零常识证明技能让用户在掩护自身隐私的前提下，更高效、更安详地完成验证。假如说比特币是区块链带给现实世界的第一大发现，提供代价存储的新方法，以太坊的智能合约是第二大里程碑事件，解锁创新的潜力，那么零常识证明的应用是区块链成长史上第三大第三大技能革新，带来隐私和可扩展。这既是Web3 生态的重要一环，也是有潜力敦促社会厘革的重要基本技能。

这篇文章以非技能人员的角度，先容零常识证明的应用场景、事情道理、成长近况和将来趋势，以期让无技能配景的读者相识零常识证明即将带来的重大厘革。

1.什么是零常识证明(ZKP)

零常识证明(ZKP) 是在1985 年由Shafi Goldwasser、Silvio Micali、Chales Rackoff 合着的论文《The knowledge complexity of interactive proof systems》首次提出的数学协议，除了某一要证明的事实之外，不会透露任何其他信息。验证者无法得到生成证明的奥秘信息。

举一个例子辅佐各人领略：我要证明我知道某小我私家的电话号码，我只需要可以或许在众人眼前拨通那人的电话就可以证明这一事实，不需要透露那人的真实号码。

零常识证明提供了一种有效的近乎无风险的数据分享方法。操作零常识证明，我们可以保存对数据的所有权，极大地提高隐私掩护，有望使数据泄露事件成为已往式。

零常识证明具有三个特性：

• 完整性：假如一个声明是真实的，厚道的验证者会被厚道的证明者说服。即对的错不了。
• 公道性：假如一个声明是错误的，在绝大大都环境下，欺骗的证明者不能让厚道的验证者相信虚假的声明。即错的对不了。
• 零常识：假如一个声明是真实的，验证者除了能得知这声明是真实的，之外不能得到任何多余的信息。

零常识证明存在极小的概率发生公道性误差，即一个作弊的证明者大概使验证者相信一个错误的声明。零常识证明是概率性的证明，而不是确定性的证明，但我们可以通过一些技能将公道性误差低落到可以忽略不计。

2.零常识证明(ZKP) 的应用

零常识证明最重要的两个应用场景是隐私和可拓展。

2.1 隐私

零常识证明答允用户在没有透露小我私家具体信息的环境下，安详地分享须要的信息来得到商品和处事，免受黑客进攻和小我私家身份信息的泄露。跟着数字和物理规模的逐渐融合，零常识证明的隐私掩护成果对付Web3 以致Web3 以外的信息安详变得至关重要。假如没有零常识证明，用户信息就会存在受信任的第三方数据库，有受到黑客进攻的潜在危险。零常识证明在区块链中的第一应用案例是隐私币Zcash,用来埋没生意业务细节。

2.1.1 身份信息掩护和验证

在网上勾当中，我们常常需要提供诸如姓名、出生日期、电子邮件、巨大的暗码来证明我们是有正当利用权限的用户。因此也常在网上留下了不肯透露的敏感信息。如今接到直呼我们姓名的诈骗电话已经多如牛毛，可见小我私家书息泄露的环境十分严重。

我们可以操作区块链技能，赋予每小我私家一个包括小我私家数据的非凡加密数字标识符。这个数字标识符可以构建去中心化身份，且不行能在其所有者不知情的环境下被伪造或改变。去中心化身份可以由用户来节制对小我私家身份的会见权限，在不透露护照细节的环境下证明国民身份，简化了认证进程，还淘汰了用户由于遗忘暗码而失去会见权限的事件产生。零常识证明由能证明用户身份的果真数据和带有用户信息的隐私数据生成，可用于用户会见处事时的身份验证。这既淘汰了繁琐的验证流程，晋升了用户体验，又制止用户信息的中心化存储。

另外，零常识证明还可以在构建私人诺言系统，答允处事机构在用户不袒露身份的环境下验证其是否切合某些诺言尺度。用户可以从Facebook、Twitter 和Github 等平台在掩盖详细来历账号的前提下，匿名输作声誉。

