密碼學博士帶你了解「零知識證明」與「隱私幣」_SUTER:SHOOTER幣

「琬點聊」是Blocklike推出的線上直播系列欄目，每周我們都會邀請近期最「搞事情」的交易所、熱搜幣種、能聊熱點話題的大V進群分享討論。3月26日19:00，「琬點聊」第二十五期開播，本期主題為「密碼學博士帶你了解零知識證明與隱私幣」，本次直播由BlocklikeCEO小琬對話上海交通大學密碼學博士、SuterusuCTO林煌。林煌博士：SuterusuCTO，擁有上海交通大學的密碼學博士和佛羅里達大學的隱私保護分布式系統博士學位。曾在洛桑理工學院擔任博士后研究員，負責基因組數據保護和基于區塊鏈的數據貨幣化方面的應用密碼學研究。后任香港應用科技研究院副主任工程師，是若干區塊鏈項目的PI，負責架構及方案設計。曾在多個頂級IEEE期刊和密碼安全會議上發表二十幾篇論文，引用次數過1000。本次直播中，林煌帶我們進入了密碼學的世界，深入淺出地科普了關于隱私保護，零知識證明的原理，隱私幣的種類差異等等問題。以下為本期直播內容，由Blocklike編輯整理：小琬：近期主流社交媒體微博被爆出泄露用戶大量隱私，「有5.38億條微博用戶信息在暗網出售，其中，1.72億條有賬戶基本信息。涉及到的賬號信息包括用戶ID、賬號發布的微博數、粉絲數、關注數、性別、地理位置等」，此事在社會上引起了熱議。作為隱私保護方面的專家，您認為目前社會中存在的隱私泄露事件都是由哪些原因引起的？隱私泄露都有哪些路徑呢？林煌：導致隱私泄漏的原因可以從兩個角度分析：一個是系統在設計實現時存在的漏洞，另外是用戶在實際使用過程中的疏忽。比如這次微博隱私信息泄漏事件，我了解的情況是微博的訪問控制系統允許用戶使用本地手機通信錄來搜尋朋友手機號所使用的賬號。這個看似合理的訪問控制機制允許黑客利用這個漏洞，通過偽造本地手機通信錄來掃描賬戶所使用的手機號。這個算是系統設計時的疏忽導致的攻擊。另外一些實現方面的漏洞，比如很多安全系統用到密碼算法，而密碼算法的實現是很容易出問題，如前段時間轟動一時的針對openssl實現的heartbleed攻擊，還有針對各種系統漏洞的零日攻擊等等。在實際使用中也容易出現各種問題，比如用戶在選擇系統密碼時可能會選擇一些隨機性極弱的密碼，如123456等，這個黑客很容易就能猜出來，還有用戶為了記憶方便，可能在多個網站上使用相同的密碼，這也很容易導致黑客通過撞庫猜出對應的密碼。這些看起來似乎是個很常見很容易解決的問題，但在實際中確實屢見不鮮，甚至國家級的安全部門都會犯這種低級的錯誤，比如最近CIA的一個用于網絡攻擊的工具庫的泄漏也是由于管理員設置的密碼過于簡單，結果被人成功攻擊了。據報道，他們設置的密碼分別為123ABCdef和mysweetsummer，所以哪怕這些理應非常專業的部門也會犯這種非常低級的錯誤。另外很多時候黑客會使用各種malware來攻擊，比如給用戶發些附有malware鏈接的釣魚郵件等等，很多時候這種社會工程學的攻擊往往會利用一些人性的弱點，所以需要用戶隨時保持警惕才能防止這種攻擊。小琬：允許使用本地手機通信錄來搜尋朋友手機號應該是社交平臺必備的功能，是否都會存在比較大的信息泄露風險？畢竟連微博實力這么強的平臺都會有漏洞，更別提小軟件了。林煌：是的，所以很多時候系統設計時可能需要在系統的可用性和安全性之間做取舍。安全本質上是取舍的藝術。