原文标题：《零知识证明最简介绍：历史、原理、实现》
密码学可以说是区块链技术的基石，而其中的零知识证明更是因为深度契合区块链的技术特点，而得到了广泛的应用和关注。
本文旨在用最简单的语言和形式，向大家介绍零知识证明相关的历史、概念、原理、技术实现以及发展现状。
那么让我们开始吧。
密码学是一门可以追溯到 2000 多年前的古老学问，其发展历史主要可以划分为以下几个阶段：
这一时期的密码学主要被应用于军事领域，如何有效的传递密文，又能防止被敌人截获后破解，是其主要考量。16 世纪由法国人发明的「维吉尼亚密码」是古典密码理论发展上的一个重要里程碑，它使用一个词组作为密钥，词组中每一个字母都将确定一个替换表，「维吉尼亚密码」循环的使用每一个替换表完成明文字母到密文字母的变化。
明文：ilovebitcoin
密钥：satoshi
对于第一个字母 i，取第 i 行第 s 列，得到 A；第二个字母 l，取第 l 行第 a 列，得到 L…依次循环，最后得到密文：ALHJWIQLCHWF。可见，在不知道密钥的前提下，不借助计算机已经非常难以破解这样的密码。
这一阶段真正的开始源于香农在 20 世纪 40 年代末发表的一系列论文，特别是 1949 年的「Communication Theory of Secrecy Systems （保密系统通信理论）」，把已有数千年历史的密码学推向了基于信息论的科学轨道，密码学终于从艺术转向科学。
这一时期的重要突破是 DES 的出现，直至今日也只能用穷举法对其进行破解。DES 加密算法风行世界，并在金融等商业领域得到了广泛的应用。
1977 年，麻省理工学院的 Ron Rivest、Adi Shamir、Leonard Adleman 提出的非对称加密算法 RSA，有效的解决了密钥传送的问题，标志着密码学进入了百家争鸣的现代阶段。
本周，14家加密货币初创公司获得了总计4990万美元的融资:金色财经报道，本周，14家加密货币初创公司获得了总计4990万美元的融资，其中六家初创公司选择对总数保密。[2023/6/26 21:59:55]
1989 年，由麻省理工学院研究人员 Goldwasser、Micali 及 Rackoff 提出了「零知识证明」的概念，当时的他们一定不曾想到，若干年后出现的区块链技术彻底激活了零知识证明的应用，而零知识证明则为区块链技术提供了一种绝佳的解决方案。零知识证明的方法特点和区块链技术的系统特点达成了完美的契合。
零知识证明是指，在不揭晓我所知道或拥有的某样东西的前提下，向别人证明我有很大概率确实知道或拥有这样东西。
zkSNARK 则是在区块链中应用最广泛的一种零知识证明，其全称是「zero-knowledge Succinct Non-Interactive Arguments of Knowledge （简洁非交互式零知识证明）」。
光听定义，大家一定一头雾水，本节将借用一个例子，尽可能接地气的向大家介绍这两个概念。
Alice、Bob 和 Charlie 都是数独爱好者，所谓数独是这样一种游戏，玩家需要根据 9×9 盘面上的已知数字，推理出所有剩余空格的数字，并满足每一行、每一列、每一个粗线宫（3x3）的数字均含 1 到 9，且不重复。
有一天 Alice 设计了一道巨难的数独题目来考 Bob 和 Charlie，Bob 苦思冥想了几天也做不出，便向 Alice 抱怨这肯定是道无解的题目。Alice 不想将实际的解告诉 Bob，但是又需要证明她确实知道解，于是她设计了一种巧妙的「零知识证明」的方式。
Twitter已支持比特币行情数据查询:4月18日消息，Twitter 网页版及移动客户端现已支持比特币行情数据查询，数据引用源为 TradingView。同时 Twitter 在数据下方添加提醒Your Capital At Risk，将比特币归类为风险资产。[2023/4/18 14:11:19]
证明（The Proof )
Alice 拿出 81 （9x9）张空白的卡片，并在每张纸上写上 1-9 中的一个数字，接着她将代表谜面的卡片数字面朝上、代表谜底的卡片数字面朝下都放在桌上，并组成了 9x9 的矩阵。
随机挑战（The Random Challenge）
接下来怎么让 Bob 确认这就是正确的解呢？很简单，由 Bob 随机选择行、列或是粗线宫中的一种进行验证，假如选择行，则将这 81 张卡片按 9 行分别放到 9 个麻布袋中，摇匀并确保卡片次序打乱。
验证（The Verify）
简洁（Succinct）
虽然数独游戏有 3 种情况需要验证（行、列、粗线宫），但每次验证时 Bob 实际只需要验证其中的一种，这有效减少了验证工作量，提供给验证者的实际是一个比原命题小的多的证明，这就是所谓的简洁。
重复（Repeat）
之后重复这个随机验证步骤，我们假设 Alice 运气很好，每次都能提前猜中 Bob 会选择哪种验证方式，并以此来模拟一个解，那么她通过 1 次验证的概率为 1/3，通过 2 次验证的概率为 1/9，通过 10 次验证概率就只有 1/59049 了。在不厌其烦的进行了 20 次验证之后，Bob 无奈的承认，Alice 是真的知道这个答案的解，因为 Alice 凭运气通过验证的概率只有 35 亿分之一！（这也是为何我们说零知识证明是在概率上成立的证明）
