在区块链世界中，身份可以以多种方式表现出来。真实世界的实体(如人或组织)可以在一个或多个区块链上采用不同的形式，区块链上的一个身份可以代表几个真实世界的实体。这样的身份可以通过拥有私钥、拥有特殊类型的NFT、参与某种类型的DeFi等进行建立。
图1：数字身份演示
这种通用且灵活的身份概念可以实现前所未有的用例和体验——但我们也同时需要注意隐私。一个人的身份可能是以一种特定的方式相互关联的多种事物，但只有其中的某一部分可能在一个环境中才是最重要的。例如，一场只允许BAYCNFT持有者参加的音乐会的组织者并不真正关心你拥有哪一个NFT，只要你至少拥有其中一个就可以。参加DeFi会议可能要求去年你在某个DeFi交易所借出了5万个代币，但不确切说明借出了多少、参与了多长时间等。
Polygon开源零知识证明系统Plonky2:8月16日消息，Polygon宣布开源零知识证明系统Plonky2，另外，STARK证明器Starky也是开源的。Plonky2由Polygon于今年1月份公布，Plonky2是一种递归SNARK，并且与以太坊原生兼容，结合了PLONK和FRI，具有快速证明和无可信设置。[2022/8/16 12:28:58]
第一个例子
零知识(ZK)证明可以真正实现这样的用例，同时为相关实体提供数学上可证明的隐私。为了进一步阐述这一点，让我们回到前一段的两个例子。对于第一个例子，ZK证明将表明一个想要参加音乐会的人P知道一个地址A的密钥，该地址属于BAYCNFT持有者的10,000个地址集。进一步分解：
公共输入是在链中某一特定NFT的所有地址的集合S;；
门罗币完成零知识证明系统Bulletproofs+代码审计:2月15日，门罗币官方发推称，完成零知识证明系统Bulletproofs+代码审计。此前消息，零知识证明系统Bulletproofs+代码获准可在门罗币协议中使用。随后官方计划筹集90.3 XMR以进行零知识证明系统Bulletproofs+审计。[2021/2/15 19:49:05]
私人输入P为密钥sk1；
我们想在ZK中证明的是，从sk派生的地址在集合S中。
在零知识学术文献中，这种证明通常被称为成员证明。有几种方法可以生成这样的证明。如果集合不是太大，可以使用RSA累加器。
使用RSA累加器，集合S可以用一个短值表示——成员证明也很短。在S中添加或删除地址的代价也很低，与累计值的数量无关。然而，在最坏的情况下，累积集合S和产生证明所花费的时间可能与S的大小成线性关系(实际的时间范围取决于设置的具体情况，甚至可能是恒定时间)。这里还有另一个问题：我们不仅想证明某个地址A在集合中，而且还想证明A是从sk派生出来的。我们可以为前者设计自定义ZK协议（例如，离散对数知识)，但通用的ZK系统通常最适合后者。另一个问题是以一种有效的方式将三个组件粘合在一起(成员关系、离散日志和哈希的原像)。
Findora将基于腾讯云提供零知识分类帐产品“zkLDB”:7月2日消息，去中心化金融公链项目Findora宣布与腾讯云建立合作关系，Findora将很快基于腾讯云提供零知识分类帐产品“zkLDB”。该产品将支持加密交易（encryptedtransaction）和资产发行、处理、验证和存储。Findora的zkLDB还包含一套完整的合规隐私保护审核工具。另外，腾讯和Findora将合作提供多种API和SDK，以满足银行、投资管理和游戏等行业的需求。
注：Findora是一个基于密码学的金融公链，由计算机密码学专家和美国斯坦福大学校产基金首席执行官组建，旨在支持众多应用，包括开放式银行、资产证券化、交易和点对点贷款。不仅为企业提供数据隐私服务，同时允许审计以符合财务规则。（MarketWatch）[2020/7/2]
第二个例子
声音 | V神评价MimbleWimble：只有零知识证明 ZK-SNARKs 等全局匿名集，才能真正保证隐私安全:针对 Dragonfly Capital 的分析师 Ivan Bogatyy 发布的关于阐述 MimbleWimble 协议有重大缺陷、Grin 网络 96% 的交易可被破译的文章。
以太坊创始人Vitalik在推特回应称：如果隐私模型设置了一个中等的匿名集，那么它实际上设置了一个小范围的匿名集。如果隐私模型的匿名集较小，则其匿名集为 1。只有全局匿名集（例如，使用 ZK-SNARKs 技术进行的加密）才真正具有安全性。[2019/11/19]
