零知识证明的发展及其应用潜力

作者: Internet Computer / Dfinity

编译: ChainCatcher

"零知识证明可以让你证明一个陈述是真实的，除了陈述是真实的事实之外，不透露任何其他信息，"Jens Groth 解释道，他拿出一副纸牌来说明他的意思。 "假设我选了一张牌，看着它，然后告诉你这是一张红牌。我告诉你的可能是真的也可能是假的，当然，我可以给你看这张牌来证明它真的是红色的，但给你看这张牌会揭示的不仅仅是这张牌实际上是红色的事实。"然后 Groth 将所有黑牌摊开，红牌面朝下。 "现在你知道这张牌是红色的，但不知道它是红心皇后，例如。"

Groth 是一位领先的密码学家，他以发明实用的基于配对的非交互式零知识 (NIZK) 证明彻底改变了零知识证明领域而闻名——这就是他如何谦虚地解释他与他人合着的研究论文的本质阿米特萨海。这篇题为双线性群的高效非交互式证明系统的论文自 2008 年在 Eurocrypt 上发表以来，已被用于随后开发实用密码方案和应用程序的许多研究工作中。今天，国际密码学研究协会 (IACR)为作者颁发了时间考验奖，以表彰他们的证明对公钥密码学产生的持久影响。

"我很高兴也很自豪，时间考验奖将这项研究认可为这一发展过程中的重要一步。长期以来，我一直有一种直觉，即零知识证明具有很大的应用潜力，但当时的实际用例仍然专门针对特定的加密协议。现在，整个零知识证明领域正在蓬勃发展，看到研究和工程齐头并进取得了很大进展，这表明通用领域已经变得多么重要。"

这一切是如何开始的 这一切都始于对数学的热爱，同时也渴望在可以将研究转化为实际应用的领域工作。 Groth 在奥胡斯大学期间开始参加各种密码学课程，完全没有意识到他有幸得到 Peter Landrock 教授和 Ivan Damgaard 教授等世界级密码学家的指导。他最终在 Damgaard 教授的指导下攻读了理学硕士学位，后来与一家名为 Cryptomathic 的公司合作获得了工业博士学位，该公司当时正在开发一种电子投票解决方案。

完成博士学位后，Groth 在加州大学洛杉矶分校担任博士后职位，在那里他遇到了他的合著者 Amit Sahai。导致 Groth-Sahai 获奖论文的研究路线始于想要将非交互式零知识证明的构造与基于配对的密码学联系起来，这在其他密码学构造中显示出自己的通用性。 Rafail Ostrovsky 和 Amit Sahai 的一项初步工作首先表明，您可以使用配对来构建高效的 NIZK 证明，证明布尔电路具有令人满意的输入，使电路输出为真。但是，您要在密码协议中证明的那种陈述通常不会直接表示为布尔电路。

在后来获得 2021 年 IACR 时间测试奖的一篇论文中，Groth 证明了可以给出基于配对的 NIZK 证明，这些证明直接适用于基于配对的密码学中自然出现的那种陈述。缺点是这些 NIZK 证明非常昂贵。 Groth 坚持不懈地提出了下一个合乎逻辑的问题：是否存在既有效又广泛适用于基于配对的密码协议设计的 NIZK 证明。

在几个月的艰苦努力中，Groth 和 Sahai 设法不断将 NIZK 证明的复杂性降低到较小的规模，并且还制定了对陈述的一般描述，他们可以证明这些陈述表达了基于配对的密码学中的大部分操作。

NIZK 证明简而言之，这项研究探索了密码学如何使我们能够以一种只透露陈述真实性的方式证明关于数字数据的陈述。本质上，零知识证明允许证明者证明她/他正在按照协议或预期行为行事，而无需泄露她/他的机密数据。有许多可能的实际用例，其中 NIZK 证明会很有用。例如，在电子投票协议中，您可能想要证明加密投票对其中一位可能的候选人有效，并且它不是双重投票或反对票。另一个用例是在管理基金中，您可能希望在不透露资产构成的情况下证明偿付能力。

应用 无论用例是什么，零知识证明都需要高效。 Groth-Sahai 零知识证明是非交互式的，这意味着它们不需要证明者和验证者之间的来回通信。证明者只是构建一个可以在一条消息中发送给验证者的证明——就像一次显示所有黑牌一样。它们的大小也很合理，随着语句的复杂性按比例增加。此外，它们可以直接应用于密码学家在设计基于配对的协议时通常想要表达的那种陈述。

Groth 和 Sahai 构建的 NIZK 证明系统被用于基于配对的密码方案，例如环签名、群签名、加密方案等。通常一个方案有几个子组件，NIZK 证明可以作为一种粘合剂通过证明组件的正确构造和彼此一致来将它们结合在一起。也有一些关于结构保持密码学的研究，这是一种纯粹的基于配对的密码学方法，特别适合 Groth-Sahai 证明。

Groth 和该领域其他研究人员的后续工作表明，您可以使用后来被标记为零知识简洁非交互式知识论证 (zk-SNARKs) 的东西获得更高的效率。 Groth-Sahai 证明适用于小规模陈述，而 zk-SNARKs 是大规模陈述的理想选择。 SNARKs 构成了几个以隐私为中心的区块链的核心。它们也是 zk-rollups 的基础，它允许人们进行链下计算并将最终结果连同最终结果正确的简洁 NIZK 证明一起提交给区块链。 SNARK 在这里是理想的，因为它们很紧凑，这意味着存储和通信成本低，并且需要很少的计算来验证。

Groth 和互联网计算机 Groth 主要关注互联网计算机协议的安全性，他设计了一些互联网计算机在分布式密钥生成协议中使用的特殊用途的 zk-SNARKs。

除了 DFINITY，互联网计算机生态系统中还有一些开发人员对协议实施零知识证明。 Demergent Labs 的 Jordan Last 一直大力提倡使用 zkWasm 为互联网计算机上智能合约的正确计算提供额外的保证，来自 ICME 的 Wyatt Benno 正在开发一个原型。

Groth on LifeGroth 喜欢在空闲时间做即兴戏剧和打羽毛球。当他不考虑密码学证明和互联网计算机的安全性时，Groth 的脑海里充满了政治、经济、历史的阅读，并思考技术进步等事物对社会的潜在积极好处。虽然现代社会的复杂性给我们带来了巨大的好处，但他认识到没有一个人能够全面掌握现代社会，他担心这会造成民主赤字。 Groth 希望零知识证明可以在这方面提供帮助：

"从哲学上讲，SNARK 告诉我们，验证一个陈述的成本可能比陈述本身的复杂性小得多。从这个概念推断，即使我们无法掌握整个社会，也许我们可以验证对我们重要的事情。错误信息尤其是一个问题，零知识证明可能是解决方案的一部分。"

关于 Jens GrothJens Groth 是一位领先的密码学家，其作品在过去十年中已在顶级密码学会议 ASIACRYPT、EUROCRYPT 和 CRYPTO 上发表。他的工作彻底改变了零知识证明领域，发明了实用的基于配对的非交互式零知识证明，这在 2007 年获得了加州大学洛杉矶分校校长的博士后研究奖，现在通过了两项 IACR 测试-时间奖励。

关于 IACR 时间测试奖 IACR 时间测试奖是在 IACR 大会（Eurocrypt、Crypto 和 Asiacrypt）上颁发的年度奖项。它表彰对公钥密码学产生持久影响并在 15 年或更早之前发表的杰出论文。