學術向丨智慧合約世界的隱私方案，Zether將為以太坊帶來什麼？

摘要： 前言： 當前，類似以太坊這樣的區塊鏈智慧合約平臺已經變得非常流行。雖然不同型別的去中心化應用，可以很容易地構建在這樣的平臺上，但目前似乎沒有為它們增加一個有意義的隱私層的簡單方法。 而來自斯坦福大學的博士生Benedikt Bunz（Bulletproofs防彈證明方案作者之一）、斯...

前言：

當前，類似以太坊這樣的區塊鏈智慧合約平臺已經變得非常流行。雖然不同型別的去中心化應用，可以很容易地構建在這樣的平臺上，但目前似乎沒有為它們增加一個有意義的隱私層的簡單方法。

而來自斯坦福大學的博士生Benedikt Bunz（Bulletproofs防彈證明方案作者之一）、斯坦福大學教授Dan Boneh以及來自Visa研究部門的Shashank Agrawal以及Mahdi Zamani，聯合提出了一種針對以太坊智慧合約平臺的隱私方案： Zether 。它與以太坊以及其他智慧合約平臺相容，在效率和可用性方面，該協議採用了類似於以太坊的基於賬戶的方法。論文的作者們描述了保護Zether免受重放攻擊和非正常預先交易（front-running）的技術。此外，他們還開發了一種機制來實現與任意智慧合約的互操作性。這有助於一些流行的去中心化應用，如拍賣、支付通道，投票等。

而該方案，也得到了智慧合約之父尼克.薩博（Nick Szabo）的轉發支援。

作為協議的一部分，作者們還提出了 Σ-Bullets ，這是現有零知識證明系統Bulletproofs（防彈證明）的改進版本，Σ-Bullets使得Bulletproofs（防彈協議）與Sigma協議變得更具互操作性。研究者們將Zether作為以太坊智慧合約實施，並通過測量Zether合約使用的gas量，來展示該設計的實用性。在2019年2月初的實驗中，一筆Zether保密交易的成本大約是 0.014 ETH（大約1.51美元） ，目前研究者們正在討論對以太坊虛擬機器的一種小更改（獨立於Zether），而這將極大地降低Zether保密交易的成本。

(圖片來自：pxhere.com)

相關的加密貨幣隱私技術方案

在詳細瞭解Zether隱私方案之前，我們先快速回顧一下市場上已經存在的隱私技術方案：

用於比特幣的保密交易（CT）首先是由Maxwell提出的，他用佩德森承諾（ Pedersen commitments ）和 OR-proofs 來建立一個支付機制，其中交易金額是隱藏的，但可驗證一筆交易的輸出之和是否超過輸入的總和。門羅幣（Monero）則更進一步，其使用了一種特殊型別的簽名方案，以隱藏由 傳送方（匿名集）選擇的UTXO集交易的起源地及目的地，然而，門羅的簽名大小是隨匿名集的大小而線性增加的。而Zether擴充套件的匿名屬性，類似於門羅（但它們的模型是不同的）。

ZCash基於的是Zerocash協議，其使用了一種稱為zkSNARKs的更為複雜的零知識證明系統，以次線性成本提供了匿名性。傳送者和接受者隱藏在使用遮蔽地址的人群當中。使用SNARKs的其中一個缺點是，需要預先生成一個大的公共引用字串（CRS），而這種方式沒有人知道陷門，這是一項具有挑戰性的任務。傳送方需要下載這個公共引用字串（CRS），併為一個大型迴路生成證明，而這是非常耗時的。

還有其他幾種方法可以使區塊鏈交易實現匿名。CoinJoin為一組使用者提供了一種共同建立比特幣交易的方法。 (MimbleWimble/Grin）結合了保密交易（CT）和CoinJoin等技術，以非互動方式聚合交易。CoinShuffle和Mixcoin可為比特幣混合協議。TumbleBit使用了一種不受信任的媒介（稱為Tumbler），使得交易不可連結。M¨obius則通過一個以太坊智慧合約取代了tumbler媒介。

