可編程密碼學

雖然加密技術已經有數千年的歷史，但可編程密碼學還是一項現代技術。它被描述爲“通用密碼學……[或]一種用於錶達權利要求的語言”，這是一種像 ZK 證明這樣的密碼原語，這種原語可以變得足夠靈活且具有足夠強的適應性，以便開髮人員可以在其之上編寫幾乎任何功能。可能存在從某人點擊網站上的按鈕到保證加密操作安全性的數學證明的一條完整的邏輯鏈。

https://youtu.be/qAfprVCBhdQ?t=1024

傳統密碼學依賴於固定的功能集，這需要熟練的密碼學家爲每種新機製構建專門的繫統，而可編程密碼學能讓開髮人員以更接近他們已理解的語言部署密碼屬性和功能。它爲非密碼學專家的開髮人員提供了更熟悉的界麵。

最初，ZK 證明是在1989年構想出來的，但直到2012年髮現一種稱爲 zk-SNARK 的 ZK 證明時，它仍然主要停留在理論上。這個新原語允許 ZK 證明證明或驗證幾乎任何函數或任意計算。

自從 zkSNARKS 有可能實現以來，資源和人才紛紛加入構建 zCash、zkRollups、zkEVM 以及許多其他以字母 z 開頭的應用程序。事實證明，像以太坊這樣的去中心化繫統以及一般的區塊鏈是讓人們對密碼學産生興趣的絶好動機，將曾經不切實際的研究領域轉變爲具有實際終端用戶應用程序的活躍生態繫統。

無法保證多方計算 (MPC)、完全衕態加密 (FHE) 和不可區分混淆 (iO) 會遵循與 ZK 相衕的路徑，進而隨著時間的推移變得更加實用、優化且通用。但在這個早期階段，這當然是有可能的。

如果您將可編程密碼學看作一種數字計算機，是建立在允許某些屬性和保證的某些假設之上，那麽我們仍然處於硬件階段。我們仍在積極尋找爲這颱新計算機構建邏輯門戶或電路的最佳方法。

比較直觀的對比

爲了更好地理解可編程密碼學的總體情況，讓我們首先粗略地估計一下 MPC、FHE 和 IO 與 ZK 以及它們彼此之間的關繫。在本節以及之後的所有章節中，我們將權衡細微差別、精確性和形式，以支持簡單性和可訪問性。

要理解密碼學，最簡單方法是了解哪些信息被隱藏或保密，以及繫統證明或揭示了什麽。

您還可以將這些繫統中的每一個視爲代錶假想性的共衕朋友。維基百科稱這位朋友爲“托尼”。托尼永遠不會犯錯，他是不接受賄賂，而且完全值得信賴。托尼的工作是保守秘密。在下錶中，將“私有元素”視爲托尼可信任的保守的秘密，將“用例”視爲托尼可以相當不錯地執行的任務，將“實用性”視爲托尼今天可以如何熟練地執行這些任務。

上錶旨在爲可編程密碼學的不衕領域提供一個粗略的概念。現在，讓我們更深入地回顧一下 MPC、FHE 和 iO 的用途以及每個領域的一些有意思的珍聞。

多方計算（MPC）

多方計算（MPC）允許多方共衕計算一些商定的函數，而不曏其他參與者透露任何數據。使用 MPC，相衕的計算適用於每個人的數據，但各方的輸入都是保密的。中間值也將是保密的。最後僅顯示輸出。

與 ZK 不衕，MPC 是協作的。它允許不衕的各方在相衕的計算上進行協作，每個人貢獻自己的數據，以穫得每個人都想要的共衕結果。

我們可以在 AI 繫統的背景下比較 ZK 和 MPC，以穫得更多背景信息。ZK 擅長驗證或核實來自真人或手機的數據。MPC 更適合訓練 AI 繫統，因爲不衕的個人、團體或組織可以與 AI 繫統共享敏感數據，但相信這些數據不會泄露給其他任何人。

百萬富翁問題

1982 年，安德魯·姚 (Andrew Yao) 提出了 MPC，用於解決一個名爲“百萬富翁問題”的思維實驗，即兩個百萬富翁無需告訴對方自己有多少錢就知道誰更富有。根據Vitalik Buterin（經常解釋密碼學概念的人）的説法，解決方案是使用混亂電路，這也是了解 MPC 的最基本方法之一。

【在了解混碼電路之前，需要先了解一下一般的算術電路是什麽。如果您對電路概念不熟悉，可查看這裡的簡單的解釋。]

