這段時(shí)間在各個(gè)學(xué)術(shù)論壇及會(huì)議上與很多專(zhuān)家交流研究零知識(shí)證明的心得。大家似乎都有個(gè)感覺(jué)是，零知識(shí)證明除了和區(qū)塊鏈相關(guān)的保密支付外很難找到其他靠譜的應(yīng)用場(chǎng)景。我對(duì)零知識(shí)證明的應(yīng)用場(chǎng)景做了些調(diào)研，這篇文章將探討零知識(shí)證明在傳統(tǒng)互聯(lián)網(wǎng)非支付領(lǐng)域的一個(gè)應(yīng)用。具體來(lái)講，這篇文章將探討如何使用零知識(shí)證明構(gòu)造隱私保護(hù)的reCAPTCHA。

背景知識(shí)：什么是reCAPTCHA

我們要談的這篇文章《zkSENSE： a privacy-preserving mechanism for bot detection in mobile devices》［PAZVNL］是由Brave Software公司研究員聯(lián)合馬德里卡洛斯三世大學(xué)和劍橋大學(xué)的研究人員合作的一個(gè)工作。這一章我們首先介紹下這項(xiàng)工作的動(dòng)機(jī)：大家使用瀏覽器登錄網(wǎng)站時(shí)可能會(huì)經(jīng)常碰到一個(gè)叫驗(yàn)證碼的東西，比如向你展示一行歪歪扭扭的字，然后要求你輸入正確字句。

這種測(cè)試專(zhuān)業(yè)名稱(chēng)叫Completely automated public Turing tests to tell computers and humans apart （CAPTCHA），翻譯成中文是用于區(qū)分計(jì)算機(jī)和人類(lèi)的完全自動(dòng)化的公開(kāi)圖靈測(cè)試。這種測(cè)試在2000年左右互聯(lián)網(wǎng)初期時(shí)開(kāi)始在網(wǎng)站建設(shè)中得到廣泛應(yīng)用，主要目的在于使用這種測(cè)試檢測(cè)區(qū)分機(jī)器人和人類(lèi)，進(jìn)而阻止攻擊者通過(guò)使用機(jī)器人對(duì)網(wǎng)站發(fā)起拒絕服務(wù)攻擊或發(fā)送垃圾郵件惡意廣告等。

這篇文章重新設(shè)計(jì)CAPTCHA方案的動(dòng)機(jī)略有不同，由于這個(gè)項(xiàng)目是由brave瀏覽器和basic attention token （BAT）項(xiàng)目的研究人員發(fā)起的，所以他們的應(yīng)用場(chǎng)景和BAT的整個(gè)商業(yè)模式密切相關(guān)。BAT的基本宗旨是用戶(hù)應(yīng)該為自己看廣告時(shí)付出的注意力得到補(bǔ)償，因此在用戶(hù)點(diǎn)擊觀看廣告時(shí)將會(huì)相應(yīng)地收到一定量的BAT。這種商業(yè)模式有個(gè)專(zhuān)業(yè)名稱(chēng)叫pay to surf，在1999年已經(jīng)有人提出并實(shí)現(xiàn)過(guò)，當(dāng)時(shí)一家叫AllAdvantage的公司通過(guò)這種付費(fèi)給用戶(hù)看廣告的商業(yè)模式在不到一年時(shí)間內(nèi)迅速吸引到了將近1300萬(wàn)用戶(hù)和兩億美元的風(fēng)投。后來(lái)網(wǎng)絡(luò)泡沫破滅，這家公司迅速倒閉。

這家公司最終失敗除了生不逢時(shí)，一個(gè)很重要的原因是攻擊者們使用機(jī)器人詐騙廣告點(diǎn)擊費(fèi)過(guò)于猖獗導(dǎo)致公司最終入不敷出。事實(shí)上，我們知道這種類(lèi)型的攻擊即使在今天依然非常常見(jiàn)的，網(wǎng)絡(luò)安全專(zhuān)業(yè)人士都知道攻擊者會(huì)通過(guò)購(gòu)買(mǎi)低價(jià)手機(jī)來(lái)組成click farms以使用機(jī)器人軟件來(lái)騙取廣告費(fèi)。所以這篇文章的背景就是，BAT意圖復(fù)興這種pay to surf商業(yè)模式，前提是他們必須避免重蹈AllAdvantage的覆轍，因而如何防止攻擊者使用機(jī)器人詐騙廣告費(fèi)便成了重中之重了。

方案動(dòng)機(jī)：為什么需要隱私保護(hù)的reCAPTCHA

那你可能會(huì)問(wèn)既然已經(jīng)有了CAPTCHA這個(gè)工具，Brave再另起爐灶重新搞一個(gè)基于零知識(shí)證明的機(jī)器人檢測(cè)方案豈不是多此一舉。這可能得從現(xiàn)有的CAPTCHA方案存在的問(wèn)題說(shuō)起。目前廣泛使用的CAPTCHA方案主要存在兩個(gè)問(wèn)題：首先是其檢測(cè)機(jī)器人的效果還是有一定局限性的，尤其是目前基于深度學(xué)習(xí)的機(jī)器學(xué)習(xí)算法［GTFZFXCW18］已經(jīng)能保證使用極少量的訓(xùn)練樣本高效攻擊多個(gè)廣為使用的CAPTCHA方案；另一個(gè)問(wèn)題則是在移動(dòng)設(shè)備上CAPTCHA嚴(yán)重?fù)p害用戶(hù)體驗(yàn)，這個(gè)相信大家在手機(jī)上碰到過(guò)驗(yàn)證碼都有所體會(huì)。

