Vitalik Buterin：隱身地址的不完全指南_ALICE:ALI

原文作者：VitalikButerin

原文編譯：DeFi之道

特別感謝BenDiFrancesco、MattSolomon、ToniWahrst?tter和AntonioSanso的反饋和審閱。

以太坊生態系統中剩下的最大挑戰之一是隱私。默認情況下，進入公共區塊鏈的任何內容都是公開的。越來越多地，這不僅意味著金錢和金融交易，還意味著ENS域名、POAP、NFT、靈魂綁定代幣等等。在實踐中，使用整套以太坊應用程序涉及將你生活的重要部分公開給任何人查看和分析。

如何改善這種狀況已經成為一個重要的問題，這一點已得到廣泛認可。然而，到目前為止，關于改善隱私的討論主要圍繞一個特定的用例：ETH和主流ERC?20代幣的隱私保護轉移。這篇文章將描述一種不同類別的工具的機制和用例，這些工具可以在許多其他情況下改善以太坊的隱私狀態：隱身地址。

什么是隱身地址系統？

假設Alice想給Bob一個資產。這可能是一定數量的加密貨幣，也可能是一個NFT。當Bob收到資產時，他不想讓全世界都知道是他得到的。想要隱藏一筆轉賬發生的事實是不可能的，特別是如果它是一個鏈上只有一個副本的NFT，但隱藏誰是接收者可能更可行。Alice和Bob也很懶惰：他們想要一個支付流程與今天完全相同的系統。Bob向Alice發送某種“地址”編碼，編碼某人如何向他付款，僅此信息就足以讓Alice向他發送資產。

請注意，這與TornadoCash等工具提供的隱私不同。TornadoCash可以隱藏ETH或主要的ERC?20代幣等主流可替代資產的轉賬，但它在為不知名的ERC?20轉賬添加隱私方面非常薄弱，并且它無法為NFT轉賬添加隱私。

使用加密貨幣進行支付的普通工作流程。我們想增加隱私，但保持工作流程不變。

VitaDAO完成410萬美元融資，輝瑞風投部門Pfizer Ventures等參投:1月30日消息，去中心化自治組織VitaDAO完成410萬美元融資，輝瑞的風投部門Pfizer Ventures、Shine Capital、L1 Digital、Balaji Srinivasan等參投。

這是輝瑞在web3領域的第一筆投資，該公司通過特殊目的工具持有Vita治理代幣，甚至參與了治理提案。該輪融資的消息是在輝瑞先前宣布向VitaDAO提供500,000美元的承諾之后發布的。

VitaDAO資助的項目主要關注長壽和衰老過程，支持了生產mRNA藥物的斯坦福大學分拆公司 Turn Biotechnologies，以及哥本哈根大學一項關于了解藥物對衰老過程影響的研究。

VitaDAO旨在利用這筆資金進一步資助長壽研究項目和將于明年從DAO中剝離出來的生物技術初創公司。（TheBlock）[2023/1/30 11:36:40]

隱身地址提供了這樣的方案。隱身地址是可以由Alice或Bob生成的地址，但只能由Bob控制。Bob生成并保密一個支出密鑰，并使用該密鑰生成一個隱形元地址。他將這個元地址傳遞給Alice。Alice可以對該元地址執行計算以生成屬于Bob的隱形地址。然后她可以將她想發送的任何資產發送到這個地址，Bob將完全控制這些資產。隨著轉移，她在鏈上發布了一些額外的加密數據，幫助Bob發現這個地址屬于他。

另一種方式是：隱身地址提供與Bob相同的隱私屬性，為每筆交易生成一個新地址，但不需要Bob的任何交互。

隱身地址方案的完整工作流程如下所示：

?1.Bob生成他的根支出密鑰(m)和隱形元地址(M)。

?2.Bob添加一條ENS記錄以將M注冊為bob.eth的隱形元地址。

Vitalik Buterin：中心化的任何東西都是有風險的:金色財經報道，以太坊創始人Vitalik Buterin在社交媒體上稱，“默認情況下，中心化的任何東西都是有風險的，使用“DeFi和自我托管的精神”在本周表現非常好，但請記住它也有風險，智能合約代碼中的錯誤。”

Vitalik表示“重要的是要防范它，保持代碼簡單、審計、形式驗證等、深度防御。我最擔心的是，如果我們在兩年后的ZK-rollup中擁有100億美元，并且由于電路約束代碼或其周圍的EVM封裝器中的錯誤而被黑掉。對于后者，保持簡單并進行形式驗證。”[2022/11/16 13:13:32]

3.我們假設Alice知道Bob是bob.eth。Alice在ENS上查找他的隱身元地址M。

?4.Alice生成一個只有她知道的臨時密鑰，并且她只使用一次。

?5.Alice使用一種算法，將她的臨時密鑰和Bob的元地址結合起來生成一個隱身地址。她現在可以將資產發送到這個地址。

?6.Alice還生成了她的臨時公鑰，并將其發布到臨時公鑰注冊表。?

