首頁

Partnered With:

區塊鏈隱私計算中的密碼學原理及應用

閱讀本文需 59 分鐘

如果數據確權成爲共識，隱私保護技術將是上層所有應用的基礎。

原文標題：《區塊鏈隱私計算中的密碼學原理及應用》

原文作者：realAlitta，DaPangDun，ViewDAO

一、引言

由於研究需要看了各類隱私項目，從匿名幣到可編程隱私的獨立公鏈、從軟件爲主到軟硬件結合的解決方案，可以清楚的看到相關的技術方案在隨着隱私板塊的發展不斷迭代。

(個人理解的可編程隱私：隱私公鏈將用來解決隱私問題的各類算法、方案以模塊化的形式提供給開發者，開發者可以很方便的直接調用)

在瞭解項目的過程中，發現涉及了各類算法名稱、術語，關係錯綜複雜，想着加入區塊鏈行業前有做 AI 算法的經歷，國外的大部分算法也都有了解，就決定把區塊鏈和隱私結合後涉及到的關鍵技術及主要項目的方案做一個系統化的梳理，打開隱私技術的黑匣子。

考慮到相關的技術理論很多，有些信息不能從官方文檔或網絡上公開的資源確定，這部分內容我是通過自己的理解做了解釋和推理，因此難免會有錯誤或遺漏的地方，歡迎大家批評指正。

二、目錄

本文我們將主要從技術層面做介紹，包含以下幾個部分：

1 爲什麼區塊鏈需要隱私技術？

2 區塊鏈+隱私有哪些主要問題需要解決？

3 目前區塊鏈領域解決隱私問題有哪些工具？

4 主要隱私項目用什麼工具來解決隱私問題？

三、具體內容

1、爲什麼區塊鏈需要隱私技術？

1.1 Web3.0 時代的個人數據的確權

隱私保護是用戶確定數據所有權的核心技術（用戶數據：指用戶在鏈上產生的各類數據），目前幾乎所有公鏈的數據都是完全對外開放的，技術、資金雄厚的團隊 (如 nansen、footprint 等) 會通過解析、加工鏈上數據等方式從中獲利，這種模式和 Web2.0 時代的巨頭壟斷模式類似，巨頭獲得主要收益，產生數據的用戶幾乎沒有收益。

隱私保護將用戶的元數據加上了是否需要對外開放的開關，由用戶來掌控開關，用戶自己可以選擇是否開放自己的元數據及是否通過收費的方式向外、向數據需求方開放數據。

1.2 使個人數據更安全

隱私保護可以更好的避免用戶數據被黑客攻擊從而產生損失，尤其是在當前心理工程學不斷髮展的時代，對於隱私的保護需求越來越高。

1.3 防止信息不對稱導致的被利用

隱私保護使得類似三明治交易這類搶跑交易不知道是誰在交易及在交易什麼，因此搶跑失效。

2、區塊鏈+隱私有哪些主要問題需要解決？

包含隱私功能的區塊鏈是把區塊鏈技術和隱私技術結合在一起，所以我們需要先了解區塊鏈當中有哪些地方需要用到隱私。

2.1 區塊鏈

區塊鏈是一個去中心化分佈式賬本，賬本上記錄着交易信息，一個交易包含兩個部分：

1 兩個身份（交易的雙方）：我們需要對身份進行確認，具體來說，就是確認某個用戶 (地址) 是否掌握賬本上某些幣的使用權限；

2 一組金額：我們需要確認賬戶的餘額是否足夠支付當前交易（用於檢查花費幣數量是不是小於等於賬戶擁有的幣的數量）；同時我們我們還要檢查同一份幣是否被使用兩次，即是否存在雙花問題（同一筆幣轉給不同的人，然後將交易信息發送給不同的節點進行驗證）。

2.2 主要的隱私問題

因此，隱私問題，可以細分爲四個：

1 發送者隱私；

2 接收者隱私；

3 賬戶餘額隱私；

4 交易內容隱私。

3、目前區塊鏈領域解決隱私問題有哪些工具？

區塊鏈領域用來解決隱私的工具可以分爲兩大類：

1 純軟件的方式：依託數學難題建立的一系列密碼學算法

2 軟硬結合的方式：主要是融合密碼學算法和 TEE(Trusted Execution Environment) 環境

軟件層面

主要是密碼學範疇，又可以分爲：

1 密碼學原型

2 密碼分析

3 對稱加密

4 非對稱加密

5 密碼協議

常見密碼學的分類

3.1 密碼分析

密碼分析是對加密信息進行破解，密碼學原型中的大質數分解問題和離散對數問題是對稱加密、非對稱加密、密碼協議的數論基礎。下面主要介紹對稱加密、非對稱加密、密碼協議這三類關於密碼學具體應用的類別。

