大约 14 年前推出的比特币通过消除中介机构彻底改变了金融交易。以太坊和智能合约的出现进一步加速了这一趋势，消除了交易、借贷和期权等复杂金融产品的中介机构。然而，消除中介的代价往往是牺牲隐私。我们的链上身份和交易很容易被中心化交易所、上下坡道、链上分析公司和许多其他实体跟踪。这种链上透明度限制了 Web 3 向许多用例的扩展，例如企业支付、专有链上交易和许多其他应用程序。
这个问题并不新鲜C N / d B – ] !，许多项目（例如 zP ( P }Cash）自 2016 年以来一直试图通过引入零知识证明（ZKP）等技术来解决该问题。从那时起，ZK 技术就以疯狂的速度发展。此外，许多其w i A ; G } l ~他技术，例如完全同态加密（FHE）和安全多方计算（MPC）正在兴起，以解决使用链上私有数据（又称私有状态）的更复杂的场景。
在 Alliance，我们相信链上隐私将实现以前不可能的用例，因此将成为未来几年 Web 3 的核心主题。如果您是构建隐私基础设施或需要私有状态的应用p F W # d K 2 h X程序的创始人，我们愿意为您提供支持。您可以联系^ @ ( Y = . H @ v联盟并申请。
不同类型的私有状态
在链上使用私有数据自然意味着该数据是加密的。该数据的隐私取决于加密/解密密钥的所有权。该密钥（即隐私密y 3 ( ] 7钥）通常不同于常规的私钥（即签署交易的密钥）O W ~ t m – Z z。第一个仅控制数据的隐私，后者控制更改此数据。
隐私密钥的所有权性质导致了不同类型的私有状态。私有状态类型显着影响该状态在链上的表示方式以及? M j –处理该状态的最佳方法。一般来说私有状态可以分为个人私有状态（PPS）和共享私有状态（SPS）
个人私有状态
这意味着数据/状态由单个实体拥有，并且只有该实体可以查看或更改它。该实体还可以决定允许其他人查看该数据，例如通/ P k _ ! l i | d过共享该数据的全部或部分的查看密钥。这种私有状态的例子包括：
私人代币余额
私人凭证或个人信息。这包括年龄、公民身份、投资者认证状态、Twitter 帐户或可在 Web 3 中使用的任何其他 Web 2 数据
私人交易历史
共享私有状态
共享私有状态 (SPS) 是多人可以在不破坏隐私的情况下更改/使用进行计算的私有数据。 SPS 可以是任何人都可以访问的状态，因此任何用户都可以更改。这可以是暗池 AM} $ s I V J C d VM 的状态、民间借贷池的状态等。SPS 也可以仅限于能够访问或更改数据的一小部分参与者。后者的示例包括链上G L J W ~多人游戏的状态，其中您只允许活跃玩家更改状态。它还可以@ r E 6包括链上人工智能模型的私有输入，其中只有少数实体Q s a O = 6 e !（例如模型操作员）可以对私有数据运行计算。
SPS 比个人私有状态更难管理。推断可以& s 4 M在 SPS 上执行的计算类型以及该C : p k计算是否会泄漏有关它的信息总是比较困难。例如，针对暗池 AMM 执行交易可能会泄露一些有关池内流动性的信息。
第一种处理链上隐私的方法是利用 ZKP。这种方式g y M 2 s C b特别适合个人私有数据。在这种Z L T v J ( D方法t 2 N中，数据的所有者可以简单地使用他们的隐私密钥在本地解密数据，进行任何所需的更改，使用他们的密钥加密结果，f w y u c 2 T \ w最后生成一个 ZKP 来向网络证明他们对私有状态的更改是有效的。
这使得 ZK 特别适合支: A . i k – l J ?付网络，例如 zCasy + ` Kh、Iron Fish 等。在这些架构中，当用户使用私有资产进行交易时，他们在本地进行所有计算，( k l * 4 u 8 $即花费 UTXO 并为接收者创建新的 UTXO，并修改其私有代币余额。由于计算和 ZKP 生成在用户设备本地进行，因此余额和交易历史记录的隐私受到保护。网络矿工只能看到生成的 ZKP 和新Z g i =的加密 UTXO。
尽管执行支x [ C D + 5 r s付所需的计算很简单，但由于 ZKP 生成时间较长，私人支付的用户体验很困难。然而，随着 zk 证明系统的显着改进，消费类硬件上简单支付的证明生成时间降至 1 秒以下。这也允许将通用可编程性引入基于 zk 的系统。Aztec和Aleo是两个伟大的网络，它们c ? R Z (为基于 zkY 3 ) O ] 的链带来了通用# n \ . x =可编程性。 Aztec 和 Aleo 有一些差异，但两者很大程度上都是基于ZEXE 模型。在此模型中，每个应用程序都必须实现为 zk 电路。这就需要网络为应用程序开发人员和用户抽象 zk 复杂性。这需要创建高级编程语言，例如 Noir (Aztec) 和 Leo (Aleo)，它们可以有效地# l 2 h d { V \将高级代码转换为 zk 电路。