2.1.2 匿名付出

利用银行卡付出的生意业务细节凡是对多方可见，包罗付出提供商、银行和当局等相关方，这在必然水平上袒露了普通国民的隐私，用户需要信任相关方不作恶。

加密钱币可以使付出挣脱第三方，直接举办点对点生意业务。但今朝主流公链上的生意业务果真可见，固然用户地点匿名，依然存在通过链上的关联地点和链下如生意业务所KYC、Twitter 信息等数据阐明来找到现实世界身份。假如知道一小我私家的钱包地点，相当于可以随时查察小我私家的银行账户余额，甚至大概对用户身份、工业造成威胁。

而零常识证明可以从隐私币、隐私应用和隐私公链三个条理来提供匿名付出。隐私币Zcash，埋没了包罗发送方、吸收方地点、资产范例、数量和时间等生意业务细节。Tornado Cash 是以太坊上的去中心化应用，利用零常识证明夹杂生意业务细节来提供隐私转账（但也多被用于黑客洗钱）。Aleo 是旨在从协议层面为应用措施提供隐私成果的L1区块链。

2.1.3 厚道行为

零常识证明可以在保存隐私的前提下促进厚道行为。协议可以要求用户提交零常识证明来证明其厚道行为。由于零常识证明的公道性(错的对不了)，用户必需按照协议要求做出厚道的行为才可以提交有效的证明。

MACI（Minimal Anti-Collusion Infrastructure，最小反串谋基本设施）就是一个促进厚道的应用场景，防备在链上投票或其他形式的决定进程中产生串谋。该系统操作密钥对和零常识证明技能来实现这一方针。在MACI 中，用户将他们的公钥注册到一个智能合约中，并通过加密的动静将他们的投票发送到合约中。MACI 的防串谋特性答允投票者改变他们的公钥，以防备其他人相识他们的投票选择。协调者在投票期竣事时用零常识证明来证明他们已经正确处理惩罚了所有动静，且最终的投票功效是所有有效票数的总和。这担保了投票的完整性和合理性。

2.1.4 小我私家书息核查

当我们想要获取贷款时，可以从公司拿一个数字收入证明来申请贷款。这个证明的正当性容易在暗码学上获得查抄。银行可以用零常识证明来验证我们的收入是否到达了划定的最低限度，但得不到敏感的详细信息。

2.1.5 团结呆板进修挖掘私有数据潜能

在练习呆板进修模子时，凡是需要大量的数据。通过利用零常识证明，数据拥有者可以证明他们的数据满意模子练习的要求，而无需实际果真这些数据。这有利于让私有数据发挥浸染，而且实现钱币化。

另外，零常识证明可以答允模子建设者证明他们的模子满意某些机能指标，但无需果真模子的细节，以防备他人复制或改动他们的模子。

2.2 可扩展

跟着区块链用户的增多，区块链上需要举办大量的计较，造成了生意业务拥堵。有些区块链会走分片的扩展蹊径，但这需要对区块链的基本层举办大量的巨大的修改，大概会威胁到区块链的安详性。

别的一个较为可行的方案是走ZK-Rollup 蹊径，操作可验证计较，将计较外包给别的一条链上的实体来执行，然后将零常识证明和可验证功效一起提交到主链上以供验证真实性。零常识证明担保生意业务的真实性，主链只需将功效更新到状态，不需要存储细节或重放计较, 也不需要期待其他人来接头生意业务的真实与否，极大地提高效率和扩展本领。开拓者可借助零常识证明，设计可以运行在如手机这样的普通硬件上的轻节点dapps，更有利于Web3 走向公共。