大質數分解和離散對數對滿足下面的描述：簡單理解就是有個函數 y=f(x)，由 x 求 y 容易，由 y 反求 x 困難，y 可以理解爲公鑰、x 可以理解爲是私鑰，要注意的是由 y 反求 x 是困難而不是不可以求，想深入瞭解可以從陷門函數開始

3.2 對稱加密算法

簡單來說，加密和解密用的是同一個祕鑰，最主要的算法是 DES(Data Encryption Standard)，它是一種使用祕鑰加密的塊算法。DES 的主要過程是通過迭代的位運算完成加密的過程，細節不做展開。

3.3 非對稱加密算法

用戶擁有一個密鑰對，包含一個私鑰和一個公鑰。公鑰用來加密，私鑰用來解密，加密和解密的密鑰不同因此稱爲非對稱加密算法。

非對稱加密算法可以用密碼學原型中的兩類數學難題中的任何一類爲基礎生成一個密鑰對，RSA 是依託與大素數分解問題生成的一個非對稱加密算法，ECDSA 則是依託於離散對數問題生成的一個非對稱加密算法。

非對稱加密算法的核心過程就是基於數字簽名，下面會首先介紹下數字簽名及其分類，接着講解非對稱加密簽名的一般驗證過程，然後介紹基於 ECC 生成公鑰、私鑰的 ECDSA 簽名算法的驗證過程，最後介紹爲了保護簽名者隱私而使用的環簽名技術。

數字簽名

這是一種功能類似寫在紙上的普通簽名、但是使用了公鑰加密領域的技術，以用於鑑別數字信息的方法。一套數字簽名通常會定義兩種互補的運算，一個用於簽名，另一個用於驗證。依託簽名人數多少可以分爲兩個類別：單人簽名、多人簽名。

數字簽名的種類

一般數字簽名，也就是大家平常所說的數字簽名，使用單人簽名鑑定數字信息。

盲簽名 (Blind signatures)，消息的內容在簽名之前對簽名者是不可見的（盲化）。得到的盲簽名可以對原始的、非盲消息以常規數字簽名的方式公開驗證。盲簽名可以有效地保護隱私，其中籤名者和消息作者是不同的，用於包括電子選舉和數字現金的場景。

羣簽名 (Group signatures)，用戶代表羣簽名消息，並在該羣內保持匿名。也就是說，看到簽名的人可以用公鑰驗證該消息是由該羣成員發送的，但不知道是哪一個。可以用於大型組織機構的投票。

環簽名 (Ring signatures)，是羣簽名衍生出的一種簽名方式，在後面會詳細介紹。

非對稱加密中的簽名及驗證過程

假設場景是小 B 有 10 個 BTC，現在要給小 V 發送 4 個 BTC，小 B 的私鑰是 sk，公鑰是 pk

1 發送方生成信息

1）對「小 B 發送 4 個 BTC 給小 V」這條信息進行 Hash 運算生成信息摘要

2、小 B 用自己的私鑰 sk 對信息摘要進行加密生成密碼 (又叫做數字簽名)

3、小 B 將「小 B 發送 4 個 BTC 給小 V」、自己的公鑰 pk、密碼發送給驗證者

2 驗證者驗證

1）驗證者對收到的信息進行 hash 運算生成信息摘要 1

2）用小 B 公開的公鑰對密碼進行解密生成信息摘要 2

3）如果信息摘要 1 等於信息摘要 2，驗證者就可以確定這條信息是小 B 所發

上述過程能完成身份認證的原因是：

1）發送者身份確認。密碼能用小 B 的公鑰 pk 解密證明小 B 擁有和 pk 對應的私鑰 sk，因爲密碼是由私鑰 sk 加密而來的；

2）發送者發送內容確認。由小 B 的公鑰 pk 解密的密碼就是小 B 發送信息的 hash 值，如果和小 B 廣播信息的 hash 值相等則證明發送內容本身沒問題沒有被篡改過。

基於橢圓曲線 (ECC) 簽名算法

簡稱爲 ECDSA，非對稱加密中常用的簽名算法，驗證過程如下：

1 生成簽名：

2 驗證簽名：

3 原理如下：

環簽名

Ring Signature，數字簽名的一類，能保護簽名者隱私的同時，又可以讓驗證節點驗證簽名的正確性。

環簽名的流程（圖片來自網絡）

1 簽名過程 (可參考上圖理解)