Zether的匿名方式不同於以上的方案，其不依賴其他使用者的積極參與，Zether使用者可選擇他們自己的匿名集（類似門羅）。另一方面，如果使用者主動使用混合服務，它還可以提供更好的匿名性。

Hawk是一個以隱私保留方式建立任意智慧合約的框架。特別地，它可完全隱藏拍賣中的出價，但這也需要付出巨大的代價。在Hawk框架當中，合約的隱私部分是被轉換成一個迴路（circuit）。一名管理者，其受參與者的私密輸入委託，在迴路上生成一個zkSNARK證明，以表明它已被正確地執行。SNARKs除了依賴可信設定之外，引用字串（reference string）還依賴於迴路，因此需要為每個合約生成不同的字串。此外，迴路模型對可參與的使用者數量進行了限制，因此Hawk儘管很強大，其可提供更好的隱私性，但它並不是完全去中心化的，其對於簡單的合約而言太昂貴了。

另一個通用框架Ekiden，通過智慧合約平臺兼顧了效能和保密性，但它依賴於可信執行環境（例如英特爾SGX），所以它也不是完全去中心化的。

RSCoin、 Solidus、 zkLedger等方案的運作模式，介於比特幣/以太坊等完全去中心化的設定和現代金融系統的中心化設定之間。

在這類模型中，銀行控制貨幣供應，但會使用區塊鏈進行交易。這裡所使用的技術和zkLedger有一些相似之處，其中每個銀行都有一個賬戶。zkLedger中的傳送方銀行A建立多個任務，將一些錢 x 傳送給接收銀行B。對應於B的任務是 −x ，對應於B的任務則是 x ，所有其他任務則等於0。然後有證據表明，這些任務是形成良好的，並且A的金額超過了x。當我們在Zether協議中使用類似的想法時，Zether需處理非正常預先交易（front-running）、重放、相容性等更多的問題，這與在開放平臺上建立智慧合約有關。

並行工作：Zexe是最近針對Zerocash型別貨幣的一種私有指令碼語言提案，它提供與比特幣指令碼類似的功能，同時隱藏指令碼和指令碼本身的輸入。但是，它並不支援像智慧合約那樣的有狀態計算。

Quisquis是一種新的匿名系統，其旨在解決像門羅幣和Zcash所存在的一些問題（例如，未使用交易輸出（UTXO）集的不斷增長問題）。其模型是一種有趣的UTXO和賬戶混合體。而基本單位是一個賬戶（由公鑰和commitment承諾組成），它們只能一次性使用：在一筆交易中，舊帳戶會被銷燬，而新帳戶會被建立。儘管Quisquis提供了一種新的匿名方法，但它也面臨非正常預先交易（front-running）攻擊的問題（匿名集中的公鑰可能會在交易被處理之前進行更新），更重要的是，Quisquis是一個獨立的加密貨幣，而Zether的目標則是建立一個部署到任何智慧合約平臺的系統，其可供其他智慧合約使用，以實現更多的隱私性。

Zether隱私方案的特點

好了，談了那麼多隱私方案，以及它們和Zether的對比，想必大家已經對該方案有了初步的認識了。那這種方案具有哪些特點呢？

首先，我們要知道的是，Zether不需要對以太坊這類底層智慧合約平臺的設計進行任何更改。Zether作為一個智慧合約，它可單獨執行，其也可通過其他智慧合約執行，以交換保密數量的ZTH token，Zether使用的技術，可應用於其他基於賬戶的加密貨幣，並完全獨立於它們的共識機制。