零常识证明的扩展既可运用在在一层网络上，如Mina Protocol，也可以运用二层网络ZK – rollups。

3.零常识证明(ZKP) 如何事情

Dmitry Laverenov （2019）把零常识证明布局分为交互式和非交互式。

3.1 交互式零常识证明

交互式零常识证明的根基形式由三个步调组成：证据、挑战者和回应

• 证据：埋没的奥秘信息就是证明者的证据。这些证据成立一系列只能由知道这些信息的人正确答复的问题。证明者开始随机抽取问题，把计较谜底发给验证者来举办证明。
• 挑战：验证者从荟萃中随机挑选另一个问题，要求证明者答复。
• 回应：证明者接管问题，计较谜底后将功效返还给验证者。证明者的回应可以或许使验证者查抄证明者是否知道这些证据。

这个进程可以反复多次，直到证明者在不知道奥秘信息却猜出正确谜底的概率变得足够低。举一个简化的数学例子，假如证明者在不知道奥秘信息却能猜出正确谜底的概率为1/2，反复交互十次，证明者每次都掷中的概率仅有万分之9.7，想让验证者错误地承认虚假证明的大概性极低。

3.2 非交互式零常识证明

交互式零常识证明具有范围性，一方面是需要证明者和验证者同时存在并举办反复验证，另一方面是每计较一个新的证明都需要证明者和验证者通报一组信息，证明不行在独立的验证中反复利用。

为了办理交互式零常识证明的范围性，Manuel Blum, Paul Feldman, 和Silvio Micali 提出了非交互式零常识证明，由证明者和验证者共享密钥，且仅需举办一轮验证来使得零常识证明越发有效。证明者将奥秘信息通过非凡算法来计较生成一个零常识证明，发送给验证者。验证者利用别的一种算法查抄证明者是否知道奥秘信息。该零常识证明一旦生成，任何有共享密钥和验证算法的人都可以举办验证。

非交互式零常识证明是零常识证明技能的一大打破，促进了本日利用零常识证明系统的成长。主要要领有ZK-SNARKS 和ZK-STARKS。

4. 零常识证明的主要技能路径

Alchemy（2022）将零常识证明的技能路径分为ZK-SNARKs、ZK-STARKs 和递归ZK-SNARK。

4.1 ZK-SNARKs

ZK-SNARKs 是一个零常识的简捷的非交互式的证明。

公链要确保在网络上执行生意业务的正确性，需要通过让其他计较机（节点）从头运行每笔生意业务来实现。但这种要了解使每个节点从头执行每笔生意业务，会减慢网络的速度，限制可扩展性。节点还必需存储生意业务数据，导致区块链的局限呈指数级增长。

对付这些限制，ZK-SNARK 就发挥了浸染。它可以证明在链外举办的计较的正确性，而不需要节点重放计较的每一步。这也消除了节点对存储多余生意业务数据的需求，提高网络的吞吐量。

利用SNARKs 验证链外计较将计较编码为一个数学表达式来组成有效性证明。验证者查抄证明的正确性。若证明通过了所有查抄，那么底层计较就被认为是有效的。有效性证明的巨细要比它所验证的计较小许多倍，因此我们称SNARKs 是简捷的原因。

大大都利用ZK-SNARKs 的ZK Rollup 遵循以下步调。

1. L2 的用户签署生意业务后提交给验证者。
2. 验证者操作暗码学将多个生意业务压缩生成相应的有效性证明（SNARK）。
3. L1链上的智能合约对有效性证明举办验证，抉择了这批生意业务是否宣布到主链上。

值得一提的是ZK-SNARKs 需要举办可信配置。在这阶段，密钥生成器会获取一个措施和一个奥秘参数来生成两个可用的公钥，别离用于建设证明和验证证明。这两个公钥只需通过一个可信的配置典礼生成一次民众参数，就可供但愿参加零常识协议的各方多次利用。用户需要相信可信配置典礼的参加者不作恶，且没有步伐评估参加者的厚道性。知道奥秘参数便可生成假证明，欺骗验证者，因此存在潜在安详隐患。今朝有研究员在摸索ZK-SNARKs 无需信任假设的方案。