小琬：隱私的重要性不言而喻，對于大數據時代習慣了使用互聯網生產和生活的個人及組織更是如此，然而目前的現狀卻是大眾苦隱私泄露久矣卻多束手無策，在您看來，我們可以通過哪些門檻較低的方法來保護個人及組織的隱私？如果隱私已經泄露出去了，可以有哪些方法來及時止損呢？林煌：我覺得首先要防患于未然，也就是在系統設計實現這個階段要有專業人士參與，尤其是像密碼方案的設計和實現有很多需要注意的地方，比如要使用在實際中被反復測試過的密碼代碼庫等。這也是為何我們強調應該多支持密碼代碼庫的設計和實現，包括像Suterusu這種項目，因為安全可靠的密碼代碼庫需要出色的密碼學家和工程師通力合作，這需要有足夠的資源長期地支持才可能完成。另外，從用戶的角度講，要提高安全意識，養成良好的上網習慣，如果你嫌設置隨機性高的密碼使用起來過于麻煩，也可以用一些密碼管理器。當隱私信息泄漏時，比如微博上的賬戶密碼泄漏，應該及時地重置相關隱私信息。小琬：其實大家都會有意識的保護隱私，但有時候防不勝防。比如密碼的管理，安全和容易記憶也需要取舍。我也嘗試用過密碼管理器，不過比較擔心密碼管理器的安全。林博士覺得密碼管理器是否安全，有沒有推薦的比較安全的密碼管理器。林煌：其實還是有些簡單易用的密碼生成和記憶法的，也不一定非得用密碼管理器。我不使用密碼管理器的，可以給你推薦一種manuelblum，一個圖靈獎獲得者設計的一種隨機密碼生成法。這個基本思想是，你自己設計一個數學算法，將字母和數字對應。然后每次你用一個網站，你可以用該網站網址使用這個算法和數字對應，當然生成的密碼隨機性不一定足夠強，不過如果你的算法本身不泄漏的話，在實際中應該是夠用的。小琬：主打隱私保護的隱私幣作為一種特殊的幣種，在行業中熱度很高，您作為密碼學博士，是如何看待隱私幣的呢？不同的隱私幣有哪些區別？林煌：首先隱私幣是一個將理論密碼學應用于實際的非常棒的社會實驗。由于這些嘗試，零知識證明等非常艱深的密碼學概念才得以走出實驗室，為大眾所知。目前主流用到零知識證明的隱私幣主要包括zcash，門羅幣以及稍微小眾點的grin和beam。zcash所使用的零知識證明需要可信初始化，他允許攻擊者在無法被偵測到的情況下打印無限量的zcash，而門羅幣目前使用的環簽名方案雖然不需要可信初始化，但簽名大小還是和匿名集合線性相關，相對而言又不是那么scalable。grin和beam都是mimblewimble協議的實現，由于mimblewimble協議本身是在匿名性和scalability之間找tradeoff的方案，所以在隱私性上相對弱一些。另外上述幾種隱私幣幾乎都不支持智能合約。我們Suterusu項目提出的匿名支付方案允許我們的隱私保護區塊鏈協議在安全性和可擴展性之間獲得最佳均衡，即幾乎常數級別的證明大小且無需可信初始化。我們的匿名支付方案還支持智能合約平臺，因此能支持些更為復雜的金融科技方面的應用。如果大家有興趣了解更多關于隱私幣方面的區別，可以參考下我之前寫過的兩篇相關的文章：雜談去中心化隱私支付和介紹zcash和mimblewimble的文章。小琬：這里可能還需要您解釋一個概念：可信初始化。林煌：所謂的可信初始化是由于這種類型的零知識證明協議的初始化過程中涉及一些陷門知識，這種陷門知識好比數字簽名方案中的私鑰。在簽名方案中你的私鑰泄漏給攻擊者，那攻擊者可以生成合法的簽名而不被探測。在零知識證明方案中這種陷門知識泄漏則允許攻擊者生成合法的證明而不被探測。由于在實際中需要一個entity負責初始化過程，這種陷門知識必然為這個負責的entity所掌握，因此實際上這和去中心化支付的理念是背道而馳的，而且也是個巨大的安全隱患。