零知識證明提供了一種方法，在不透露一組信息或數據的具體細節內容的情況下，以加密方式證明對這組特定訊息或數據的了解。
- 原文標題：《Decentralized Speed: Advances in Zero Knowledge Proofs》
- 撰文：a16z（Elena Burger）
- 編譯：zCloak Network
我們可以從硬體需求的角度來觀察技術的進步。伴隨新需求和用例的出現，晶片製造商設計了專門用途的 GPU、FPGA 和 ASIC，以對特定的功能和軟體進行了優化。科技領域的所有主要行業——從雲計算到計算機圖形，再到人工智能和機器學習，都已發展到需要硬體來加速計算的速度和效率。通常情況下，在確定一個硬體的可通用模式和特殊用途之前，製作具有初始功能（儲存記憶體、渲染圖形、運行大規模模擬）的晶片都相當簡單。理想情況下，隨著時間的推移這些硬體會更加便宜，更容易被消費者接受。
數位相機的演變很好的說明了這種趨勢。1960s 半導體被整合到底片相機中，以自動化一些簡單的功能，如測量快門速度或根據一個人試圖捕捉的光線質量來調整光圈的大小，但當時還不能實現在記憶體內捕捉圖像。到 1970s 人們意識到可以採用磁泡（一種在記憶體中存儲單位元資料的原始形式）的概念來解決在記憶體中捕捉圖像的問題，於是使用數位相機進行第一次實驗，並設計了一個感光耦合元件（ charge coupled device：CCD）以實現透過電子形式在矽上吸收和存儲光線。基於當時半導體的限制，相機的分辨率相當差，更不必說其速度和存儲，所以對數位相機技術的最初描述並沒有引用百萬畫素的概念。當時第一台相機的分辨率約為 0.01 萬畫素，且一幅圖像從緩衝器傳入記憶體需要 23 秒，一種緊張的權衡一直存在於百萬畫素的數量和相機的記憶體之間，直到 1990s 一種新的傳感器——互補金屬氧化物半導體（the complementary metal oxide semiconductor ：CMOS）——的製造成本被降低並獲得廣泛使用，百萬畫素數量和記憶體之間的平衡才獲得了實質改善。（現代 iPhone 使用 CMOS，提供約 1200 萬畫素的相機質量）。
在幾十年的時間裡，數位相機從一個使用了昂貴半導體的精巧裝置，發展到價值數萬美元的專業設備，再發展到存在於只需幾百上千美元即可買到的日常手機中的基礎裝置。
其它領域的發展也遵循著類似的軌跡：從通用型硬體到針對特定應用的硬體。具體到加密貨幣領域，硬體優化的一個例子即加密貨幣挖礦：當比特幣挖礦在 2009 年推出時，任何人都可以在標準的多核 CPU 上運行 SHA256 哈希算法。隨著時間的推移，挖礦的競爭越來越激烈，區塊獎勵下降，以及隨著人們越來越接受和想要一個全球性的、抗審查的貨幣系統，一個針對能更有效挖礦的行業生態發展開來。首先過渡到了 GPU 挖礦，使得挖礦並行程度從個位數擴展到五位數，而如今一個用於開採比特幣的 ASIC 設備的算力可達大約 90-100 兆哈希/秒，比 CPU 晶片強大約 50 億倍。
也就是說，比特幣挖礦的發展證實了去中心化貨幣不僅是可能的，而且是令人嚮往的。雖然我們正處於使用 ASIC 挖礦的高級階段，但我們也處於 Web 3 硬體的初始階段。
隨著區塊鏈吸引了數以百萬計的用戶，以及其所承載的應用程式的複雜性繼續地增長，兩個關鍵需求已了然於目，即隱私和可擴展性。另外，有兩個趨勢是顯而易見的，一是前針對加密貨幣領域應用而開發的專用硬體正在蓬勃發展：二是適用於消費級硬體的、以努力維護去中心化和隱私的優化算法也在加速前進。零知識證明領域的發展非常好的解釋了後一種趨勢。
對零知識證明現狀的簡要概述
零知識證明提供了一種方法，在不透露一組訊息或數據的具體細節內容的情況下，以加密方式證明對這組特定訊息或數據的了解。通常構建零知識證明涉及一個「Prover」和一個「Verifier」。Prover 從系統輸入的知識中創建一個證明，而 Verifier 有能力確認 Prover 是在不知道輸入內容或不是在重新計算自己的情況下真實地評估了一個計算。零知識證明在當下的區塊鏈中有多種用例——最常見的是在（1）隱私領域，比如 IronFish、TornadoCash、Worldcoin、Zcash；和（2）通過計算驗證鏈外狀態轉換以擴展以太坊的實現中，比如 Starknet 、 zkSyn、以及 Polygon 的 ZK-Rollup 系列。類似 Aleo 和 Aztec 這樣的項目則提議同時解決隱私和可擴展性問題。
