数字货币隐私领域的最新实验和研究解析

如今，隐私在数字货币中是一个重要主题，这已经不是什么秘密了。无论是公司还是个人都不希望将自己的所有信息发布到公共区块链上，因为这些信息可以在不受本国政府、外国政府、家庭成员、同事或商业竞争对手的任何限制下被任意读取。目前有很多实验和研究涉及区块链的各种隐私保护方法，但我们还没有看到该类别的全面概述。

本文作者Richard Chen，由格密链社区的马佳敏翻译。

在这篇文章中，我们将涵盖隐私领域四个方面的最新实验和研究：1）隐私数字货币，2）智能合约中的隐私，3）隐私基础设施，4）隐私保护研究。

比特币最初是作为一种匿名加密货币开发的，只要现实世界的身份不能与比特币地址联系起来，它就能保证隐私。然而，由于比特币区块链的公共性，很容易就可以根据某些特定地址和交易的使用模式来识别个人。此外，节点在广播交易时泄漏其IP地址。

2013年，Meiklejohn等人成功识别出了属于在线钱包、商家和其他服务提供商的集群。如今，像Chainalysis和Elloptic等服务商都将区块链去匿名化，以检测洗钱、欺诈和违规行为。

在这个例子中，一个观察者可以看到{Alice，Bob}将比特币发送给{Carol，Ted}，但无法准确地说出谁向谁汇款。对不同的用户多次重复这个过程，匿名集增长。

为了应对比特币隐私受到的侵蚀，Tumbler服务应运而生，例如CoinJoin等，用于提高比特币的匿名性。在CoinJoin中，用户共同创建用于换取其数字货币所有权的交易，使整组中的每个用户都匿名。然后在不同的用户间重复这个过程来增长匿名集。犯罪分子一直使用Tumbler服务将可识别的比特币与其他基金混合在一起，来掩盖追溯到基金原始来源的踪迹。

然而，CoinJoin也有其缺陷。CoinJoin的隐私依赖于庞大的匿名集。但实际上，每次CoinJoin交易平均只有2-4名参与者，因此研究人员能够对67%的CoinJoin交易实现去匿名。后来在对CoinJoin的改进中激发了更好的数字货币Tumbler的设计，例如TumbleBit，但是TumbleBit也有局限性。

隐私数字货币

由于比特币缺乏隐私，而且目前并没有计划在协议层面上改善其隐私，因此一些新的数字货币孕育而生，用来支持私人交易。

Zcash是由一个强大的学术型密码团队使用zk-SNARKs构建的。Goldwasser、Micali和Rackoff在1985年提出了“零知识证明”。zk-SNARKs是由EliBen-Sasson等人在2015年开发的，它是对零知识证明的一种改进，它允许人们在不透露信息的情况下简洁而非交互地证明自己知道某件事。zk-SNARKs为许多与隐私相关的项目提供了技术支持，还可以使用一种名为递归组合（recursive composition）的技术压缩区块链的大小。

目前，Zcash团队正在致力于Sapling项目，这是对网络的性能升级，将改善加密交易的性能和功能，并计划于2018年10月启动。由于发送加密交易的计算开销非常大，因此大约85%的Zcash交易仍以明文形式发送，而Sapling项目有望提高加密交易的数量。

Monero是另一种使用ring signatures而不是zk-SNARKs的隐私数字货币。目前，Monero团队正在构建Kovri来实现一种保护隐私数据包的路由，以便用户可以隐藏其地理位置和IP地址。匿名用户的网络流量将大大提高Monero网络的安全性，并保护用户不因使用Monero而被逮捕或遭受人身伤害。

Zcash和Monero经常被拿来比较。这两个社区都是由Twitter的名人领导的——Zooko Wilcox代表Zcash，Riccardo “fluffypony” Spagni代表Monero，但不同于Zcash（Zcash是由一家公司和一家基金会支持的），Monero只有一个由核心开发者组成的系统社区。这两个项目的匿名性甚至都存在缺陷，这些缺陷现已被修复——研究人员能够将69%的Zcash加密交易与创始人/矿工联系起来，也能将62%的Monero交易去匿名。