例如，Aztec 使用 Noir 及其相关的智能合约开发框架Aztec.nr将每个智能合约分解为一组函数。每个功能都作为 zk 电路实现。用户a C W n g ? %可以通过下载必要的函数并在设备本地执行计算来对其私有数据进行通用计算。本线程讨论了 Aztec 智能合约如何执行2 p s的详细信息。
像 Aztec! ^ / Z ( k s V 这样的实现通过引入通用可编程性显着提高了 zc p 4 n ; :k 系统的可用性。然而，此类系统仍然面临一些挑战：
任何基于私有状态的计算都必须在客户端进行。这会降低用户体验，并要求} s J s K 0用户拥有有能力的设备才能使用网络。
zk 方法不适合处理共享私有状态。默认情况下，所有应用程序都具有公共状态。~ U / [ | I 6 ? A这使得构建信息不完整的游戏和私人 DeFi 等应用程序变得具有挑战性。
一个相关的例子是允许具有一定资格的人匿名参与 DAO 或对需要特定专业知识的主题进行匿U F e $ m C i V名投, [ Z f 3 &票。HeyAnoun就是一个 WeV 5 v Z 6 s @b 3 示例。更大的应用领域是利用 IRL 凭证（例如 IRL 财富、学位）来匿名参与链上协议。在链上加入私人 IRL 凭证可以实现多种用例，例如无抵押 DeFi 贷款g K i B & ( k /、链上 KYC 或地理门控。 ZK 适合这些用例，因为它允许存在可用于特定情况（例如贷款违约）的私C s r T G有O l ~ O A I * v状态部分的专用查看密钥。
将 IRL 凭证添加到链上的主要挑战是如何保证 IRL 凭证/数据的真实性。zkEmail和TLSNotary等一些方法通过验证特定 Web 域的 Web 流量以及h 4 i q I p y a Q该域包含所需数据来解决此问题。
企业发票/付款
私人支付的一个重要子集是企业支付。公司通常不想透露其业务合作伙伴/供应商或其y & v z B L协议的合同条款。链上支付的透明度限制了企业采用d Y f ) ~ P +稳定币支付。有了适当的链上隐私，与现有银行轨道相比，企业可以通过提高效率和成本效益来加速采用链上支付。
FHE方法
完全同态加密允许对加密数据进行计算并生成正确的加密结果，而无需在计算过程中解密数据。这使得 FHE 特别适合处理共享私有状态。借助 FHE，可以创建具有私有状态的链上应用程序，例s ^ j N h如私有 AMM 池或私有投票箱。私有状态以加密格式存在于链上\ E V d 8 ; &，允许任何用户对此数据执K 8 + I D ? E v l行计算。将 FHE 纳入链上可以实现并简化许多以前不可能的用例，例如私人投票和信息不完整的游戏，例如扑克P _ =。
FHE优势
FHE 的一个显着优势是在多个方面提高了可组合性。
多个交易/用户可以更改同一块内的相同私有状态。例如，多个交换可以使用同一个暗池。
单个交易可以改] t G变多个私有状态。例如，一笔互换交易可以利用多个* M |AMM暗池来完成一笔互换。
另一个优点是改善了用户体验。在 FHw 8 ^ \ l 9 T kE 中，私有状态的计算由网络验证器执行，他们可以部署专用硬件来更快地执行这些计算。
FHE 的第三个优势是改善了V ~ ! D 2 h g开发人员体验。尽管开发人员仍然需要更新他W @ : W d d P ?们的思维模型以正确处理私有状态，但障碍比 zk 系统要低得多。首先，FHE 系统可以使用与智能合约链相同的账! G M户模型来运行。其次，FHE 操作可以添加到现有 VM 实现之上，L B D允许用户使用他们习惯的相同开发框架、工具、钱k : E [ % F @ p :包和基础设施。Zama的fhEVM实现就是这种情况，它只是添加了加密变量s q V z | J B A和 FHE 操作作为预编译。与直觉相反，这种优势对于链上私有应用程序的增长至关重要，开发者是创建吸引用户的有j u H y t P n趣应用程序的关键。无% e U ~ – `缝的开发者体验可以吸引更多开发者进入 FHE 领域。
FHE 的局限性
隐私信任假设
FHE 链需要所有私有状态的全局加密/解密密钥。这对于实现可组合性至关重要。通常，这些密钥由验证器组维护，以便能够解密私有状态上的 FHE 操作的结果。这意味着验证者组也被信9 c M任不会破坏现有私有状态的隐私。
潜在的隐私泄露
对加密数据执; 0 # S Y L N _行多次计算可能X R E Y m z v b会破坏隐私。例如，在暗 AMM 池上执行的交易可以揭示有关该池当前流动性结构的一些信息。
FHE 计算的计算复杂度
即使采用先x S A % * j V w进的实现方式，FHE 操作的计算成本也通常比常规计算高 1000 倍到 1,000,000 倍。这种复杂性限制了链上 FHE 应用程序的可能吞吐量。 Inco Network 目前的估计表明 FHE 操作的吞吐量在 1-5 TPS 之间。通过 GPU 和 FPGA 加速，吞吐量可提高 10-50 倍。