針對(duì)這些問(wèn)題，研究人員提出了一種新型的，對(duì)用戶(hù)透明的reCAPTCHA方案。其基本思想是通過(guò)收集移動(dòng)設(shè)備上用戶(hù)個(gè)人數(shù)據(jù)來(lái)區(qū)分訪問(wèn)者是機(jī)器還是人類(lèi)。具體來(lái)講，其基本的思路是人在移動(dòng)設(shè)備上輸入時(shí)需要按壓顯示屏，而觸屏?xí)r設(shè)備的慣性測(cè)量單元，即加速器和陀螺儀會(huì)記錄手指在屏幕上按壓移動(dòng)時(shí)所產(chǎn)生的傳感器數(shù)據(jù)。相對(duì)而言，機(jī)器人則往往是通過(guò)軟件模擬來(lái)生成輸入的，由于沒(méi)有手指觸屏，所以傳感器不會(huì)收集到相關(guān)數(shù)據(jù)，因此這個(gè)傳感器輸出的差別可用于區(qū)分人類(lèi)和機(jī)器人。

不過(guò)這種慣性測(cè)量單元數(shù)據(jù)從個(gè)人隱私角度看是非常敏感的，研究表明通過(guò)分析這些數(shù)據(jù)可以推導(dǎo)出設(shè)備上的按鍵（keystroke）信息，如用戶(hù)年齡，性別等，且這些數(shù)據(jù)可作為指紋信息來(lái)指認(rèn)用戶(hù)。通過(guò)收集用戶(hù)按鍵（keystroke）信息甚至可以竊取用戶(hù)私鑰。BAT這個(gè)項(xiàng)目是以保護(hù)用戶(hù)隱私為立身之本的，如何能構(gòu)造一個(gè)reCAPTCHA系統(tǒng)既能保證用戶(hù)隱私同時(shí)還能成功區(qū)分機(jī)器人和人類(lèi)便成了這篇文章試圖解決的問(wèn)題，這也是為何該系統(tǒng)最終使用了零知識(shí)證明的原因。

方案設(shè)計(jì)原則和安全模型

和傳統(tǒng)reCAPTCHA方案把移動(dòng)端傳感器數(shù)據(jù)傳輸給互聯(lián)網(wǎng)公司控制的服務(wù)器，然后在服務(wù)器端上由公司分析用戶(hù)數(shù)據(jù)不同的是，這篇文章方案的基本原則是用戶(hù)數(shù)據(jù)不離開(kāi)用戶(hù)移動(dòng)設(shè)備，換句話說(shuō)機(jī)器人檢測(cè)算法將在用戶(hù)設(shè)備上分析傳感器所收集數(shù)據(jù)，并將最終分析結(jié)果發(fā)送給服務(wù)器端，從而保護(hù)用戶(hù)隱私。這里順便提一下，BAT這種不讓用戶(hù)數(shù)據(jù)離開(kāi)用戶(hù)設(shè)備且在用戶(hù)端處理隱私數(shù)據(jù)的原則非常有意思，應(yīng)該能成為下一代隱私保護(hù)系統(tǒng)的一個(gè)通用設(shè)計(jì)原則。按照BAT項(xiàng)目創(chuàng)始人Brendan Eich的話說(shuō)，這相當(dāng)于從do no evil變成了can’t do evil。如果數(shù)據(jù)不離開(kāi)用戶(hù)設(shè)備，那么對(duì)用戶(hù)數(shù)據(jù)擁有主權(quán)的顯然是用戶(hù)，而非互聯(lián)網(wǎng)壟斷公司們了。

從上面的背景介紹中我們可以看出，這篇文章顯然假設(shè)攻擊者控制了移動(dòng)設(shè)備。既然機(jī)器人檢測(cè)算法在用戶(hù)設(shè)備端執(zhí)行，如何保證算法所讀取傳感器數(shù)據(jù)沒(méi)被攻擊者篡改，如何保證即使在攻擊者有可能修改機(jī)器人檢測(cè)分析算法代碼的情況下所收集的分析結(jié)果依然正確便成了問(wèn)題的關(guān)鍵了。