7.為了讓Bob發現屬于他的隱身地址，Bob需要掃描臨時公鑰注冊表以查找自上次掃描以來任何人出于任何原因發布的整個臨時公鑰列表。?

8.對于每個臨時公鑰，Bob嘗試將其與他的根支出密鑰結合起來生成一個隱形地址，并檢查該地址中是否有任何資產。如果有，Bob計算該地址的支出密鑰并記住它。

這一切都依賴于密碼欺騙的兩種用途。首先，我們需要一對算法來生成共享秘密：一個算法使用Alice的秘密事物和Bob的公開事物，另一個算法使用Bob的秘密事物)和Alice的公開事物。這可以通過多種方式完成；Diffie-Hellman密鑰交換是建立現代密碼學領域的成果之一，它也正是實現了這一點。

Vitalik 提出基于 Truebit 搭建 EVM Optimistic Rollup 的方案:5月2日，以太坊創始人 Vitalik Buterin 在以太坊研究論壇中提出，可基于交互式驗證協議 Truebit 搭建以太坊二層擴容方案 Optimistic Rollup 以解決重復驗證問題，并給出了基本方案。

Truebit 可以使智能合約以標準的程序語言安全地執行復雜的計算從而降低 gas 費用，該協議已于 4 月 21 日上線以太坊主網。[2021/5/2 21:17:41]

但是僅共享秘密是不夠的：如果我們只是從共享秘密生成一個私鑰，那么Alice和Bob都可以從這個地址消費。我們可以就此打住，讓Bob將資金轉移到新地址，但這樣做效率低下并且不必要地降低了安全性。所以我們還添加了一個密鑰盲化機制：一對算法，Bob可以將共享秘密與他的根支出密鑰結合起來，Alice可以將共享秘密與Bob的元地址結合起來，這樣Alice就可以生成隱身地址，并且Bob可以為該隱身地址生成支出密鑰，所有這些都無需在隱身地址和Bob的元地址之間創建公共鏈接。

使用橢圓曲線密碼術的隱身地址

使用橢圓曲線密碼術的隱身地址最初是由PeterTodd于2014年在比特幣的背景下引入的。該技術的工作原理如下：

?Bob生成一個密鑰m，并計算M=G*m，其中G是橢圓曲線的共同商定生成點。隱形元地址是M的編碼。

?Alice生成一個臨時密鑰r，并發布臨時公鑰R=G*r。

?Alice可以計算出一個共享秘密S=M*r，而Bob可以計算出相同的共享秘密S=m*R。

?一般來說，在比特幣和以太坊中，地址是包含用于驗證來自該地址的交易的公鑰的哈希。因此，如果您計算公鑰，就可以計算地址。為了計算公鑰，Alice或Bob可以計算P=MG*hash(S)

Gravitation-X創始人Jakies：數字支付可有效解決跨境支付難題:Gravitation-X創始人Jakies在剛剛的金色財經直播間中表示：目前，傳統的跨境支付方式有較長的清算時間，手續費較高，有時跨境支付欺詐會帶來跨境資金風險。通過Gravitation-X技術創建點對點支付方式，促進跨境業務發展。會大幅度提高效率。[2020/5/2]

?為了計算該地址的私鑰，Bob可以計算p=mhash(S)這滿足了我們上面的所有要求，而且非常簡單！

今天甚至有一個EIP試圖為以太坊定義一個隱身地址標準，它既支持這種方法，又為用戶提供了開發其他方法的空間。現在你可能會想：隱身地址并不難，理論已經扎實，采用只是一個實現細節。然而，問題在于，真正有效的實施需要通過一些相當大的實施細節。

隱身地址和支付交易費用

假設有人給你發了一個NFT。考慮到您的隱私，他們會將其發送到您控制的一個隱身地址。掃描鏈上的ephem公鑰后，您的錢包會自動發現該地址。您現在可以自由證明這個NFT的所有權或將其轉讓給其他人。但是有一個問題！該帳戶中的ETH為0?，因此無法支付交易費用。即使是ERC-4337代幣付款人也不會工作，因為它們只適用于可替代的ERC?20代幣。而且你不能從你的主錢包向它發送ETH，因為那樣你就創建了一個公開可見的鏈接。