2 驗證簽名：

3.4 密碼協議

根據業務場景需要對對稱加密和非對稱加密的技術進行融合衍生出的新的協議。

DH 協議/算法

全稱爲「Diffie-Hellman」，是一種確保共享信息 (祕鑰) 安全通過不安全網絡的方法，也就是常說的祕鑰一致性協議，可以做爲對稱加密算法共享密鑰的方法。

具體過程如下：

數字信封

數字信封是一種綜合利用了對稱加密技術和非對稱加密技術兩者優點進行信息安全傳輸的一種技術。簡單來說數字信封可以讓兩個人共享一個其他人不可見的信息。

通信過程如下所示：

1 發送方：

1、發送方生成對稱加密密鑰

2、用對稱密鑰對發送信息進行加密，生成信息密文

3、用接收者公開的公鑰對對稱加密密鑰進行加密，生成密鑰密文

4、信息密文、密鑰密文組合在一起稱爲數字信封，發送數字信封給接收者

2 接收方：

1、接收者收到數字信封后，用私鑰將密鑰密文解密獲得對稱加密密鑰

2、用對稱加密密鑰對信息密文進行解密獲得信息

3、發送方、接收方實現共享了一條其他人不可見的信息

3 總結：

可以發現發送方、接收方共享信息的關鍵是有一個對稱加密密鑰，一般用戶採用此種辦法通信在接收方解密對稱加密密鑰後可能出現信息泄露，這樣通信的隱私性就消失了。但 TEE 環境給瞭解密密鑰所需的足夠安全的環境，這樣數字信封和 TEE 結合就可以爲隱私計算中用戶和驗證者進行通信提供了一套可行的方案。

密碼學承諾

密碼學承諾是一個涉及兩方的二階段交互協議，雙方分別爲承諾方和接收方。

1 兩個階段：

第一階段爲承諾級階段，承諾方選擇一個消息，以密文的形式發送給接收方。

第二階段爲驗證階段，承諾方公開消息與生成密文時的相關參數，接收方用和發送方相同的辦法生成一份新的密文，兩份密文一致則證明承諾可靠，否則承諾不可靠。需要說明的是承諾可以理解爲只有加密過程沒有解密過程，在驗證階段要麼通過明文幾相關參數直接驗證，要麼通過構造零知識證明的方法在不泄露明文的情況下完成承諾驗證。

2 兩個性質：

密碼學承諾有兩個性質：隱藏性和綁定性。隱藏性是指承諾值 (密文) 不會泄露任何關於「消息」的信息；綁定性是指承諾方不能將承諾 (密文) 打開爲非原「消息」的其他消息且驗證通過。

3 三個類別

主要有三個類別：哈希承諾、Pederson 承諾、量子承諾。

【哈希承諾】：主要應用在隱私要求級別不高的場景中。如下載電影時，電影網站先計算一個要用下載電影的 hash 值傳給用戶，用戶現在完電影后在本地計算一個新的關於電影 hash 值，如果二者相等就證明下載的電影是完整的；

【Pederson 承諾】：在涉及到隱私的區塊鏈領域應用較多，後文會詳細介紹。

【量子承諾】：是爲了應對量子計算可能帶來對經典密碼學承諾的破解風險而尋找的新的承諾方案，目前處於研究的早期階段。

Perdeson 承諾

目前加密領域常用的承諾是 Pederson 承諾，大部分基於橢圓曲線 (EC)，下面介紹計算過程。

實際應用過程舉例如下：

假設小 B 有 10 個幣來自兩個 UTXO 記錄分別爲 3 個、7 個，需要轉 8 個給小 V 記爲 t，自己剩餘 2 個記爲 change，爲了簡單忽略礦工費用。

1 承諾生成：

2 驗證承諾

3 驗證者承諾驗證

3.4 零知識證明

是密碼協議的一類，簡單來說就是驗證者不需要知道被驗證者所掌握的信息的情況下確認清楚被驗證者確實有這個信息。本文不對零知識證明做展開。

軟硬結合層面

3.5 TEE

Trusted Execution Environment，可信執行環境，是 CPU 的一塊區域，可以簡單理解爲是一個幾乎不會攻破的計算黑匣子，在隱私計算都是密文的通信環境中，TEE 接受密文輸入、內部進行明文計算、計算完成後加密輸出。TEE 內部是明文計算，可以在保證計算效率的前提下完成隱私保護。輸入是密文因此需要 TEE 和通信的另一方 (用戶/節點等) 採用上面介紹的密鑰共享進行密鑰共享完成數據解密。TEE 實現隱私保護時需要軟件層面的密碼學算法做支持。