资料来源：https://eprint.iacr.org/2021/1402.pds V c F a D k p ^f
FHE 系统的合适应用
FHE 系统特别适合需要高度可组合性的应用
信息不完全博弈。这里的示例包d 0 H / ( Q M 9括纸牌游戏，例如扑克，其中牌组的状态是可访问的并且可以由多个玩家修i 5 n改。
私人投票，FF T $ 5 X |HE简化了秘密投票的实施，投票可以在不知道之前投票结果的情况下改变计票结果
然而，MPC 的用途不仅仅是保护私@ G ] . w钥。一般来说，MPC 解决了对私有输入（即数据）执行计算的问题，并且仅公开计算的输出而不破坏输入的隐私。在资产托管的具体场景中，私有输入就是私钥的分片。这些分片的所有者协作对这些私人输入执行“计算”。这里的计算就是生成交易签名。这里的多方共5 f Y 6 = X Y Z同生成– ( @ U B w 6 = o并解密签名，而其中任何一方都无法访问私有输入，即私钥。
同样，MPC 允许对私有数据进行任何类型的计算，而无需泄露它。a A O这4 l y允许 MPC 处理区块链上下文中的私有状态。其中一个例子是通过私有数据集进行去中心化人工智能训练。不同的数据所有者和计算提供商可以协作对私有数据集执行– k ^基于 MPC 的 AI 训练，以计算模型权重。计算的输出（即权重）在训F f *练阶段后由 MPC 组解密，以创建完整的 AI 模型。
许多MPC& e A N c实现对数据W w p L J隐私实现了强有S g W 4 l & 2力的隐私保证，即诚实少数G Z c \ 0 a – j /，这F B y k C意味着它具有与zk系统类似的隐私保证。 MPC 看起来也与 FH~ q 4 k a JE 类似，因为它允许通过 SPS 执行计算，这意味着它可以实现可组合性。但与FHE相比，MPC有一些局限性
计算只能由属于 MPC 组的实体执行。该组之外J , c W ^ {的任何人都无法对数据执行任S l ` 7 p 1 e v 1何计算
为了Y , N $ / W ) % =实现诚实的少数担保，所有 MPC 各方都需要合作执行 MPC。这意味着 MPC 组的任何成员都可以审查计算。可以通过减少x u 6 6 ^ | MPC 阈n 2 7 M w值（即执行计O V D O T算所需的实体数量）来放宽此限制。然而，这里的代价是，较少数量的参与者之间Y P ) p a的协调可能会破坏数据的隐私。
MPC 系统的合适应用
暗池 CLOB
MPC 在 DeFi 中的第一个真正应用是暗池 CLOB 的实现。在此系统中，交易者无需事先了解订单簿的– H f 6 9 + r Y t状态即可下限价或市价订单。订单匹配通过 MPC 在私有数据（即现有订单簿）上进行。Renegade Finance是构建此类系统的公司之一。
专有人工智能模型的去中心化推理
一些应用程序，例如基于 DeFi AI 的策略管理器或Web 3 信用评分，可以部署 MPC 以使用专有模型执行推理。在此架构中，AI 模型权重是私有的。权重可以在多个计算节点之间安全地共享，以便每个计算节点仅具有模型权重的子集。节点可以协作对更新$ M 3 N ~ @的链上事件进行人工智能推理，以做出决策并提交执行 DeFi 策略的交易。
使用专有数据训练开放人工智能模型
这里的一个常见例子是使用私人健康记录训练医疗诊断模型。在这种情况下，模型创建者、公司和数据所有者（即患者）可以使用 MPC 进行协作，在私有数据上运行训练过程，而不会破坏私有数据的隐私。Bittensor和Nillion等网络可以C ! h ,实现此类用例。
伪无许可共享私有国家
通过精心设计，MPC可以用来处理伪无许可SP~ C ) HS。例如，暗 AMM 池的状态以及对该状态的计算? – X可以构建为多个实体之间的 MPC。想要与 AMM 交I 0 1 s e )互的用户必须与 MPC 组共享其交易，以代表他们执行计算。这种方法的优点是每个 SPS 可以有一组不同的隐私密钥（与 FHE 情况下的全局密钥相比S y Z %）。这种方法的风险是可能受到 MPC 小组的审查。然而，通过仔细的经济设, = +计，这种风险是可以减轻的。
竞争还是协同
乍一看，所讨论的处理链上私有状态的方法似乎具有竞争力。然而，如果我们抛开构建这些网络^ x . H的不同团队的经济激励，zk、FHE 和 MPC 实际上是互补的技术。
一方面，zk 系y { { % (统提供了更强的隐私保证，因为“未加密”的j V {数据永远( f S W , ( 4 j f不会离开用户的设备。此外，= N h T / E # R d未经所有者许可j \ % # b & } ;，任何人都不可能对这些数据进行任何计算。这种强大的隐私保证的代价是可组合性较弱。
请登录之后再进行评论