插入2017年加密騙局人物的模因是作家可以用來表示博學和受人尊敬的一項重要技術，因為這表明他們已經入圈很長時間并且品味高雅，并且不容易被像SBF這樣的人所騙。

有一種“簡單”的方法可以解決這個問題：只需使用ZK-SNARKs轉移資金來支付費用！但是這樣會消耗大量的?gas，單次轉賬就多了幾十萬gas。

另一種聰明的方法涉及信任專門的交易聚合器。這些聚合器將允許用戶支付一次以購買一組可用于支付鏈上交易的“票”。當用戶需要在一個不包含任何其他內容的隱身地址中花費NFT時，他們會向聚合器提供其中一張票，使用Chaumian盲化方案進行編碼。這是在1980年代和1990年代提出的中心化隱私保護電子現金方案中使用的原始協議。搜索者接受“票”，并重復將交易免費包含在他們的捆綁包中，直到交易在一個區塊中被成功接受。由于涉及的資金量少，而且只能用于支付交易手續費，因此信任和監管問題遠低于“完全”實施這種中心化隱私保護電子現金。

動態 | V神（Vitlalik Buterin）提出改善交易費市場建議 :在日前發表的一篇論文中，以太坊（Etalum）創始人VitalikButerin概述了現行制度的問題，即加密礦工的工作補償，以及如何改進這一過程。[2018/7/4]

隱身地址和分離支出和查看密鑰

假設Bob不是只有一個可以做所有事情的主“根支出密鑰”，而是想要一個單獨的根支出密鑰和查看密鑰。查看密鑰可以看到Bob的所有隱形地址，但不能從中花費。

在橢圓曲線世界中，這可以使用一個非常簡單的密碼技巧來解決：

?Bob的元地址M現在的形式為(K,V)，編碼為G*k和G*v，其中k是支出密鑰，v是查看密鑰。

?共享秘密現在是S=V*r=v*R，其中r仍然是Alice的臨時密鑰，R仍然是Alice發布的臨時公鑰。

?隱身地址的公鑰是P=KG*hash(S)，私鑰是p=khash(S)。

請注意，第一個聰明的加密步驟使用查看密鑰，第二個聰明的加密步驟使用根支出密鑰。

這有很多用例。例如，如果Bob想要接收POAP，那么Bob可以給他的POAP錢包他的查看密鑰來掃描鏈并查看他的所有POAP，而不需要給這個界面花費那些POAP?的權力。

隱身地址和更容易掃描

為了更容易地掃描整個臨時公鑰集，一種技術是向每個臨時公鑰添加一個視圖標簽。在上述機制中執行此操作的一種方法是使視圖標簽成為共享秘密的一個字節。

這樣，Bob只需要為每個臨時公鑰執行一次橢圓曲線乘法來計算共享秘密，而Bob需要進行更復雜的計算以生成和檢查完整地址的時間只有1/256?。

隱身地址和抗量子安全

上面的方案依賴于橢圓曲線，它很好，但不幸的是容易受到量子計算機的攻擊。如果量子計算機成為一個問題，我們將需要切換到抗量子算法。有兩個自然的候選者：橢圓曲線同源和格。

橢圓曲線同源是一種非常不同的基于橢圓曲線的數學構造，它具有線性特性，可以讓我們使用與上面所做的類似的密碼技巧，但巧妙地避免了構造可能容易受到量子計算機離散對數攻擊的循環群。

基于同源性的密碼學的主要弱點是其高度復雜的底層數學，以及在這種復雜性下隱藏可能的攻擊的風險。去年，一些基于同種基因的協議被攻破，但其他協議仍然安全。同源性的主要優勢是相對較小的密鑰大小，以及直接移植多種基于橢圓曲線的方法的能力。

CSIDH中的3-同源性，來源在這里。

格是一種非常不同的密碼結構，它依賴于比橢圓曲線同構簡單得多的數學，并且能夠完成一些非常強大的事情）。隱形地址方案可以建立在格上，盡管設計最好的方案是一個懸而未決的問題。然而，基于格的結構往往具有更大的密鑰大小。

全同態加密，這是格的一種應用。FHE還可以用于以不同的方式幫助隱形地址協議：幫助Bob外包檢查整個鏈中是否包含資產的隱形地址的計算，而無需透露他的視圖密鑰。

第三種方法是從通用黑盒原語構建隱身地址方案：許多人出于其他原因需要的基本成分。該方案的共享秘密生成部分直接映射到密鑰交換，這是公鑰加密系統中的一個重要組成部分。更難的部分是讓Alice只生成隱形地址并讓Bob生成支出密鑰的并行算法。

