證明者就可以在挑戰點上構建一個假證明。如果Alice事先知道驗證者會去73號平行宇宙，她就可以提前把73號的答案改為42。?

那為什么zk-SNARK稱自己為非交互？在所謂的交互式證明中，需要先由驗證者給出隨機點，再由證明者構建證明；在所謂的非交互證明中，比如皮諾曹協議，它不再需要驗證者給出隨機點，轉而由一個可信的第三方在初始化階段給出隨機點，這樣一來，證明者就可以直接給出證明，驗證者只需要驗證證明即可，驗證者和證明者之間不再需要交互。

可信第三方給出隨機點就是皮諾曹協議的可信設置，相較于直接交互，可信設置在給出隨機點s之外，還需多給出一個t(s)，因為驗證者需要用t(s)進行驗證。但問題在于t(s)不能被證明者得知，否則他可以輕易構造出一個假證明，所以需要用一個方法對t(s)做變換，使得變換后的t(s)可用于驗證，但不可用于證明者的計算。皮諾曹協議選擇雙線性配對操作來完成這一工作。

所以無需交互更多的是一種技術上的處理，對于零知識證明而言，驗證總是在隨機挑戰點上完成的，所不同的是這個挑戰點從何而來。不同的具體協議，在用非交互取代交互時選擇的方法會有比較大的區別，即便它們都叫zk-SNARK協議，這是額外需要注意的。

五、模塊化和年輕學科

希望上述四點能對你理解零知識證明有所幫助，在文章的最后，是兩個小的可能會出錯的認識。

第一，零知識證明協議，比如zk-SNARK，并不是圍繞某個確定的核心公式展開的，它是模塊式的，每個模塊負責完成自己的工作，然后大家組合到一起。所以如果你想通過抓住一個核心點來理解零知識證明就會比較困難，更好的方法是通過一條線索來理解它。

同時，zk-SNARK不是指某個具體的協議，它是一類方法的統稱，組成它的那些模塊大體不會變，但這些模塊選擇的具體方法是可變的。所以當你看到不同的zk-SNARK時，不用迷惑，跳出來站在模塊的高度去看它，而不是陷入具體的方法。

第二，或許因為零知識證明是在與數學打交道，它常常帶給人一種古老學科的感覺，但實際上零知識證明的研究還很早期，零知識證明的應用更是剛剛開始。當選擇使用零知識證明時，開發者們并不是只需工程化實現一套成熟的理論，而是要一邊找到/發明方法一邊應用方法。

所以也許我們可以給零知識證明多一些的耐心，它可能是未來數字世界重要的組成部分，它不僅是使用構成數字世界的數據的工具，也是節省數字世界中最稀缺資源的工具。

封面圖片來自?Unsplash，作者?BeatrizPérezMoya

致謝：郭宇

撰文：李畫，安比實驗室特約研究員

Tags：區塊鏈ICEALIALICE區塊鏈最大騙局Era Name ServiceCarbon NeutralityALICE價格

比特幣交易所