其特性如下：

1. 保密：Zether的交易是保密的，賬戶餘額始終是加密的，使用者需提供密碼證明來使用ZTH。
2. 零知識證明：Zether使用零知識證明技術作為重要基礎。為了讓Zether變得更有效，研究者提出了一種新的零知識證明機制，稱為Σ-Bullets，其使得Bulletproofs（防彈協議）與Sigma協議變得更具互操作性。這使我們能夠有效地結合基於Bulletproofs（防彈協議）的範圍證明以及ElGamal加密（Σ-Bullets也可以在其他設定中進行應用）。
3. 實施方式：我們將Zether作為一種以太坊智慧合約進行實施，並測量執行所需的gas量。在實現對以太坊的增強改進後，這種實施將變得更為有效。作為實施的一部分，協議作者們在以太坊上提供了一個高效的Bulletproofs實現。
4. 互操作性：Zether提供了一種將資金鎖定在智慧合約賬戶中的方法，這可以更容易地為幾個重要的去中心化應用新增保密性。在論文當中，作者們展示了Zether可構建的四種應用，它們分別是：保密競拍應用、保密支付通道、保密權益投票、以及私密權益證明（private proof-of-stake）。
5. 匿名性：論文作者們描述了Zether的一個擴充套件，它還可隱藏一筆交易中的傳送者和接收者，雖然與匿名性相關的開銷與群體大小成線性關係，但其不需要可信設定，也不需要更改基礎智慧合約平臺。因此，Zether的匿名保證與門羅幣更相似，不同之處在於Zether是基於賬戶模型的。

Zether隱私方案的部分重要術語

1. Fund transaction（資助交易） ：通過存入以太幣和指定一個Zether賬戶（Elgamal公鑰），來資助一個Zether賬戶。任何人都可資助一個Zether賬戶，並不斷地進行資助。
2. 轉讓交易（Transfer transaction） ：用於將ZTH從Zether帳戶轉移到另一個帳戶。
3. 燃燒交易（Burn transaction） ：用於將與Zether帳戶相關聯的所有ZTH，換回以太坊地址中的以太幣。
4. Elgamal加密（Elgamal encryption） ：一種非對稱加密方案。金鑰 sk ，公鑰 pk =gˢᵏ 。要加密訊息 m ，選擇一個nonce r ，密文為 (gʳ, m.pkʳ) 。而要解密，計算 (gʳ)ˢᵏ ，併除以 m.pkʳ 得到訊息 m 。然而，在Zether當中，為了使這種加密具有額外的同態性，訊息被製成指數，製造密文為( gʳ, gᵐ.pkʳ )；
5. Epoch週期 ：具有時間概念的設定引數，指 k 個連續區塊的時間。

Zether隱私方案概述

在這一節，我們首先會討論具有核心功能的簡單版Zether，然後描述一些它的缺點，以及如何克服它們。

一個簡單的Zether合約：Zether智慧合約（ZSC）需要一種Zether token（ZTH），Zether賬戶使用ElGamal公鑰進行標識，這些公鑰儲存在ZSC的內部狀態當中。通過公鑰y，使用b ZTH創立一個賬戶，使用者可將b ETH傳送到這個智慧合約。ZSC合約生成隨機性為0的b的ElGamal加密（因為b無論如何都是交易的一部分），並將其新增到與y相關的加密餘額中。某人可通過顯示當前的餘額b*，將ZTH轉換回ETH，並提供y的密文的零知識證明（即該密文與智慧合約中的y相關）。

為了將一些b數量的ZTH轉移到公共金鑰y'，而不會暴露b本身，某人可在y和y'的條件下加密b。在實現當中，作者們使用了一個新的零知識證明機制，也就是上面提到的Σ-Bullets，有效地證明加密傳輸餘額和新發送方餘額的宣告。

Front-running（非正常預先交易）：

Zether簡化版本的第一個問題，就是零知識證明是在合約的某種狀態下生成的，例如，轉賬交易中的零知識證明，需顯示剩餘餘額為正。使用者Alice將生成與其當前賬戶餘額相關的證明，以加密形式儲存在合約當中。然而，如果另一個使用者將一些ZTH傳輸給Alice，並且Bob的交易首先得到處理，則Alice的交易將被拒絕，因為證明將不再有效。請注意，Bob可能是一個非常好的使用者，但在這種情況下，Alice因為處理這筆交易而失去其支付的費用。我們將這種情況稱為非正常預先交易（Front-running）。燃燒交易（Burn transactions）也有類似的問題：如果密文發生變化，加密某個值的密文證明將會失效。

