前言：當我們談到隱私時，并沒有什么靈丹妙藥能夠解決所有的問題，而是需要針對特定的用例使用不同的方法和機制。

原文作者：Dean Pierce（ConsenSys Diligence）、Robert Drost （ConsenSys 研發部）以及Mason Nystrom （ConsenSys）

在一個聯系越來越緊密的世界里，我們的信息被人復制、共享甚至被用于銷售目的，而要維護我們想要的隱私水平，這可能會是一個挑戰。

和大多數事物一樣，隱私并非是二元對立關系的，而是介于完全公開及完全保密之間。所以在談到隱私問題時，我們有三個問題需要進一步討論。

1. 消費者和企業想要的隱私是什么樣的程度？

2. 人們愿意為隱私付出代價嗎？

3. 在公共區塊鏈上實現隱私交易的權衡是什么？

本文的目的是簡要地檢查在公鏈上實現隱私的要求，并在高維度上討論實施隱私解決方案的權衡。

第一個問題：什么程度的隱私是有意義的？

隱私的一個例子是匿名，或者說是身份的私密化。在公鏈的背景下，匿名性是指當事方在不需要披露其自身或其他交易者身份相關信息的情況下交換某物（金錢、代幣或數據）的能力。雖然這只是隱私的一個方面，但隨著區塊鏈的發展，它已經變得越來越重要。

像比特幣和以太幣之類的加密貨幣，因為相關交易地址及信息是公開的原因，再加上分析方法的不斷發展，人們可將這些交易與鏈外身份關聯到一起，這使得這些加密貨幣的使用者的身份變得越來越透明。

對于隱私權，企業和消費者有著截然不同的要求。企業通常以交易數據的形式要求隱私，例如產品名稱、數量、價格、地址、個人可識別的財務信息等。

網絡參與者通常是已知的，但可能需要保留身份或根據其角色提供給其他參與者。例如，貨運代理可能不需要知道某個運輸集裝箱的內容，而只需要知道該集裝箱已經到達。銀行業法規還會限制誰可以訪問交易數據。安永公司的Nightfall協議，以及摩根大通（JP Morgan）為Quorum定制的匿名Zether協議，是企業為以太坊開發隱私解決方案的主要例子。

相比企業（通常圍繞隱私有很強的商業動機及監管），迄今為止，消費者對隱私的意識和關注程度則普遍較低。當然，消費者也希望保護自己的身份、信用卡信息或其他敏感數據，以防止欺詐或身份盜竊事件的發生。而有時，消費者就希望用到匿名交易，這就要求交易的發送者和接受者都具有隱私。然而，隱私在消費者的日常生活中并不是天然存在的，大多數人為了方便或免費訪問而自愿犧牲他們的隱私（接受cookies、使用免費WiFi等）。

第二個問題：隱私有需求嗎？

隱私通常發生在消息傳遞的環境中，以保護各方之間發送的內容，它還被用于通信通道和底層網絡層這樣更廣泛的構造中。

但在加密貨幣背景下，隱私的需求似乎并沒有人們想象的那么強烈。

具體來說，雖然Zcash已存在大約3年的時間，但只有大約5%的ZEC使用了SNARKs（其中大約有一半是使用的舊版SNARKs），另外大約有95%的ZEC存儲在幾乎沒有隱私的透明地址中。通過這種低采用情況，我們可以推斷，也許大多數用戶對隱私并沒有付費需求（成本相對較高）。

然而，最終區塊鏈技術要成為主流仍然需要隱私。內置的隱私層（如SSL）使得互聯網成為了一個值得信賴的商業媒介，這表明消費者和企業所希望的隱私，是被內置到系統和應用當中的。

第三個問題：隱私的權衡

第三個問題是更偏向技術的，其需要對以太坊平臺上的隱私技術方案進行深入的檢查，這還會涉及到各種機制的權衡。

其他隱私區塊鏈給我們帶來的啟示（門羅幣和Zcash）

在我們討論以太坊的隱私話題之前，我們不妨先看一下隱私幣領域里的兩大主流參與者：門羅幣和Zcash。門羅幣在早期的競爭幣時代是特別的，因為它的代碼庫并不是源自比特幣代碼庫，而是基于一個完全不相關的加密貨幣項目Bytecoin（其使用的是CryptoNote協議的參考設計），而原CryptoNote協議設計是通過混合一筆交易的發送者（通過混合它們的簽名以及很多其他誘餌簽名來實現）來達到隱私目的。通過這一點，再結合隱形地址輸出方案，這給門羅幣帶來了非常強大的隱私保證。這一“環簽名”方案早被譽為是一種內置式混合器，但其并不成熟。