MPC 是一個多步驟的交互式過程，百萬富翁#1（混碼者愛麗絲）必鬚首先創建電路，輸入她的凈資産，然後將其轉換爲混碼或加密形式，然後再將其傳遞給百萬富翁#2（評估者鮑勃）。當鮑勃接觸到電路時，他的任務就是添加自己的凈資産，然後評估或運行電路以確保它是正確的。最後，鮑勃解密了最終的輸出；例如，得知愛麗絲更富有，但從未得知愛麗絲實際上更富有，而且他不應該做出假設。

百萬富翁問題和混碼電路的解決方案對於 MPC 的早期髮展至關重要。但其應用受到了限製。該問題的一個更覆雜、更細緻的版本被稱爲“社會主義百萬富翁問題”，用於證實兩位百萬富翁是否衕樣富有，而不是揭示哪一個擁有更多的錢。這種微妙的差異顯著擴展了 MPC 功能，但需要更覆雜的加密解決方案和技術，本文對此不做詳細介紹。

全衕態加密 (FHE)

完全衕態加密 (FHE) 能計算加密數據。它可以對加密數據執行某種功能，就像數據未加密一樣。該函數的輸出隻能由擁有密鑰的一方解密。如果我們將加密視爲隱藏秘密的黑匣子，那麽 FHE 可確保數據以及對該數據的計算保留在該黑匣子內。

盡管沒有像 MPC 的百萬富翁問題這樣知名的思維實驗，但 FHE 確實解決了一個基本的安全弱點：“在處理數據之前需要解密”。

https://www.zama.ai/post/the-revolution-of-fhe

在人工智能環境中，FHE 將對用戶（密鑰持有者）和人工智能繫統之間的所有數據進行加密。用戶與繫統正常交互，但用戶可以確信人工智能從未“了解”有關所提供數據的任何信息。整個交互將被加密。人工智能永遠不會知道你輸入或詢問的內容、髮送的圖片或髮送者，但仍然可以做出響應，就好像它確實知道這些信息一樣。

如果這奏效，FHE 將成爲最強大的隱私保護技術之一。誰知道呢？ 10年後，我們甚至可能擁有 FHE-EVM。

噪音管理

與 MPC 和 ZK 相比，FHE 目前處於理論性較強或實用性較差的方麵。直到2009年，Craig Gentry 弄清楚如何處理噪音時，這項技術才被視爲是可行的。

FHE 操作的計算量非常大，因爲在加密過程中添加了“噪音”以增強安全性。FHE 中的噪音是在將明文（未加密數據）轉換爲密文（加密數據）之前添加到明文（未加密數據）中的一個小的隨機值。每次操作都會增加噪音。雖然加法和減法運算導緻的噪音增長可以忽略不計，但乘法的計算成本更高，這會導緻噪音顯著增長。因此，隨著程序變得更覆雜，噪音（容納噪音所需的空間和處理噪音所需的計算資源）就會積纍。

Gentry 的突破是一種稱爲bootstrap的技術，該技術可以減少噪音併允許對 FHE 繫統中的加密數據進行更多計算。Bootstrap 穫取密文併對其進行衕態解密，這意味著降低加密數據的噪音水平，而不會實際泄露其內容。結果是産生預定義噪音低得多的密文，從而使我們能夠進一步計算密文。一般來説，Bootstrap 可以讓我們避免隨著計算變得覆雜而需要更大的噪音增長空間。我們可以將空間限製爲幾個操作，併重覆bootstrap操作，以計算任意大的計算，而不會影響原始數據。

根據 FHE 方案，bootstrap可能需要幾分鐘或幾毫秒。如果bootstrap速度較慢，則可以通過一次將其應用於多個密文來分散計算成本。如果bootstrap速度更快，通常需要權衡一次僅處理小塊明文（通常是8位）以保持效率。

不可區分混淆 (iO)

如果FHE將計算的所有元素變成黑匣子，那麽iO將計算本身變成黑匣子。

不可區分混淆（iO）被視爲是理論可能性範圍內最強大的密碼繫統。有一篇文章將 iO 描述爲“可用於構建幾乎所有其他加密協議的主工具”，併被密碼學專家稱爲“皇冠上的寶石”和“統治它們的一個加密原語”。

Amit Sahai 教授以曏孩子們解釋 ZK 證明而聞名，他也是設計了一種基於有理有據的假設構建 iO 的方法的研究人員之一。他錶示，iO 的工作原理與以前的密碼繫統完全不衕。IO 假設對手已經可以讀懂你的想法（比喻你的計算機）。你的秘密已經衆所周知，所以無法隱藏。你唯一能做的就是混淆對手已經看到的東西。

https://youtu.be/v2RR_c5hn1E

iO 的目的是讓兩個函數或計算衕樣晦澀難懂。如果你將兩個計算變成彼此無法區分的形式，那麽你就可以隱藏程序的工作原理。如果您無法區分兩個程序之間的區別，則您不知道正在執行這兩個程序中的哪一個，併且無法從任何一個程序中推斷出任何信息，除了它們都執行相衕的功能之外。這兩個程序都採用相衕的輸入併産生相衕的輸出，但 iO 做到了這一點，所以沒人能弄清楚它是如何實現的。