為了解決這一問題，我們可引入一種新的交易型別，它只鎖定賬戶，以防傳入的轉賬。Alice可等到該交易進入區塊鏈後，再啟動傳出傳輸（或進行燃燒交易）。雖然這似乎解決了問題（需兩步流程為代價），但它為像Bob這樣希望將ZTH傳送給Alice的使用者，帶來了新的問題。當Bob釋出傳輸交易Tx時，Alice的帳戶可能不會被鎖定，但它可能在Tx進入之前被鎖定，從而導致Tx被拒絕。

當我們是匿名的時候，任何一種鎖定方法都變得更加不可靠。如果Alice想隱藏自己，為了確保她的交易通過，她必須鎖定匿名集中的所有帳戶。顯然，這是不允許的：Alice一定不能鎖定其他使用者的帳戶。另外，Alice只能將鎖定的帳戶放在她自己的匿名集中。但是，如果有人在Alice的交易進入之前，解鎖了他們的帳戶，那麼Alice的匿名程度就會降低了。

等待傳輸（Pending transfer）：

為了解決非正常預先交易（Front-running）問題，作者們把所有的傳入傳輸保留在一個等待狀態中。這些轉賬會不時地轉入賬戶，以便流入的資金可被使用。這種滾動法不能在任意時間發生，否則證明將會再次失效。為了解決這個問題，協議作者將時間分為幾個epoch時期，其中一個epoch由k個連續區塊組成。

k的選擇取決於兩個因素：a）區塊鏈最新狀態與任何使用者view之間的間隔，；b）將交易納入區塊鏈所需的時間。

在每一個epoch週期結束時，待處理的轉賬將轉入相應的賬戶。

使用者會希望在epoch週期開始時釋出他們的傳輸交易（或燃燒交易）。因此，即使他們沒有看到區塊鏈的最新狀態，並且這需要一些時間來納入他們的交易，他們也不會進入下一個epoch週期。

只要明智地選擇k，交易將在帳戶更改狀態之前處理。

智慧合約滾動（Rolling over on a smart contract）：

不幸的是，滾動賬戶並不像看起來那麼簡單，因為只有在交易傳送給智慧合約之後，合約才會做任何事情。

不能指望每個使用者都為每個epoch週期傳送一則滾動訊息。此外，他們不可能在正確的時間收到這樣的資訊。第一個想法，是在一個epoch週期中收到第一則訊息時，為所有賬戶滾動等待傳輸交易。

然而，這為訊息傳送者帶來了不合理的巨大負擔：其將不得不支付很大的滾動成本。此外，使用者也無法得知，他們的交易在一個epoch週期當中是否會是第一筆，因此，他們無法估計正確的gas供應量。

在收到該賬戶的第一則訊息時，我們在一個epoch週期滾動一個賬戶。

因此，一則訊息只會覆蓋一個賬戶。為了實現這一點，協議作者們定義了一個單獨的（內部的）滾動方法，其他方法所做的第一件事就是呼叫這一方法。

可能會出現一些賬戶連續幾個epoch週期都沒有被滾動的情況，原因在於它們沒有發起交易。這不是問題，因為賬戶持有人（比如Alice）也沒有想要使用她的錢。而當Alice想要操作她的賬戶時，她將釋出一筆交易。自上次滾動後轉入她賬戶的所有資金，將立即進行滾動，並可被使用。

重放攻擊保護（Replay protection）：

像其他支付機制一樣，Zether需要處理重放攻擊問題，以太坊通過將nonce與每個賬戶關聯，提供了自己的重放攻擊保護措施。不幸的是，這一程度的保護對於Zether而言是不夠的，這是因為兩個原因： (1) Zether賬戶擁有自己的公鑰，它們與以太坊地址並不關聯，(2) Zether交易包含非互動式零知識證明。