盡管zcash試圖使用安全多方計算來解決這個問題，但安全多方計算還是有可能引入新的安全漏洞，而且攻擊者還是有可能成功攻擊這些多方計算的參與者，所以這不是徹底的解決方案，理想的零知識證明方案應該是無需可信初始化的。小琬：零知識證明被認為是保護數據隱私的一種優質方案，但其作為一種新型的科學技術，尚難以被大眾理解。作為零知識證明領域的前沿探索者，請您為大家深入淺出地講解一下零知識證明的原理。林煌：零知識證明其實可以看作一種加密的數學證明。當你讀完一個數學證明，正常情況下你應該有種在數學上功力見長的感覺，因為你掌握關于這個定理的新知識。而零知識證明則有所不同，他的目的不在于讓證明驗證者掌握新知識，他的核心目的是說服驗證者證明者懂得如何證明這個命題，或者更正式地說他掌握了使得命題成立所需的秘密，僅此而已。他不關心驗證者讀完證明后有沒有掌握新知識，事實上這里的零知識恰恰被定義成證明本身除了泄露一個事實：即證明者掌握了使得命題成立需要的秘密外，不泄漏其他任何信息。所以零知識證明的證明往往是以密文的形式出現，所謂密文你可以把他看作一堆亂碼。換句話說通過讀這些亂碼，就能相信命題成立，相信證明者懂得如何寫這個證明，但除此之外你一無所知。由于零知識證明本身是以亂碼的形式出現，這時候我們就得考慮一個問題，就是如果一個沒有掌握證明這個命題所需秘密的人，一個攻擊者渾水摸魚濫竽充數怎么辦？所以零知識證明的另外一個性質可靠性就變了非常有意義，他的目的就在于保證攻擊者在不掌握證明命題成立所需的知識或秘密情況下是無法偽造證明的。當然，零知識證明還得考慮完整性這個性質，我們這里暫時就不展開了。通俗地說，零知識證明可以看作數字簽名和加密兩種概念的推廣和結合。零知識這個性質其實和加密方案所需的保密性有一定對應關系的，加密方案的保密性能保證加密密文不泄漏所加密明文的任何有用信息。零知識這個性質在隱私幣中則通常用于保證隱私性。而可靠性則可以看作數字簽名方案的不可偽造性在通用命題中的一種推廣。在數字簽名方案中，一個沒有簽名密鑰的用戶是無法偽造簽名的，這就是所謂的不可偽造性。零知識證明的可靠性在隱私幣中往往用于保證只有用戶掌握隱私幣對應的秘密情況下才能成功花掉相應貨幣。小琬：中本聰在其短短9頁的比特幣白皮書中用了一整個章節討論比特幣的隱私問題，數字貨幣自誕生以來，圍繞著其產生的隱私安全問題就一直備受行業從業者的關注，請問在您看來零知識證明可以為數字貨幣的隱私安全提供哪些助力？林煌：零知識證明在保密支付中最簡單的應用就是用于證明當輸入和輸出金額以密文或數字承諾的形式出現時滿足balance的條件，即輸入金額之和等于輸出金額之和。由于密碼方案通常在有限域上進行，因此一個負數等價于一個很大的正數，往往需要使用區間證明來證明金額在合理的范圍之內。為了保證交易參與者的隱私，會使用到成員證明來隱藏交易發起者身份。另外，如果發送者需要給接受者加密一些信息，可能會使用零知識證明證明所加密內容的合法性。這些都是零知識證明在數字貨幣交易隱私方面所起的作用。近來，零知識證明在personaldatamonetization方面也出現了不錯的應用，比如basicattentiontoken項目最近使用零知識證明在保證用戶隱私的同時區分獲得token的是真正的用戶而非僵尸網絡，詳情請查我之前寫的介紹這個zk-sense項目的文章。