2017年，隨著RingCT技術方案的引入，環簽名方案隱藏交易數據的能力大大提高，RingCT使用零知識范圍證明來增加可進行批處理的簽名種類。RingCT的引入還強制執行最小混和要求，以減少早期版本門羅幣的可關聯性攻擊。而使用環簽名方案的最大挑戰之一是，其會占用大量磁盤空間，這使得門羅幣區塊鏈變得十分臃腫。此外，環簽名方案并不適用于大型群體，其目前僅限于10-15人的群體。

而在2018年末，我們看到了門羅幣網絡引入了“Bulletproof”（防彈證明），這是一種令人興奮的新零知識方案，其改善了環簽名方案，減少了交易所需的大小，這種改進使得門羅幣的隱私交易成本大大降低。

Zcash 是第一個使用 zkSNARKs技術的加密貨幣，通過這種零知識證明方案，用戶可發送僅對接收者可見的完全隱私的交易，而對于外部觀察者而言，ZEC似乎被發送到了一個巨大的密碼黑匣子中，當接收者想要將他們的幣移回到一個非隱私地址（類似比特幣標準地址）時，這些幣似乎是憑空而來的，這使得發送者和接收者之間沒有明顯的聯系。關于零知識證明的一個重要注意事項是，其需要更多的計算能力來運行，這使得交易變得更加昂貴。

對可互換性的威脅

以太坊網絡提供了偽匿名性（即交易鏈接到由用戶持有的私鑰所對應的地址），其分布式以及透明性特性使得許多全新的技術能力成為可能。

然而，類似于比特幣，以太坊也會無意中暴露使用這些數字資產的用戶的信息。

鑒于比特幣和以太坊等區塊鏈的公開特性，天真地使用它們的內置交易框架，就好比是一路撒下面包屑，這使得對手可輕易地跟蹤你的交易路徑。

通過地址生成獲得的隱私

隨著隱私技術的不斷進步，我們可考慮很多更為復雜的威脅模型。2012年，BIP32（比特幣改進提議）引入了分層確定性密鑰（HD Key），允許一個種子短語可生成一個不斷產生新比特幣地址的流。這允許用戶每次接受交易時可生成新的地址，所有這些地址都可輕松地通過一個種子短語導出和導入新的錢包。

而在以太坊中，也存在著相同的功能，盡管新生成的密鑰不能與智能合約直接進行交互（直到它們得到了它們所需的gas成本（ETH資助）。這一點也很復雜，因為很多基于以太坊的系統將用戶真實身份的許多方面與他們的地址聯系起來，這種與以太坊地址鏈接的額外數量的元數據，可以使以太坊特別容易受到去匿名化攻擊的影響。幸運的是，那些使以太坊暴露于這些威脅的智能合約，也可被尖端的新密碼學系統所使用，從而實現安全和無縫的隱私交易。

ZK構造和可信設置

很多零知識證明構造會用到所謂的“可信設置”（Trusted Setup），這意味著整個構造依賴于特殊隨機數的生成，任何知道這些隨機數的人都有能力窺視操作內部。為了減輕這些擔憂，人們就設計了復雜的方法來生成這些隨機參數，以確保構造能夠被信任。這通常涉及到社區中的幾個可信成員，每個成員都派生出他們自己的私有隨機數據，并以一種方式將它們彼此結合（如果任何一方刪除了他們的密鑰數據，那么秘密值是安全的。因此，所以參與方都需要串通）。

值得注意的是，門羅幣所使用的“ Bulletproof”（防彈證明）是不需要可信設置的，而Zcash的zkSNARKs卻是需要的，另外，STARKs也不需要可信設置，因為它們使用了哈希函數作為“設置”，而不是任何類型的特殊數字。

零知識Note（ZK-Note）

AZTEC是以太坊隱私領域的早期推動者，其使用的是一個“零知識note”系統來追蹤隱秘財務狀況。這些 note在以太坊網絡上是可見的（包括每個note的所有者），但是除了note的所有者之外，note上存儲的金額數量對其他所有人而言都是隱藏的。

當一個note 擁有者決定執行“joinSplit”操作時，零知識的魔力就來了，這意味著他們可記下他們控制的任意數量的note，并創建一組輸出note，這些note可能屬于也可能不屬于其他人。與隱形地址技術相結合，這可使創建的每個新note都歸一個完全干凈的以太坊地址所有。在一個常見的用例中，一個“ZK-Asset”（零知識資產）合約可連接到任何ERC20兼容代幣，允許用戶存放代幣以生成ZK-Note，并允許用戶燃燒ZK-Note進行提幣。此機制允許以太坊網絡上的任何現有資產以保護隱私的方式進行交易。

AZTEC協議使用的證明要比ZK-Snarks更容易使用，但其仍需要一個可信設置。

AZTEC也正在接近其他新的需要可信設置的新生解決方案。PLONK是一種新的、高效的ZK-SNARK結構，所有程序都可重用這一設置。由于PLONK的gas需求量并不大，因此它對以太坊而言更有實用價值。對此，AZTEC協議首席執行官Tom Pocock認為，PLONK可用于編程復雜的邏輯語句，以保持完美的隱私。