零知識(shí)證明正是用于保證分析算法結(jié)果的可靠性的。事實(shí)上，零知識(shí)證明如果只考慮其方案設(shè)計(jì)可靠性（soundness）的話，其實(shí)可以被看作計(jì)算證明（signatures of computation）方案。換句話說(shuō)其所證明的是被承諾（committed）的輸入和輸出之間滿(mǎn)足預(yù)定的函數(shù)關(guān)系。如果輸入輸出之間不滿(mǎn)足這個(gè)預(yù)定的函數(shù)關(guān)系，攻擊者是無(wú)法生成可以通過(guò)驗(yàn)證的證明的。如果把機(jī)器人檢測(cè)算法看作一個(gè)預(yù)定的函數(shù)的話，那么顯然零知識(shí)證明的這個(gè)soundness性質(zhì)就可以保證一旦攻擊者修改機(jī)器人檢測(cè)算法代碼，它將無(wú)法生成合格的計(jì)算證明。而零知識(shí)證明的零知識(shí)性質(zhì)則可以保證這個(gè)過(guò)程除了告訴驗(yàn)證者檢測(cè)結(jié)果外不泄漏其他任何個(gè)人隱私信息，因此就能保證用戶(hù)隱私。

注意這個(gè)安全模型在實(shí)際中功能非常強(qiáng)大，這意味著系統(tǒng)在一個(gè)控制著大群移動(dòng)設(shè)備（如click farms）的攻擊者發(fā)起攻擊時(shí)仍能有效檢測(cè)機(jī)器人且保證用戶(hù)隱私。這些可能的攻擊包括：攻擊用戶(hù)操作系統(tǒng)，修改用戶(hù)api，提供偽造傳感器輸出，重放合法用戶(hù)使用移動(dòng)設(shè)備時(shí)所收集傳感器設(shè)備數(shù)據(jù)等。

方案簡(jiǎn)介

這個(gè)方案的基本思想可以解釋成：用戶(hù)在移動(dòng)設(shè)備的點(diǎn)擊事件將引發(fā)一個(gè)人類(lèi)（humanness）認(rèn)證過(guò)程，humanness證明模塊將讀取設(shè)備傳感器輸出。這個(gè)模塊將使用一個(gè)經(jīng)過(guò)訓(xùn)練的模型區(qū)分是人類(lèi)還是機(jī)器執(zhí)行了該點(diǎn)擊事件，并將檢測(cè)結(jié)果和對(duì)應(yīng)零知識(shí)證明發(fā)給服務(wù)器驗(yàn)證。零知識(shí)證明主要用于證明如下兩個(gè)計(jì)算步驟的正確性：

1. 機(jī)器人檢測(cè)程序輸入的數(shù)據(jù)確實(shí)是實(shí)時(shí)從傳感器采集的，且這些采樣算法運(yùn)行正常。

2. 機(jī)器人檢測(cè)程序計(jì)算過(guò)程準(zhǔn)確無(wú)誤。

具體技術(shù)細(xì)節(jié)上，該方案使用的是以太坊的一個(gè)通用的零知識(shí)證明代碼庫(kù)，具體使用的機(jī)器人識(shí)別算法則是基于支持向量機(jī)（support vector machines）的。由于現(xiàn)有的零知識(shí)證明只能支持整數(shù)輸入的，所以在技術(shù)細(xì)節(jié)上該方案做了些微調(diào)優(yōu)化。另外由于這篇文章中使用的零知識(shí)證明算法初始化過(guò)程必須提前知道證明對(duì)應(yīng)函數(shù)輸入向量大小的，他們預(yù)設(shè)向量維度大小上限為70。

展望

這篇文章實(shí)驗(yàn)?zāi)M比較了幾種手機(jī)上使用零知識(shí)證明的資源消耗，且對(duì)該方案在實(shí)際中應(yīng)該如何使用提供了些建議。比如可以在移動(dòng)應(yīng)用代碼中引入一個(gè)SDK，然后周期性讓用戶(hù)手機(jī)做humanness證明。很明顯，用戶(hù)手機(jī)如果高頻地做這種零知識(shí)證明給手機(jī)帶來(lái)的額外計(jì)算負(fù)擔(dān)會(huì)很大，因此相應(yīng)地耗電量可能也很大。這篇文章提出使用一個(gè)專(zhuān)用協(xié)處理器（co-processor）來(lái)專(zhuān)門(mén)做零知識(shí)證明運(yùn)算。如果以BAT為代表的這種互聯(lián)網(wǎng)商業(yè)模式能得到廣泛推廣（目前brave瀏覽器已經(jīng)有1000萬(wàn)用戶(hù)了），那么這種專(zhuān)門(mén)用于優(yōu)化零知識(shí)證明計(jì)算的硬件模塊恐怕勢(shì)在必行。

另外，這篇文章使用零知識(shí)證明方案由于需要trusted setup，且初始化參數(shù)和其使用的支持向量機(jī)算法相關(guān)，這在檢測(cè)機(jī)器人效果上有可能造成限制。相對(duì)而言，無(wú)需trusted setup的零知識(shí)證明方案，包括Suterusu項(xiàng)目目前研究實(shí)現(xiàn)的方案在支持通用的隱私保護(hù)機(jī)器學(xué)習(xí)方案具有一定的優(yōu)勢(shì)，相信會(huì)在這種新互聯(lián)網(wǎng)經(jīng)濟(jì)模式中大顯身手。
責(zé)任編輯；zl