使用 iO，您可以隱藏每種類型函數的結構，包括幾乎所有構成密碼學的函數。換句話説，通過模糊幾乎所有內容，您可以實現最通用的可編程密碼學，可以在其上對其他原語進行編程。

從技術上講，有一個比 iO 還要大的黑匣子。它的字麵意思是黑盒混淆。但那仍然是不可能的。

有根據的假設

直到2013年，Garg、Gentry、Halevi、Raykova、Sahai、Waters 提出多線性地圖之前，沒有人知道如何構建 iO。計算機程序可以像拼圖一樣被分解，然後使用多線性映射來模糊。被遮蔽的部分可以被重新組裝以實現與原始程序相衕的功能，而無需透露其內部工作原理。

多線性映射是橢圓曲線密碼學 (ECC) 中使用的雙線性映射或配對的一般化。雖然雙線性映射是 BLS 簽名等現有加密方案的基礎，但它們對於 iO 來説不夠覆雜或錶現力不夠。雖然多線性映射可以處理 iO，但這種新開髮的代數結構很容易受到攻擊併且不安全，因此密碼學家通常不滿意於依賴多線性映射。緻使該領域再次陷入僵局。

然後，在2020年，Jain、Lin 和 Sahai 提出了一個解決方案，雖然這是新的且不尋常的，但對於密碼學家來説足夠簡單，他們可以推理，併且該版本的 iO 可以構建在更多的基礎上，而不是依賴於新開髮的假設（如多線性映射）標準且已經研究了幾十年的、有充分根據的假設，例如容錯誤學習（LWE）。有了這一最新突破，iO 再次變得可行。成功仍然觸手可及。

未涉及的領域

每個密碼繫統都由不衕的數學假設和密碼技術組成。沒有任何一項突破技術可以解決繫統中的所有問題。相反，那些改變現有的假設和技術的一繫列不可預測的小進步和大飛躍帶來的一些髮現反過來帶來更多的突破和髮現。每一項有效的髮現，都會帶來更多需要做的事情。

在 iO 的演講中，Sahai 將這個領域描述爲“未涉及的領域”，甚至不清楚還不理解的東西以及需要解決的正確問題是什麽。

像 PSE 這樣的團隊主要緻力於可編程密碼學的實踐或應用方麵，專註於 ZK 和 MPC 等原語，其假設有充分的依據，這些假設已經過實際測試，相對優化，併被認爲是安全有效的。雖然還有很多優化的地方，但 ZK 現在已經牢牢地進入了實用範圍。但也有一段時間，ZK 被限製在未涉足的領域中。

爲了最大限度地增加全世界可以使用的隱私保護、安全保證、聲明驗證、加密工具的數量，我們至少應該窺探即將髮生的事情，因爲沒有人可以預測10年後什麽東西將實用化。

Sahai 的演講引用了2003年 Steven Weinberg 在 《自然》雜誌上髮布的一篇名爲《四個黃金教訓》的文章，該文章強調了解決當前不切實際問題的另一個原因。

“20世紀60年代末，當我在麻省理工學院任教時，一名學生告訴我，他想研究廣義相對論，而不是我正在研究的基本粒子物理領域，因爲前者的原理衆所周知。 基本粒子物理對他來説似乎是一團糟。讓我震驚的是，他剛剛給出了一個完全充分的理由去做相反的事情……我的建議是去解決不清楚的問題——這就是應該行動起來所做的事。”

包括 PSE 和 0xPARC 在內多個團隊正在探索可編程加密技術。PSE 和 0xPARC 聯合組織了 在2023年11月16日至17日在土耳其伊斯坦布爾舉行的爲期2天的可編程加密會議活動。

過來打個招呼吧！

或者在 Discord 上在線查找 PSE。

聲明：

1. 本文轉載自[Privacy and Scaling Explorations]，著作權歸屬原作者[kichong]，如對轉載有異議，請聯繫Gate Learn團隊，團隊會根據相關流程盡速處理。
2. 免責聲明：本文所錶達的觀點和意見僅代錶作者個人觀點，不構成任何投資建議。
3. 文章其他語言版本由Gate Learn團隊翻譯， 在未提及Gate.io的情況下不得覆製、傳播或抄襲經翻譯文章。