然而，这两个项目在本质上采用了截然不同的隐私保护方法，并采用了不同的权衡方式，到目前为止，还没有明确的案例说明，为什么一个项目会在长期内胜过另一个项目。在我看来，Zcash和Monero将继续像可口可乐和百事可乐一样共存。

Mimblewimble是一个新的专注于隐私的区块链项目，它是基于比特币所设计出来的。2016年7月19日，“Tom Elvis Jedusor”把白皮书丢进了一个比特币研究频道，消失了。后来，“Ignotus Peverell”开始了一个名为Grin的Github项目，并开始将Mimblewimble论文从理论转向真正的实现。Blockstream公司的Andrew Poelstra在2017年斯坦福BPASE会议上展示了这项工作，之后Grin开始得到了主流的关注。Grin的第三个测试网已经发布，主网预计在2019年初发布。

Mimblewimble/Grin是对比特币的保密交易和CoinJoin的改进。主要功能包括无需公共地址，完全的隐私，和一个紧凑的区块链。最近，Grin币的开采引起了很多关注，因为Grin币类似于比特币，只能通过PoW挖矿来铸币。Grin使用Cuckoo Cycle PoW算法，该算法最初是为抗ASIC而设计的算法，但现在被认为是ASIC友好的。

总的来说，Grin结合了令比特币如此强大的社会特性——匿名创始人、无领导的开发团队、PoW共识、没有ICO，没有链上治理，以及对Zcash和Monero的技术改进。与比特币不同的是，Grin币的发行量是无限的，其货币政策是线性供应计划，这意味着通货膨胀在早期非常高，但随着时间的推移逐渐接近（而不是达到）零。在网络启动后，早期的通货膨胀是一种激励措施而不是投机。尽管持续的通货膨胀使Grin并不能成为一种理想的价值储存手段，但一旦比特币的区块奖励消失、矿工只能赚取交易费，此时它就避免了比特币的不稳定性。

Grin新颖的货币政策避免了有争议的Zcash创始人的报酬问题，即20%的新铸造的ZECs在最初的4年里给予项目开发者。MimbleWimble区块链的大小也与用户数量而不是交易数量成比例，从而避免了使用Monero的ring signatures的UTXO集的缩放问题。

其他有趣的隐私加密货币仍处于早期开发阶段，包括MobileCoin和BEAM。

智能合约中的隐私

智能合约中的隐私与支付中的隐私不同，因为智能合约公开包含的程序代码。不幸的是，程序混淆被证明是不可能的，因此智能合约目前既缺乏保密性（隐藏付款金额），也缺乏匿名性（隐藏发送方和接收方的身份）。

在我看来，当企业准备大规模开发dApps并需要隐藏客户的活动时，对智能合约隐私的强烈需求就会到来；目前，对所有人来说，使用CryptoKitties这样的dApps并没有什么不好的地方。这可能类似于互联网最初是如何在基础网站上使用HTTP启动的，后来又为需要加密网络流量的网站（如电子商务）引入了HTTPS。

在以太坊的案例中，Zether是斯坦福大学Benedikt Bunz正在进行的一项研究，研究的是一种完全与以太坊相兼容、能够为以太坊的智能合约提供保密和匿名的私人支付机制。Zether将作为以太坊智能合约的实施条件，并将使用最少的gas。Zether还具有多种用途，可以为支付渠道等常见应用程序添加可证明的隐私。

Keep是另一个通过创建私有数据的离线容器来为以太坊构建隐私层的项目。这允许合约管理和使用私有数据，而不将数据暴露给公共区块链。

虽然在Casper之后，隐私是以太坊的首要任务，但是以太坊基金会实施Casper的速度很慢，而且风险在于，隐私不会在多年以后成为以太坊的核心功能。如果智能合约中的隐私成为加密社区迫切需要的东西，那么新的隐私智能合约平台就会出现，填补这一空白，就像Zcash和Monero的出现一样，它们是为私人支付而不是比特币。Enigma，Origo和Covalent都是新的智能合约平台，它们试图将隐私原生地实现到区块链中。