ZK與安全多方計算（MPC）的結合使用

在ZKBoo以及最近的Ligero例子中，零知識證明系統就與安全多方計算（MPC）進行了結合使用。這要求證明者提交安全MPC協議的記錄，然后讓驗證者隨機評估其中一方的視圖，將安全多方計算協議“編譯”成ZK-PCP系統（最早使用概率證明的ZK系統之一）。更重要的是，使用MPC有可能創建隱私智能合約。

與ZK-STARKs一樣，基于MPC的證明具有：

1. 透明性：隨機數的生成是公開信息；

2. 后量子安全性；

3. 可擴展性：基于MPC的證明具有一個（準線性）證明時間及一個驗證者時間，這可提高分期和批量計算的效率；

使用此類技術的一些折衷方案，涉及如何使這些技術對中小型“電路”或問題具有最佳效果，而這可能會導致驗證程序的可擴展性問題。

也就是說，基于MPC的技術在區塊鏈領域還沒有得到充分的開發，這些技術將比現有的ZK（零知識）技術普遍得多，特別是在各方需保護與實際計算本身有關的機密信息的情況下。例如，MPC技術對于嘗試運行信用評分算法來評估客戶信用度而言是有用的，無論是客戶還是銀行都不想放棄與其交易歷史相關的機密信息，以及在ML信用評分模型中的權重。

硬件限制

當Zcash首次提出使用zk-SNARKs來發送交易的想法時，人們對使用隱形交易所需的計算力的數量存在嚴重擔憂，在當時這需要數小時或更長的時間才能生成交易。從那時起，我們已走過了很長的一段路，而當前的實現能夠在瀏覽器甚至在移動設備上，以秒為單位完成類似的任務。

隱私混合器

最近一個備受關注的話題就是混合器，早在今年5月份時，Vitalik就發布了以太坊網絡下一代混合器設計的動機和粗略概要的一篇文章。

用戶需要以太坊混合器來幫助他們實現錢包或個人的隱私交易，以太幣的可追溯性意味著特定的交易可被跟蹤并鏈接到其他錢包、賬戶等。而混合器則被用于交換以太幣，以提高交易的隱私性。

從那時起，很多團隊在進行相關的努力，以使混合器更適合于以太坊。下面是一個最新的圖表，計算了相關混合交易的gas成本。

應用層中單獨的混合器永遠不會給用戶提供絕對的隱私性，而只是提供了概率保證。然而，這或許足以滿足大多數個人和企業的隱私需求。

誰為Gas買單？

然而，上述這些混合器方法中存在著一個致命的缺陷，那就是，最終需要有人支付gas才能確認輸出。那這部分以太幣是從哪里來呢？如果支付最終確認輸出的以太幣可追溯到某個用戶，那么該用戶就相當于失去了匿名保護，這就破壞了整個隱私目的。

這就產生了一種隱私“雞與蛋”的場景，其中接受匿名以太幣的唯一方法是已擁有匿名以太幣。在Vitalik的原混合器帖子中，他用一個簡單的中繼者注冊合約解決了這一問題，其中承諾發布任意交易的中繼運營者可注冊一個HTTP端點，這樣交易就可實現匿名發布。

最后，我們還需要考慮錢包和操作安全問題，這需要在保護用戶安全的同時，又不會給用戶帶來太多麻煩的體驗。所有這些混合器解決方案需要大量的參與者來合理地期望隱私，所以工具需要容易被容易使用，但這里的任何捷徑都可導致一些嚴重侵犯隱私的行為。

這些技術，以及行業當中很多其它在發展的技術，都是以太坊網絡的隱私問題越來越受到關注的標志，而這些技術進展可能很快會得到巨大的推動。雖然在公共區塊鏈上實現隱私似乎有些自相矛盾，但零知識和其他隱私技術方案將使得各種新的、尖端的用例成為可能。

展望未來

本文并不是對以太坊所有隱私方案的完整概述，當我們談到隱私時，并沒有什么靈丹妙藥能夠解決所有的問題，而是需要針對特定的用例使用不同的方法和機制。

因此，我們將繼續檢查和評估以太坊的隱私解決方案，以幫助科普和推動這類技術的發展。這包括未來會提供的關于具體隱私解決方案的文章以及解釋各種隱私技術的報告，另外還有對目前正在構建隱私解決方案的項目及公司的更深入的分析。

披露：Consensys仍然對隱私和可擴展性技術非常感興趣，Consensys實驗室已投資了Aztec協議、Ligero以及Starkware，并會繼續尋找突破這一領域限制的項目。
來源： 巴比特