一個惡意的行動者可竊取這些證明，並將它們放進新的交易。如果賬戶的狀態沒有更改，則新的交易也將處理成功，這會導致資金損失。一個敵對的實體可通過重放請求再次鎖定賬戶。

為防止此類問題，我們將nonce與每個zether帳戶關聯起來。當交易被處理時，nonce將遞增。來自帳戶的新交易 必須在與帳戶關聯的nonce的最新值和交易記錄上簽名資料，包括任何零知識證明。此方法將交易的所有元件繫結在一起，並確保新鮮性。零知識證明不能被匯入惡意交易，而有效交易也無法被重放。

可探討的是，是否存在一種方法，可使用以太坊地址本身作為Zether賬戶的身份。然後，這些賬戶將使用與地址對應的金鑰進行操作，那麼，我們就可免費獲得重放攻擊保護和簽名驗證。然而，這將迫使使用者從固定的以太坊地址操作Zether帳戶。他們將無法將帳戶委託給其他地址，例如將帳戶鎖定到一個智慧合約。

此外，以太坊地址只是公鑰的雜湊結果，在零知識條件下證明雜湊宣告是非常昂貴的。最後，為Zether帳戶提供單獨的公鑰，也有助於使設計更模組化和獨立化。

匿名性：

Zether可擴充套件到匿名傳輸，Zether的匿名版本，需要一個更為複雜的零知識證明，其也需要一個新的重放攻擊和雙花保護機制，以及一個將賬戶鎖定到智慧合約的不同機制，關於這部分內容，方案作者們在論文的附錄D.1部分有進行詳細的探討。

關於Σ-Bullets

在文章的開頭部分，我們談到Zether使用了一種稱為Σ-Bullets的零知識證明系統，實際上它是將Bulletproofs（防彈協議）與Σ-protocols整合到了一起，以便對代數編碼值（例如 ∃x:g^x =y ∧ h^x = u ∈ G . （格式編輯問題，建議看論文原文））進行有效證明。另一方面，Bulletproofs（防彈協議）是一種迴路證明系統，它非常適合範圍證明和其他更復雜的算術語句。如果所有值都使用相同的承諾金鑰，則bulletproof（防彈協議）確實可對Pedersen承諾值進行證明。而使用Σ-Bullets，我們可關於代數編碼資料，證明更復雜的語句。

例如，我們可有效地證明一組Elgamal加密值在一定範圍內。此外，我們可將one-out-of-many證明（又稱環簽名）與範圍證明結合起來，以允許匿名傳輸。one-out-of-many證明是一種Σ-protocol ，它隱藏了正在被使用的賬戶。然後使用Bulletproof（防彈證明）表明該賬戶有足夠的資金用於轉賬。關於Σ-Bullets的詳細介紹，讀者可在原論文的附錄G中找到。

實施與評估

為了正確評估Zether協議並證明其可行性，研究者們將基礎版Zether作為以太坊智慧合約進行實施。實踐表明Zether是可行的，它目前可在以太坊虛擬機器上進行執行。此外，研究者們還討論了為改進合約效能而進行的一些優化工作。一些改進已經被單獨討論，並且已被提交到以太坊改進提議（EIP）佇列。

在測試中，研究者們測量了總的gas成本，包括髮送交易的基本成本、儲存成本以及證明/簽名驗證成本。截止發稿時，一筆基礎Zether交易的成本約為0.014 ETH（1.51美元）。測試表明，大部分的成本是由橢圓曲線操作產生的，對於一筆轉移交易，橢圓曲線操作佔總成本的90%。而對於一筆fund交易，大部分的費用來自於初始化一個新帳戶，而將資金新增到現有賬戶的成本，則要低得多。最後，研究者給出了交易資料的大小，注意，這並不包括基本的以太坊交易資料（大約110位元組）。

（圖：ZSC合約Gas成本）

目前，論文的其中一位作者Benedikt Bunz，已開源了Zether協議的部分 程式碼 及 測試程式碼

，有興趣的讀者可以瞭解一下。