Oasis Labs是另一个激动人心的隐私项目，它构建了Ekiden，这是一个新的智能合约平台，将智能合约执行与基础共识机制分开。智能合约运行在一个被称为安全区的独立硬件（如英特尔SGX）内。enclave就像一个黑盒，使计算对于其他应用程序是不可见的。它还生成一个密码证明，证明程序是正确执行的，然后该证明存储在区块链中。通过将智能合约执行与共识分离，Ekiden与不同的底层区块链兼容，包括以太坊。

隐私的基础设施

除了隐私加密货币和私有智能合约之外，Web 3堆栈还有其他重要的隐私基础设施项目值得一提。

Orchid正在尝试构建一个更好的Tor版本，在这个版本中，用户从出租额外带宽作为Orchid网络中的中继器中获取token。Tor的问题是只有6000个中继节点，不到2000个桥接节点，所以中国政府可以把所有中继节点和桥接节点都列入黑名单，从而阻止公民访问Tor。使用token奖励来激励更多人成为中继者，这使得阻止Orchid变得更加困难，因为总不能阻止互联网的大部分节点。

BOLT正在构建一个私人支付渠道，使用盲签名和零知识证明来隐藏参与者在打开、交易和关闭支付渠道时的身份。最初的支付渠道建立在Zcash之上，但之后将能够与比特币和以太坊进行互操作。

NuCypher正在使用proxy re-encryption来构建一个去中心化的密钥管理系统，用于提供与HTTPS相同的功能。Proxy re-encryption是一种公钥加密，它允许用户在不了解底层消息的情况下将密文从一个公钥转换到另一个公钥。

Starkware正在包括以太坊在内的各种区块链中实现zk-STARKs。与zk- SNARK相比，zk-STARKs的优势在于，它不需要可信的设置，尽管加密证明的密钥尺寸变得更大了。

隐私保护研究

密码学的学术研究推动了隐私保护领域的创新。隐私保护研究主要涉及到零知识、多方计算、全同态加密等领域。

除了zk- SNARKs和zk-STARKs之外，Bulletproofs是一种新的简短的非交互式的零知识证明形式。与zk-STARKs一样，Bulletproofs不需要可信的设置，但是验证Bulletproofs比验证zk-SNARK文件更耗时。Bulletproofs的设计目的是为了能够以加密货币进行高效的保密交易，并将Bulletproofs文件的大小从10 KB以上缩小到1-2 KB。如果所有比特币交易都是保密的，并且使用了Bulletproofs，那么UTXO集的总大小将只有17 GB，而目前的大小是160 GB。

多方计算允许一组人在他们的输入上联合计算一个函数，而不需要每个人透露他们自己的输入。例如，Alice和Bob想要知道谁拥有更多的比特币，而不是每个人都透露他/她拥有多少比特币。不幸的是，当前多方计算的限制是，在实践中使用它的效率非常低。

全同态加密允许在加密数据上进行计算。几十年来，这一直是密码学领域的一个开放性问题，直到2009年，斯坦福大学博士生Craig Gentry使用格构造了第一个全同态加密方案。如果Bob想在Alice的数据上执行任意计算（比如训练机器学习模型），而Alice不需要显示明文数据，那么这个例子就很有用。全同态加密，像多方计算一样，目前仍然是很理论化的，而且在实践中效率很低。

那又怎样？

总的来说，隐私是目前密码学研究中最令人兴奋的领域之一，并且优化这些理论技术的效率以使其在现实中实际应用还有很多工作要做。研究型实验室，如斯坦福大学区块链研究中心，正积极在这一领域取得进展，未来几年将会有哪些重大突破将是令人兴奋的。

加密货币的好处是它为最新的隐私研究提供了一个直接的用例。许多用于加密货币、智能合约和基础设施的隐私技术都是近几年才发明出来的。考虑到这个领域发展速度之快，隐私将继续成为加密项目设计中不可或缺的一部分。