這個既和basicattentiontoken這個數字貨幣有關，又和傳統互聯網經濟的新模式相關，非常有意思。另外，如果考慮數字貨幣的應用基礎設施的話，比如半去中心化的身份認證設施或者聯盟身份認證設施，由于涉及用戶身份隱私和可問責性，零知識證明也有用武之地。小琬：著重于隱私、分權及可擴展性的門羅幣是最早的也是最熱門的隱私幣種之一，有非常多的用戶持有并且使用它，請問您對門羅幣的評價是？林煌：門羅幣在社區方面做得很不錯，但就像我上面提過的那樣，在scalability和效率上其實還有很大的提高空間，另外，門羅幣本身是不支持智能合約的。相比之下，我們Suterusu的方案在安全性上不遜色于門羅幣，在scalability上比他們更有優勢，且支持智能合約。小琬：目前全球對于數據與隱私安全間的政策尚不明朗，很多留存在互聯網中的隱私正在被當做是免費的數據在使用，有觀點認為數據的「隱私」邊界不在該不該發現和匯集一些必要的信息，而在于后續，這些信息如何被保存、管理、分析和使用。請問在您看來，數據的監管與「隱私」邊界在哪？林煌：這種觀點可能未必準確，我認為保護數據的隱私必須從數據源頭做起，我們知道系統的安全程度取決于系統中最弱的一環。而很多時候，數據系統最弱的一環可能就恰恰在數據的源頭，目前隱私系統設計的一些新理念包括bringapplicationtodata事實上也和這個前提密切相關的。近年來隱私數據監管方面的進展是有目共睹的，這包括歐洲的一般數據保護法和美國加州最近公布的消費者隱私法。這些法規對商家monetize用戶數據的過程提出了很多要求。比如CCPA明確指出：用戶個人信息如果被用于所知會的不同目的，商家必須提前告知并征得用戶同意才行。再比如，商家如果提供金融激勵來購買用戶隱私數據時，必須明確說明估算用戶數據價值的具體方法。在法規上逐漸明確地定義用戶對個人數據的所有權和控制權是件好事，但法規沒有技術的配合是行不通的。未來隨著個人數據主權的建立以及personaldatamonetization框架的建立我相信密碼技術會在這個過程中起到至關重要的作用。這里可能包括從在多方數據分享時可能用到的多方計算技術，為了保證多方計算過程的計算可靠性會用到的零知識證明技術，比如為了給隱私數據合理定價設計的隱私保護的數據定價技術，甚至可以想象將來由于用戶數據對于不同的買家的價值不同而導致價格不同，也許智能合約也可以用于自動化這種monetization過程。小琬：您在Suterusu擔任CTO，這個項目在應用路徑上跟其他隱私幣的差別在哪里?林煌：我們設想的Suterusu的應用場景主要有以下幾種：匿名交易，關于數字貨幣的匿名化要求將越來越強，Suterusu作為一個隱私保護二層協議將為其他主流數字貨幣提供匿名化服務。另外，我們也會考慮提供可控匿名的模塊，從而滿足用戶對合規化方面的要求。由于suter提供了智能合約功能，可以通過智能合約自動化實現合規請求。另外一個應用場景是零知識身份證明，現在一個網站的注冊用戶登錄時幾乎都要向網站管理員泄漏自己的身份，通過在身份認證過程中引入零知識成員證明有可能在滿足身份認證要求同時還能保護用戶隱私。此外，我們也在研究使用零知識證明來提高區塊鏈系統的scalability。目前比如zk-rollup還有coda的思路都是使用零知識證明來提高區塊鏈的scalability，但它們多多少少都存在一些安全隱患。比如幫助生成零知識證明的operator有可能被dos攻擊等，所以，這方面也是我們研究努力的方向。