优势

1. 安详性：ZK rollup 被认为比OP rollup 更安详的扩展方案，因为ZK-SNARKs 利用了先进的加密安详机制,很难欺骗验证者和举办恶意行为。
2. 高吞吐量：ZK-SNARKs 淘汰了以太坊底层的计较劲，缓解了主网堵塞环境，链下计较分管生意业务用度，带来更快的生意业务速度。
3. 小证明尺寸：SNARK 证明的小尺寸使它们容易在主链上获得验证，这意味着验证链下生意业务的Gas Fee 较低，淘汰了用户的本钱。

范围

1. 相对中心化：大大都时候都依赖于一个可信的配置。这和区块链去信任的初志相违背。用ZK-SNARKs 生成有效性证明是一个计较麋集型的进程，证明者必需投资于专门的硬件。这些硬件价值昂贵，只有少数人承担得起，因此ZK-SNARK 的证明进程是高度会合的。
2. ZK-SNARKs 利用椭圆曲线暗码学（ECC）来加密用于发生有效性证明的信息，今朝相对安详，但量子计较的进步大概会冲破其安详模子。

利用ZK SNARKs 的项目

Polygon Hermez

Polygon 在2021年以2.5 亿美元并购Hermez，成为首个两个区块链网络全面并购的案例。Hermez 给Polygon 快速增长的用户群带来的ZK 技能和东西，使Polygon 得到开拓zkEVM 的支持。Hermez 1.0 是付出平台，把一批生意业务在链外执行，答允用户便捷地把ERC-20 代币从一个Hermez 账户转移到另一个Hermez 账户，，每秒生意业务可达2000次。Hermez 2.0 作为一个零常识的zkEVM 以透明方法执行以太坊生意业务，包罗具有零常识验证的智能合约。其可与以太坊完全兼容，无需对智能合约代码举办太多窜改，利便开拓者将L1的项目陈设到Polygon Hermez 上。Hermez 1.0 利用SNARK-proofs，2.0 中同时利用SNARK-proofs 和STARK-proofs。在2.0，利用STARK-proof 证明链交际易的有效性。但STARK-proof 在主链上验证的本钱很高，因此引入SNARK-proof 来验证STARK 。

zkSync

Matter Labs 于2020 年推出的zkSync 1.0 不支持智能合约，主要用于生意业务或转账。支持智能合约的ZkSync 2.0 已于2023 年3 月份果真上线主网。

ZkSync 把以太坊上的智能合约源代码Solidity 编译为Yul 来实现EVM 的兼容性。Yul 是可以编译成差异EVM 的字节码的中间语言。利用LLVM 编译器框架可以将Yul 代码从头编译为为zkSync 的zkEVM 设计的自界说、电路兼容的字节码集。通过这种要领，免去通过更高级此外代码对EVM 执行中的所有步调举办zk 证明，从而在保持高机能的同时更容易使证明进程去中心化。将来还可以通过构建新的编译器前端来添加对Rust、Javascript 或其他语言的支持，增加zkEVM 架构的机动性和更多的开拓者。

Aztec

Aztec是第一个殽杂型zkRollup，在一个情况中同时实现民众和私有智能合约的执行。这是一个零常识的执行情况，而非zkEVM。通过将民众和私有执行归并到单个殽杂汇总中来实现机要性，例假如真AMM的隐私生意业务、果真游戏中的私密对话、果真DAO的隐私投票等等。

4.2 ZK-STARKS

ZK-STARKs 不需要可信的配置。ZK-STARKs 是for Zero-Knowledge Scalable Transparent Argument of Knowledge 的缩写。对比ZK-SNARKs, ZK- STARKs 有更好的可拓展性和和透明性。

优势

1. 去信任：ZK-STARKs 果真可验证随机来代替可信配置，淘汰对参加人的依赖，提高协议安详性。
2. 更强的扩展本领：纵然底层计较的巨大性呈指数级增长，ZK-STARKs依然保持了较低的证明和验证时间，而非像ZK-SNARKs 线性增长。
3. 更高的安详担保：ZK-STARKs 利用抗碰撞哈希值举办加密，而不是ZK-SNARKs中利用的椭圆曲线方案，可抗量子计较的进攻。