不幸的是，您無法使用比構建公鑰加密系統所需的成分更簡單的成分來構建隱形地址。有一個簡單的證明：你可以用一個隱蔽的地址方案構建一個公鑰加密系統。如果Alice想給Bob加密一條消息，她可以發送N筆交易，每筆交易要么發往Bob的一個隱身地址，要么發往一個屬于她自己的隱身地址，Bob可以看到他收到了哪些交易來讀取消息。這很重要，因為有數學證明你不能只用哈希來做公鑰加密，而你可以只用哈希來做零知識證明——因此，隱形地址不能只用哈希來完成。

這是一種確實使用相對簡單成分的方法：零知識證明，可以由哈希和公鑰加密組成。Bob的元地址是一個公開的加密密鑰加上一個哈希h=hash(x)，他的支出密鑰是對應的解密密鑰加上x。為了創建一個隱身地址，Alice生成一個值c，并將Bob可讀的c加密作為她的臨時公鑰發布。地址本身是一個ERC-4337帳戶，其代碼通過要求交易提供零知識證明來驗證交易，證明值x和c的所有權，使得k=hash(hash(x),c)。知道x和c，Bob可以自己重建地址及其代碼。

c的加密不會告訴Bob任何其他人任何信息，而且k是一個哈希，因此它幾乎不會透露任何關于c的信息。錢包代碼本身只包含k，c是私有的，意味著k無法追溯到h。

然而，這需要一個STARK，而STARK很大。最終，我認為后量子以太坊世界很可能會涉及許多應用程序使用許多Stark，因此我提倡像此處描述的聚合協議將所有這些STARK組合成一個遞歸STARK以節省空間。

隱身地址和社交恢復以及多L2錢包

很長一段時間以來，我一直是社交恢復錢包的粉絲：具有多重簽名機制的錢包，其密鑰在機構、您的其他設備和您的朋友之間共享，其中一些絕大多數密鑰可以恢復對您帳戶的訪問，除非您丟失主秘鑰。

然而，社交恢復錢包不能很好地與隱身地址混合：如果你必須恢復你的賬戶，你還必須執行一些步驟來改變你的N個隱身錢包的賬戶驗證邏輯，這將需要N筆交易，以高昂的費用、便利性和隱私成本為代價。

社交恢復和多個第2層協議的世界的相互作用也存在類似的擔憂：如果你在Optimism、Arbitrum、Starknet、Scroll、Polygon有賬戶，并且可能其中一些rollups上出于擴展原因有十幾個并行實例，并且您在每個實例上都有一個帳戶，那么更改密鑰可能是一個非常復雜的操作。

更改多個鏈中多個帳戶的密鑰是一項巨大的工作。

一種方法是硬著頭皮接受恢復是罕見的，而且代價高昂和痛苦是可以接受的。也許您可以使用一些自動化軟件在兩周的時間跨度內以隨機間隔將資產轉移到新的隱蔽地址，以降低基于時間的鏈接的有效性。但這遠非完美。另一種方法是在監護人之間秘密共享根密鑰，而不是使用智能合約恢復。但是，這會消除停用監護人幫助恢復您帳戶的權力的能力，因此存在長期風險。

一種更復雜的方法涉及零知識證明。考慮上面基于ZKP的方案，但修改邏輯如下。賬戶不是直接持有k=hash(hash(x),c)，而是持有鏈上k位置的承諾。從該賬戶支出然后需要提供一個零知識證明你知道鏈上與該承諾匹配的位置，以及該位置的對象包含一些值k，并且你有一些值x和c滿足k=hash(hash(x),c)。

這允許許多帳戶，甚至跨越許多第2層協議，在某處由單個k值控制，其中更改一個值足以更改所有帳戶的所有權，所有這些都不會泄露您的帳戶之間的聯系。

結論

基本的隱身地址今天可以相當快地實施，并且可以顯著提高以太坊上的實際用戶隱私。他們確實需要在錢包方面做一些工作來支持他們。也就是說，我認為出于其他與隱私相關的原因，錢包應該開始轉向更原生的多地址模型。

然而，隱身地址確實會帶來一些長期的可用性問題，例如社交恢復的困難。現在可以簡單地接受這些擔憂，例如。通過接受社交恢復將涉及隱私的喪失或延遲兩周以緩慢地將恢復交易發布到各種資產。從長遠來看，這些問題是可以解決的，但從長遠來看，隱身地址生態系統看起來確實嚴重依賴于零知識證明。

Tags：BOBALILICALICEBOBARAGalileo Protocolsiliconvalleychainalice幣創始人

比特幣交易所