上海市數據隱私安全計算企業重點實驗室參與完成論文被密碼學頂級會議PKC收錄:近日，上海市數據隱私安全計算企業重點實驗室謝翔博士聯合香港大學學者共同合作的論文《Compact Zero-Knowledge Proofs for Threshold ECDSA with Trustless Setup》被公鑰密碼學領域國際頂級會議PKC 2021錄用，該會議將在北京時間2021年5月9日至13日于線上舉行。PKC是國際密碼學會（IACR）主辦的專注于公鑰密碼學方向的旗艦會議，每一年舉辦一次，今年是第24屆，該會議一直是學術界和工業界共同關注的焦點。

本次上海市數據隱私安全計算企業重點實驗室參與完成的論文亮點在于零知識證明（ZKP）方向的研究。在理論層面，我們提出的零知識證明包括HSM群中的離散對數關系和Castagnos-Laguillaumie（CL）密文的格式良好性。在實際應用層面，我們利用零知識證明改進了兩方ECDSA和門限ECDSA的性能。

上海市數據隱私安全計算企業重點實驗室以矩陣元科研中堅力量為基礎，匯集國內密碼學專家、學者組建而成。研究內容為針對數據融合與協同計算基礎設施建設過程中保護數據安全與隱私的基礎理論技術。[2021/4/7 19:55:55]

動態 | 1999年的密碼學難題被解開，證明被存儲在BTC和BCH區塊鏈上:據bitcoin.com報道，1999年4月，麻省理工學院（MIT）的密碼學家設想了一個預計需要35年才能解決的難題。上個月，自學成才的程序員Bernard Fabrot透露已經破解了該難題。Fabrot的證明過程已于4月20日被標記并儲存在BCH區塊鏈上，并已在此后5天被儲存在BTC區塊鏈上。此后Antpool礦池還在Coinbase的數據中為573138區塊添加了祝賀信息。[2019/5/18]

聲音 | 上海交通大學來學嘉：區塊鏈為密碼學創造了價值:據巴比特消息，上海交通大學教授來學嘉在接受采訪時提到了區塊鏈對密碼學的兩大貢獻。第一大貢獻是為抗抵賴、抗捏造提供了完整的解決方案。區塊鏈能做到抗抵賴，是因為區塊鏈本身就是第三方，參與者自覺服從，數字簽名為抗抵賴提供證據。另外，他還指出了區塊鏈對密碼學的另一個貢獻——區塊鏈為密碼學創造了價值，過去的密碼學是“賠錢”的，因為要用于保護信息系統的安全，增加了開銷；有了區塊鏈后，現在的密碼學是“值錢”的，因為密碼算法的計算結果（coin）具有價值，另外算法本身也具有價值，比如勒索軟件，你要付錢才能解開。[2019/2/25]

金色財經現場報道 現代密碼學之父：近幾年是密碼學的又一次復興:金色財經現場報道，今日在Coindesk 2018共識會議上，現代密碼學之父，圖靈獎得主，Cryptic Labs首席科學家Whitfield Diffie表示，最近幾年是密碼學的又一次復興，區塊鏈是密碼學方面的重新對焦。他表示喜歡“引入市場力量”的說法， 從市場力量的角度看待密碼學的發展可能是最好的。Diffie還稱贊了比特幣創始人Satoshi，他說：“多年來密碼學領域的許多人都想到如何發展金錢技術，在Satoshi之前沒有人取得成功。”[2018/5/15]

密碼學之父：不管每個人擁有多少的財富都會想要去貢獻自己所擁有的價值:在2018分散經濟討論會上， 密碼學之父David Chaum發表演講稱，不管每個人擁有多少的財富都會想要去貢獻自己所擁有的價值。盲簽名是一種只需要數字就能收款的具有革新價值的想法，類似于比特幣和以太幣等虛擬貨幣，以區塊鏈為基礎的技術可以確保收款人和匯款人的匿名性，加密學幫助了人們的日常生活，希望日后可以共享、分享信息，更進一步可以直接以民主的方式開創可能性。[2018/4/3]

Tags：區塊鏈SUTERTERSUT區塊鏈域名價格排行suter幣價格SHOOTER幣suter幣做什么的

比特幣交易所