范围

1. 更大的证明尺寸：ZK-STARKs 证明尺寸更大，使得在主网验证的成更更高。
2. 较低的回收率：ZK-SNARKs 是零常识证明是区块链中的第一个实际应用，因此大大都ZK rollup 回收ZK-SNARKs，具有更成熟的开拓者系统和东西。尽量ZK-STARKs 也有以太坊基金会的支持，可是对比之下回收率不敷，基本东西尚有待完善。

哪些项目利用ZK-STARKs？

Polygon Miden

Polygon Miden，一个基于Ethereum L2的扩展办理方案，操作zk-STARKs技能将大量L2生意业务集成到单一的以太坊生意业务中，从而晋升了处理惩罚本领并低落了生意业务本钱。在不举办分片的环境下，Polygon Miden可以在5秒内发生一个区块，而且其TPS可以到达1000以上。而在举办分片后，其TPS可高达10,000。用户只需要15分钟，就能将资金从Polygon Miden提现到Ethereum。Polygon Miden的焦点成果是一个基于STARK的图灵完备虚拟机——Miden VM，它使得合约的形式化验证变得更为轻便。

StarkEx 和StarkNet

StarkEx 是一个需要许可的、为特定应用措施定制的扩展办理方案的框架。项目可以利用StarkEx 来举办低本钱的链下计较，生成证明执行正确性的STARK 证明。这样的证明包括12,000–500,000 笔生意业务。最后将证明发送到链上的STARK 验证器，验证正确后接管状态更新。在StarkEx 上陈设的应用措施包罗永续期权dYdX、NFT L2 Immutable、体育数字卡牌生意业务市场Sorare 和多链DeFi 聚合器rhino.fi。

StarkNet 是一个无需许可的L2，任何人员都可以在个中陈设以Cairo 语言开拓的智能合约。陈设在StarkNet 上的合约之间可以举办交互来构建新的可组合协议。与应用措施认真提交生意业务的StarkEx 差异，StarkNet 的排序器批量生意业务并发送它们举办处理惩罚和证明。StarkNet 更适合需要与其他协议同步交互或超出StarkEx 应用范畴的协议。跟着StarkNet 开拓的希望，基于StarkEx 的应用将可以或许移植到StarkNet，享受可组合性。

ZK-SNARKs 和ZK-STARKs 比拟

4.3 递归ZK-SNARKs

普通ZK rollup 只能处理惩罚一个生意业务区块，这限制了他们可以处理惩罚的生意业务数量。递归ZK-SNARKs 可以验证一个以上的生意业务区块，把差异的L2 区块生成的SNARKs 归并为一个单一的有效性证明，提交给L1链。一旦L1 链上合约接管了提交的证明，所有这些生意业务城市变得有效, 极大地增加了可以用零常识证明最终完成的生意业务数量。

Plonky2 是Polygon Zero 的一种利用递归ZK-SNARKs 来增加生意业务的新证明机制。递归SNARKs 通过将几个证明聚积到一个递归证明中，来扩展证明生成进程。Plonky2 利用同样的技能来淘汰生成新区块证明的时间。Plonky2 将成千上万的生意业务并行生成证明，再递归地将它们聚合成一个区块证明，因今生成速度很快。而普通的证明机制试图一次性生成整个区块证明，效率更低。另外，Plonky2 还可以在消费级设备上生成证明，办理了SNARK 证明常陪伴的的硬件会合化问题。

5. Zero Knowledge Rollup VS Optimistic Rollup

ZK-SNARKs 和ZK-STARKs 已经成为区块链扩展项目标焦点基本设施，出格是Zero Knowledge Rollup 方案中。Zero-Knowledge Rollup 就是指是指利用零常识证明技能将所有的计较转移到链下处理惩罚来减轻网络堵塞的一种以太坊的二层扩容办理方案。Zero Knowledge Rollup的主要利益是可以大幅提高以太坊的生意业务吞吐量，同时保持较低的生意业务用度，且生意业务一旦打包进rollup，就能当即确定。