下面舉例說明區塊鏈中結合了 TEE 後的一次通信流程：

1 發送者：

1、發送者生成 DES 密鑰，並對交易信息進行加密

2、用 TEE 節點 (TEE 也有一個公鑰一個私鑰) 公佈出的公鑰對 DES 密鑰進行加密

3、交易信息簽名

4、交易密文、DES 密鑰密文、數字簽名形成的數字信封發送給 TEE 節點

2 TEE 節點：

1、TEE 用私鑰解密加密信息的 DES 密鑰

2、DES 密鑰解密信息

3、交易信息經驗證、計算、加密後輸出對賬本做更新

可以發現 TEE 節點公鑰加密的信息只有 TEE 節點可以揭祕。因此當進行隱私交易時，用戶只需把隱私信息通過 TEE 公鑰進行加密並通過數字信封和 TEE 節點進行信息交互就可以。

4、主要隱私項目用什麼工具來解決隱私問題？

從賬本底層邏輯上看，涉及到隱私的幾乎所有項目都採用了 UTXO 模型，儘管相比 UTXO 模型，賬戶模型有更好的編程性，但其和隱私的契合度要差很多。

從實現隱私的技術方案上看，項目團隊按各自的理解，有的運用軟件爲主的密碼學算法，有的用軟硬件結合的密碼學方案完成隱私項目構建。

下面分別從匿名幣、layer2 隱私方案、隱私公鏈及其他涉及到的隱私項目四個方面介紹各自的實現技術方案選擇及方案是如何做到隱私保護的。

4.1 匿名幣

匿名幣的主要作用是來完成交易功能本身的隱私，本身不具備可編程性，主要介紹 DASH、Monero、Zcash。

DASH

運用的主要技術是混幣 (coinjoin)，具體過程是：

1、混幣節點收集一段時間內的有轉賬需求的用戶的轉賬申請

2、將所有發送方的金額按標準數值進行拆分，基數是 0.001、0.001、0.01、0.01 等

3、將標準化的幣按發送方約定數量發送給接收方

可以看出，整個過程實現了發送方和接收方的隱私 (對混幣節點不匿名)，金額隱私、賬戶隱私並未做到。身份驗證、金額確認和雙花問題和無隱私功能的以太坊中用到的密碼學算法類似不做展開。

Monero

1 基本情況：

採用類似 BTC 的 UTXO 賬本模型，賬本中維護這兩個「表」(實際是兩棵默克爾樹)，一個包含了過去的輸入輸出變化，另一個包含了已經花費的 UTXO 的祕鑰鏡像。Monero 每個用戶有兩個密鑰對，一個叫做 secret spend key，主要用於解鎖屬於自己的未花費 UTXO，另一個叫做 secret view key 是發送方用來生成一次性公鑰和地址的。

2 轉賬過程：

3 實現效果：

發送者隱私、身份認證、交易內容隱私 (交易金額隱私)、金額確認；

發送者通過一次性私鑰進行環簽名，並通過 Pederson 承諾的方式提交轉賬信息，驗證者可以通過非對稱加密完成身份認證，並通過 Pederson 承諾的同態可加性+零知識進行範圍證明完成交易合法性認證。

4 雙花問題：

每一筆輸入被花費時，需要向賬本提交鑰匙鏡像，當同一筆輸入被進行多次花費時在達成共識階段只會接受部分合法轉賬。

Zcash

1 賬本結構：

Zcash 採用 UTXO 式的賬本結構，賬本中的每條輸入輸出記錄稱爲一條 note，一條 note 包含有如下的變量：

持有者的公鑰: a_pk，數量: v，代表 note 的代幣數值，隨機數: r1，隨機數: r2, 是每一條 note 的唯一標識。

當一條 note 被消費了之後，這個值會被放置到 Nullifier 表中，代表這條 note 已經被消費了。一條 note 通過向量的形式可以表示爲：note = <a_pk , v , r1 , r2>，每條 note 的向量表示形式如下表所示：

2 默克爾樹：

在 Zcash 的賬本同時還存在兩個「表格」(其實是兩棵默克爾樹)，分別是：Commitment 和 Nullifier。簡單展示如下表，第一列的 Hashed notes 就是 Commitment；第二列的 Nullifier set 就是 Nullifier。Commitment 存儲的是所有 note 的 hash 值，Nullifier 存儲的是已經被消費的 note 的 hash 值。假設下表是當前鏈上所有活動記錄：

可以看出，Nullifier Set 中記錄了 r22 的哈希值，表明 note2 已經被消費掉，不能在繼續進行使用。note1、 note3、note4、 note5 仍可繼續使用。