上面提到的第二个用例比第一个要复杂一些。有兴趣参加DeFI会议的人需要表明他们向区块链发送了交易tx(如以太坊)，该区块链在DeFI合约中调用了借贷功能，比如DF。他们还需要表明，tx转了至少5万个代币，并且它被添加到对应于2021年开始和结束的两个区块之间的区块链中。现在，根据区块链，一年内可能会生成数十万区块。每个区块包含的所有交易的哈希(通常称为交易哈希)。ZKP可以用来表明tx被“包含”在某个区块B的交易哈希中——而不显示tx本身——但这会揭示比预期的还要多的信息。在极端情况下，如果B只包含合约DF的一笔交易，那么ZKP是没有意义的。理想情况下，我们希望证明tx包含在2021年的其中一个区块的交易哈希中。
动态 | 三星SDS采用零知识证明增强其企业区块链隐私性:据coindesk消息，三星企业技术部门SDS (Samsung SDS)正在使用零知识证明(zero-knowledge proof, ZKPs)来增强其Nexledger区块链的隐私保护。该公司周四表示，它已与总部位于以色列的QEDIT建立了合作关系，在不披露保密信息的情况下，在一个共享的账簿上记录和验证资产转移。此举突显出采用分布式账本技术的公司面临的挑战之一，向网络广播交易，可能会暴露敏感的客户数据，并向竞争对手泄露信息。[2019/11/14]
生成一个包含2021年以来所有区块(或至少有一些DF交易的区块)的Merkle树，并证明包含tx的区块只是Merkle树的叶子之一，这将是一个更具可扩展性的方法。对于这个问题：
公共输入是2021年以来所有区块集合的Merkle根(或至少是它们的正确子集)，和合约DF的代码(通过链上的合约地址引用);
私人输入是用于签署tx的密钥sk，tx本身，包含tx的区块B，以及B在Merkle树中的路径；
我们想要证明的是：sk用于签署tx，tx包含在B中，B是Merkle树的一部分，tx调用DF中的适当函数，并且tx转了至少5万个代币。
我们只是触及了可以在不同用例中进行的大量身份验证的皮毛，ZK语句已经开始显示出一些复杂性。事实上，一旦我们开始更具体地思考，它们会变得更加复杂(诚然，上面关于DeFi会议参与问题的语句相当简单)。其中的复杂性包括：
DF不是直接调用的，而是通过另一个合约或一系列合约进行调用的；
tx包含在区块链中，但对DF的状态没有预期的效果；
会议关心的是以今天的利率借出的实际美元数量，而不是代币。
跳出固有思维模式
不过我们不必太担心。ZKP的美妙之处在于，几乎任何你能想到的语句都可以在零知识中被证明(确切地说，任何可以在多项式时间内被验证的关系也可以在零知识中被证明)。虽然ZKP的非交互式版本最适合解决L1上的机密性、隐私、状态增长、完整性等问题，但交互式证明对于需要基于区块链的身份断言的许多应用程序可能很有意义。
图2：ZKP交互式版本示例
上述音乐会入场的例子可以用来说明这一点。对于NFT所有权的ZK成员证明，只需要一个确定的验证者，而不是典型的L1设置中的数百或数千个身份不明的验证者。证明者可以主动与验证者接触，并在会话过程中交换多条消息，从而摆脱了非交互式ZK证明固有的复杂性。事实上，证明不必很短，验证者的复杂度也不必很低，因此可以充分探索ZK-SNARK之外的ZK证明范围。我们将能够使用具有更好的证明复杂性、底层安全假设等的证明系统。
请参阅下表，了解不同证明系统的高级比较。当我们沿着表格往下看时，证明复杂度和安全性假设变得越来越好，而证明大小变得越来越差。虽然基于mpc的ZK证明系统提供了最好的证明复杂性，并且具备无需信任的设置，但证明是交互式的并且仅适用于特定的验证者，所以当身份断言必须对链下的特定一方做出判断时，这可能就不是问题。(ZK证明系统的其他一些特征，如后量子安全性，在表中没有体现。)
表1：不同证明系统的高级比较
总之，世界上的身份不一定是基于区块链的，也不一定是基于非区块链的。展望未来，它们当然可以是两者的结合——这将使保护隐私的身份断言变得更加有趣!
Source：https://medium.com/delendum/zk-in-identity-980493401d80
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。