令人興奮的是，在過去十年中加密技術的進步使所有這些應用變得可行且更快，以及也許更重要的是它使抗審查和去中心化成為可能。基於算法和硬體的進步，生成證明和驗證證明已經變得相對便宜和更少的計算需求。在許多方面，這些進步都映射了類似數位相機發展的技術大眾化進程：從一個昂貴和低效的過程開始，然後逐漸讓事情變得更便宜、更快。也許更為關鍵的是，零知識算法的進步正開始為需要透過服務器和其它中心化環境中生成證明的計算提供替代方案。
證明設置涉及算術電路，即對一組代表程序的多項式計算進行門電路表達；當你試圖擴大這些多項式所代表的訊息量時，這些門電路會變得越來越複雜。理想情況下，你希望 Prover 的可能輸出範圍盡可能的大，以減少 Prover 通過算力蠻力計算出 Verifier 期望的數值的可能性，這是一種被稱為抗碰撞（Collision Resistance）的概念。透過增加這些輸出範圍，增加了證明的概率性安全，就像在 POW 挖礦中一樣。然而，大量的輸出可能非常昂貴，並且計算速度很慢。這就是證明算法和硬體進步被需要的地方。
zkSNARKs 於 2011 年首次推出，是帶來進步的一個關鍵因素。 zkSNARKs 可以有效地、可控地擴大多項式的數量，這為零知識證明解鎖了速度和更複雜的潛在應用。
zkSNARK 的「SNARK」部分代表「簡潔非交互式知識論證 Succinct Non-Interactive Arguments of Knowledge」，在 Web3 的背景下，這裡最關鍵的詞是「簡潔」和「非交互式」。zkSNARK 中的一個證明只有幾百個字節，這使得 Verifier 很容易快速檢查一個證明是否正確（儘管證明本身可能需要很長的時間來生成）。非交互部分也很關鍵：非交互式證明使 Verifier 無需挑戰 Provers 提交的聲明；在區塊鏈背景下，這種挑戰要求客戶端與驗證器的來回切換，這非常耗時且難以構建。值得注意的是，當 zkSNARKs 首次和區塊鏈結合時，並沒有提到將其用於可保護隱私的區塊鏈或用於擴展交易；原始論文建議的事情是，第三方在不需要下載或編譯數據集的情況下，對大量數據運行高效地計算。雖然這個例子在理論上與隱私和擴展性方面的用例類似，但該領域的人們花了幾年時間才將 zkSNARKs 應用於加密貨幣。
當零知識證明與區塊鏈相遇
第一個實現 zkSNARKs 的加密協議是 Zcash，一個開發於 2014 年的私人支付加密貨幣。 Zcash 是一個基於比特幣 UTXO 模型的 POW 網絡，它的改進很好的說明了密碼學的進步帶來了更多可擴展的隱私形式。 Sprout 協議是 Zcash 實施的初始協議，使用 SHA256 壓縮函數來創建橢圓曲線，雖然這在密碼學上是安全的，但它也是時間和內存密集型的：生成一個證明需要數分鐘的時間和大約 3KB 的內存來完成。幾年後，Zcash 核心團隊開發了名為 Bowe-Hopwood-Pedersen 的新哈希函數以取代 SHA256，並在 2018 年將 Zcash 從 Sprout 協議過渡到 Sapling 協議。另外，該團隊還使用了 Groth16 證明系統的電路，並重新構建了他們處理網路中帳戶的方式，這使得一個證明的生成進步到只需大約 2.6 秒和 40MB 的記憶體。從此在手機上生成證明成為可能。
對 Zcash 的升級說明了兩個在零知識證明系統的改進中一直存在的有趣概念。第一個是，你可以透過組合不同的配對和證明系統來提高效率。人們可以把證明電路、曲線、約束系統和承諾方案看作是可以互換的成分，以創造具有不同速度、效率和安全假設的「零知識食譜」。第二，隱私的需求促進了這些改進——如果一個證明不是在設備上生成的（例如電腦或手機），則需要由第三方來生成，這可能會洩露相關的私人訊息，因為你的「私人輸入」是以明文形式發送。我們可以把 Zcash 看作是一個零知識證明基於區塊鏈領域發展的早期例子，即透過對算法的改進，可以非常迅速地優化用戶友好性和去中心化。像保護隱私的加密貨幣 IronFish 這樣的新項目進一步推動了這種去中心化的價值，它使任何人都有可能直接從他們的網路瀏覽器中進行挖礦和運行一個節點。
PLONK 進入該領域
2019年，Ariel Gabizon、Zac Williamson 和 Oana Ciobotaru 發表了一篇論文，提出了一個包含幾個關鍵進展的新證明系統 PLONK。第一個重大突破是，PLONK 只需一個單一的、通用的可信設置——在初始化儀式中對給定的零知識證明系統的 Provers 和 Verifiers 使用的通用字符串。