今朝以太坊的L2扩展方案除了Zero Knowledge Rollup，尚有Optimistic Rollup。在Optimistic Rollup 运行的生意业务被默认为有效并当即执行。只有当发明欺诈性生意业务时（有人提交欺诈证明），该生意业务才会被取消。所以安详性是低于Zero Knowledge Rollup的。为了防备欺诈生意业务，Optimistic Rollup 设有一段挑战期，假如生意业务需要在挑战期事后才气最终确定。这大概导致用户在取回他们的资金时需要期待一段时间。

最初设计EVM 的时候没有思量到利用零常识证明技能。以太坊首创人Vitalik 认为短期内Zero Knowledge Rollup 存在技能上的巨大性，但最终在扩容战争中会战胜Optimistic Rollup。以下是Zero Knowledge Rollup 和Optimistic Rollup 的比拟。

(来历：SUSS NiFT， ChatGPT)

6. 零常识证明技能的将来前景如何？

零常识证明技能规模处于奇特的职位：连年来，颠末大量尽力致力于推进该规模的研究，很多成就在暗码学和安详通信规模都是相当新的。因此，很多有趣的问题尚有待学术界和开拓者社区解答。与此同时，零常识证明技能被用于种种项目，揭示了零常识技能的挑战并拓展了其要求。

零常识证明技能值得存眷的规模之一是零常识证明技能的后量子安详性的接头。可果真验证的SNARK（简捷的非交互式常识论证）是零常识技能规模的要害构成部门。然而，大大都遍及利用的可果真验证的SNARK 方案并不被认为是量子安详的。譬喻Groth16、Sonic、Marlin、SuperSonic 和Spartan。这些方案所依赖的数学问题可在量子计较机的辅佐下会被有效办理，这大大损害了它们在后量子世界中的安详性。

我们发明学术界正在努力寻找量子安详的零常识证明，该证明可用于各类没有预处理惩罚阶段的语句。今朝最先进的量子安详零常识证明的例子包罗Ligero、Aurora、Fractal、Lattice Bulletproofs 和LPK22 等方案。Ligero、Aurora 和Fractal 基于哈希函数，而Lattice Bulletproofs 和LKP22 基于点阵函数。这两个函数都被认为是量子安详的。推广这些方案并提高其效率已成为趋势。

我们对零常识技能将来的另一个期望是它抵挡进攻的本领和实现相关的代码成熟度。鉴于编写的代码量的增加，将会有更多安详且颠末审查的库和最佳实践用于各类零常识证明技能。虽然，将来也会有更多将期待被发明和相同的常见错误。我们期望该规模成熟并被高度回收，尽力尺度化协议并确保差异实现之间的互操纵性， 一个名为ZKProof 的项目已经开始这样做了。

零常识技能社区中将继承存在的另一个趋势是在高效算法和大概的非凡硬件长举办更多事情。连年来，我们已经看到证明巨细的减小以及证明者和验证者变得越发高效。算法、非凡硬件和计较优化的进步大概会带来更快、更具扩展性的实现。

固然现有算法的效率有利于将来零常识证明技能的用户，但我们也期望看到零常识证明的成果不绝扩大。已往，我们在实现预处理惩罚zk-SNARK 时碰着过许多实例。此刻我们发明越来越多的可进级zk-SNARK 实例。另外，一些零常识证明技能的利用更多是因为其简捷性，而不是其零常识本领。

最后，零常识证明技能的另一个趋势是呆板进修与零常识证明的交错（ZKML）。这个想法需要在多方情况中练习大型语言模子，并利用零常识技能来验证计较。这对付当前人工智能很是有用。该规模有鼓起项目标大概。

竣事语

通过本文的先容，我们可以相识到零常识证明在区块链规模的遍及应用，技能路径，成长趋势与所面对的挑战。相信跟着硬件技能与暗码学的成长，零常识证明将在将来取得更多打破，为数字世界提供更快速，更安详的应用处事。

郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。