3 Zcash 密鑰系統：

Zcash 有兩套密鑰系統：Sprout 和 Sapling，Sapling 更復雜、隱私保護效果也更好，但爲了理解主要過程，就以 Sprout 密鑰系統爲例進行說明。

來源：Zcash 白皮書

上圖中的 Curve25519 是一種橢圓曲線 (ECC) 可以用來實現 ECDH。ECDH 是前面介紹的密鑰共享協議 DH 的一種實現方式。因此可以忽略上圖的具體加密算法細節，關注架構，其中：

上圖解釋了發送者在生成新的 note 後將使用權限通過鏈上發送給了接受者，具體過程如下：

下面以 Zcash 中 z-address 間隱私轉賬流程爲例說明 Zcash 如何實現隱私保護：

完成交易後表一的內容更新爲如下表所示：

上述過程中，Zcash 通過生成一次性地址實現了發送者、接收者隱私和賬戶隱私，通過非對稱加密實現了身份認證，通過 Pederson 承諾和零知識證明完成金額隱私、金額確認 (細節可參考 Pederson 承諾介紹部分)，通過賬本中存儲的 Nullifier 表結合共識過程解決了雙花問題，通過改進版的 DH 協議將新生成 note 的使用權限分享給接收方。

4.2 隱私公鏈

Secret network

1 基本情況：

1、在網絡中有非隱私交易和隱私交易兩種。非隱私交易和現在的公鏈交易類似；隱私交易在 TEE 環境中執行。

2、隱私幣 sToken 的交易信息、賬戶信息是以加密的形式存在鏈上，感覺是用 TEE 環境的公鑰加密的信息 (這部分未找到相關資料屬於推斷信息)，在當 TEE 環境需要隱私信息時從鏈上調用到環境內進行解密。

3、沒有生成過 sToken 的用戶只有一個密鑰對用來進行非隱私交易，生成後爲了能查看 sToken 餘額及和 TEE 環境進行通信完成隱私交易，本地錢包會給用戶新生成一個私鑰稱爲 viewing key。

2 交易流程：

1、用戶通過數字信封技術 (參考工具部分介紹) 和 TEE(驗證節點) 進行通信，通信內容是發送方、幣種、數量及接收方地址

2、TEE 通過非對稱加密技術驗證發送者身份，並通過調用加密賬本信息完成餘額確認

3、賬本共識

4、將共識後需要更新的賬本信息用 TEE 公鑰加密後存儲進加密賬本

5、轉賬完成，接收者可以通過 viewing key 查看自己的賬戶餘額信息

3 總結：

整個轉賬過程中，採用非對稱加密技術完成發送方身份確認；TEE 通過調用加密賬本信息完成餘額確認；共識過程解決雙花問題；外界只知道發送者和某個 sToken 發生了交互，但具體做什麼不清楚，因此保證了發送者、接收者隱私及交易金額隱私，用戶隱私賬戶中的餘額是加密的不對外可見的因此保證了賬戶隱私。

以太坊 layer2——Aztec

這是一個基於 zk-SNARK 的、支持隱私的以太坊 lyer2 方案，支持編程級隱私，賬本結構是 UTXO，賬本中包含兩個「表」，一個是所有 note 集合，一個是已花費 note 的集合，使用的編程語言比較特殊是 Nior。

下面主要介紹 Aztec 如何實現轉賬隱私的。

場景：小 B 有在以太坊上有 10 個 dai，需要轉移 8 個給小 V 自己剩餘 2 個，轉移完成後雙方各自退出資產回到以太坊，過程如下：

1、小 V 將以太坊上的 10 個 Dai 轉移到 Aztec 中，生成 zDai。這部分是公開的。

2、類似 Secret network 用會戶生成一個新的公鑰、私鑰對

3、小 V 生成 Pederson 承諾，並提交自己想花費 note 的 hash 和新生成 note 的哈希

4、驗證者通過 Pederson 承諾的同態可加特性及零知識證明完成對餘額的確認

5、更新賬本中的兩個「表」，完成 note 所有權轉移記錄

6、Aztec 將保密金額轉成公開金額，然後通過跨鏈橋退出資產

4.3 其他隱項目

前面的文章介紹的內容更多的是「賬戶級別的隱私」，即使在上述各種隱私技術的保護下也是可以監控到某筆交易的發起 IP。市場內實現 IP 級別隱私+區塊鏈的項目也在逐漸成熟，最具有代表性的就是 Nym，技術實現上可以簡單理解爲是暗網 (洋蔥網絡) 的架構加入了區塊鏈的激勵措施，基於區塊鏈的激勵機制使暗網進行 IP 匿名的混淆網絡節點更多、更健壯。