正如 Vitalik Buterin 在他的「Understanding PLONK」一文中所解釋的那樣，單一可信設置是可取的，因為「不是為每個你想證明的程式提供一個單獨的可信設置，而是為整個方案提供一個單一的可信設置，之後你可以將該方案用於任何程式。」雖然 Zcash 不得不為其證明系統的每個實例（包括 Sprout 和 Sapling）進行可信設置，但一個 PLONK 設置僅需執行一次即可由任何數量的用例永久使用。 2019 年 Aztec 網路進行了一次有 176 人參加的可信設置儀式，緊接著這種操作形式也被其它致力於零知識證明的團隊使用，包括 Matter Labs/zkSync、Mina，以及即將到來的新版 Zcash。
PLONK 帶來的另一個關鍵進展是，它提供了相對較快的證明時間。透過測試發現，一台消費級的計算機（一台擁有 16GB 內存的 SurfacePro 6）可以在 23 秒內產生一個證明。不過這些只是基準測試，現今實際實施的 PLONK 證明可能需要更長的時間來生成證明，因為有許多實施 PLONK 證明的團隊正在將其應用於需要將成千上萬的鏈外交易匯總到一個單一證明中的 ZK – Rollup。這些交易通常由擁有大量算力的 Prover 處理，並將這些交易的記錄發送到一個排序器，以便在以太坊的主網上發布。
在研究 Rollups 時，出現了諸如如何以及在何處定位去中心化。 Matter Labs 正在採取的一種方法是 zkPorter，這是一個二類帳戶，用於鏈外數據可用性的 Rollups，允許用戶人們選擇在 zkSync 上進行交易或者在 zkPorter 上進行交易，前者 zkSync 提供了 L1 以太坊的安全性和每秒 2000 筆交易的吞吐量，後者 zkPorter 則可達每秒 20,000 筆以上的交易吞吐量。更重要的是，zkPorter 被設計成一個 POS 網路，它透過「Guardians」質押代幣以跟蹤鏈外狀態，這實現了在將交易成本降低幾個數量級的同時仍提供強大的安全保證。雖然 Matter Labs 還沒有集中精力去處理 Prover 的去中心化，但網路級別的去中心化是使得 Rollup 可以優先考慮中立性的同時也解鎖速度的另一種關鍵方式。另外，Aztec 是一個允許在手機或電腦上生成證明的保護隱私的 Rollup，提出了一種聯合 Prover 網路的方法。不過需要注意的是，所有這些提議都處於早期階段，各團隊仍在對其具體實施方案進行迭代。
其它基於硬體的區塊鏈隱私方案還包括 Worldcoin，它正在使用 Semaphore 零知識證明系統來創建一個去中心化的、抗女巫攻擊的貨幣。為了做到這一點，Worldcoin 的用戶需要使用 Orb 來進行虹膜掃描，以驗證每個人只註冊了一次 Worldcoin，但 Worldcoin 不會儲存或洩露用戶的私人訊息。在註冊 Worldcoin 的時候，用戶需要在他們的手機上生成一個 Semaphore 公鑰，並由 Orb 掃描用戶的公鑰（以二維碼的形式） 以及用戶的虹膜，由此輸出哈希值。然後 Worldoin 會驗證該哈希值是否與已生成過的哈希值相匹配，確保一個人只可註冊一次。透過使用哈希值而不是存儲生物識別數據，Worldcoin 能夠實現使用零知識證明來保護用戶隱私。
哪些東西可以以及將要被建造？
站在一場不可阻擋的技術革命的末端，宣稱它所帶來的巨大的經濟和社會變革是很容易的；如今一部 iPhone 便擁有許多令人驚嘆的功能——攝影、存儲、網路接取、通信。但人們可能沒有意識到使這些技術成為可能所必需的努力有多麼巨大，這和站在一個還未被解決的巨大社會轉變和經濟轉變的開端是同樣是困難的，幾乎不清楚需要多長時間才能完全實現變革。
在零知識證明方案的一系列進步中，我們目前處於非常早期的階段，儘管在過去十年中，速度、效率、用戶友好性和去中心化都得到令人震驚的改進。在很短的時間內，零知識證明從被應用於極少數的面向消費者的應用，發展到被應用於為隱私和擴展性而誕生的大量應用程式和區塊鏈技術。
我們很難預測這些新興技術的另一面是什麼樣子，很難去想像當每個人都可以從手機端獲得完全的隱私交易保證，並成為眾多去中心化應用的主人時會發生什麼。是否會存在一個世界，它擁有每個人都有權使用的、無邊界的、去中心化的貨幣？當我們生活在時代的轉折點時，重要的是要牢記初心，牢記指導這個領域發展的的核心價值觀念：可訪問、去信任，以及最重要的去中心化。