Relation已在Moonbeam部署Semantic SBT合约:据官方消息，Web3社交图谱基础设施Relation已在Moonbeam部署Semantic SBT合约。
Semantic SBT在其元数据中描述两个灵魂之间的社交关系。每个人都能铸造自我认证或是第三方认证的SBT，以与他人构建不同特性的社交关系。比如，如果一个账户所有者是一个DAO的成员且被DAO给予了成员资格SBT，那么该SBT将会证明该账户拥有者和DAO之间的关系，并创建一条有向图链接。
借助RDF的抗女巫攻击功能，当Semantic SBT使用变得非常广泛时，一个可信任且准确的Semantic SBT数据层将在Moonbeam生态系统中被构建，该数据层仍保留与其他EVM SBT数据层的连接性。[2022/12/24 22:05:00]
模拟（The Simulation）
这个时候，Charlie 也来向 Alice 抱怨这个题目的无解，Alice 和 Bob 又重复了刚才的证明，没想到却没有得到 Charlie 的认可。Charlie 提出了这个证明中的漏洞，如果 Bob 和 Alice 是一伙的，每次 Bob 都会提前告诉 Alice 他要选择的验证方式，那么 Alice 就可以很容易的在没有解的情况下模拟出一个证明来通过这些测试。
非交互式证明（Non-Interactive Proofs）
不可能让每个持有这种怀疑的人都重复一遍 Bob 进行的随机验证，于是三个小伙伴设计了一台神奇的机器，Alice 只需要提交一次卡片，这台机器就可以按照初始设置好的验证序列，自动化的对这些卡片进行重复验证。验证从交互式的，变成了非交互式的。这里我们要注意，并不是说非交互式证明就没有重复随机实验这个过程。实际上，只不过是随机点不由验证者给出，而是由一个可信的第三方在初始化阶段就给出，这样一来，证明者就可以直接给出证明，验证者只需要验证证明即可，验证者和证明者之间不再需要交互。
SBF：FTX 没有参与火币全球收购:10月10日消息，FTX 创始人 SBF 转发吴说区块链推特再次声明：“还是没有参与火币全球收购。”据吴说区块链今早报道，SBF 表示没有打算收购火币。但市场传闻 FTX 有出资帮助孙宇晨。这有可能将一直支持孙宇晨的币安，推至其竞争对手的位置。[2022/10/10 10:29:25]
可信设置仪式（Trusted Setup Ceremony）
其中最有趣也最重要的环节就是验证序列的初始设置。在机器启动前，会有一排设置旋钮，通过这些旋钮可以选定每一轮的验证方式。在设置这些旋钮时，每个人依次进入放置机器的房间，选择一个旋钮并设置好，之后就用一个铁盒子彻底焊死这个旋钮，让其他人无法看见也无法改变这个旋钮的选择。为了让初始设置尽可能的可信，小伙伴们邀请了镇长、小学校长和警察局长这三位小镇上最德高望重的长者来参加设置仪式，大家都相信他们绝对不可能参与作假，因此他们称之为「可信任的初始设置仪式」。
一台数独游戏的简洁非交互式零知识证明机，诞生了！
通过上一节我们已经弄明白了零知识证明和 zkSNARK 的基本概念和原理，这一节我们再来一窥 zkSNARK 的技术实现。可以说整个实现过程相当的繁琐晦涩，且需要一定的背景知识，因此本小节只力图讲清楚其核心思想，而不拘泥于过分复杂的数学推导。
我们从一个方程式开始，X^3 + X + 5 = 35，显然解是 3。那么现在，证明者如何向验证者证明自己知道方程的解是 3，而又不告诉验证者这个解呢？
首先，我们将方程转化为计算机语言，这很容易实现：
y = x*3return x + y + 5
Nomad发布返还被盗资金说明:8月3日消息，跨链解决方案Nomad发布返还被盗资金说明，请白帽黑客将资金发送到以太坊上唯一的官方资金回收钱包地址：0x94A84433101A10aEda762968f6995c574D1bF154。如果用户有任何疑问或想确认，请发送电子邮件至recovery/img/202281271623/8.jpg">
零知识证明目前有如下几种协议，每个协议代表一条实现零知识证明的道路，不同道路最后会产生不一样的效果。
其中，安全性最高的是 STARKs 算法，其不依赖数学难题假设，具有抗量子性，并实现了透明通用字符串；Proof size 最小的 snarks 协议是 groth16 算法；Plonk 是 SNARK 协议中的一个算法，Proof size 和安全性处于适中状态。
作为区块链技术中应用最广泛的 SNARKs，已经发展出了诸多各具特点的协议算法：
Groth16：Groth16 是目前最快、数据量最小的 zk-SNARK，被用于 Zcash 等。Groth16 的 CRS （the Common Reference String）不是通用的，其设置需要绑定到一个特定的电路。由于其速度和证明的小数据量，因此常常被新的 zk-SNARK 拿来比较性能。
Groth16 论文链接
Sonic：Sonic 是一种早期的通用 zk-SNARK 协议，支持通用、可升级的参考字符串，论文发表于 2019 年 1 月。Sonic 的证明大小固定，但是验证成本高，理论上可以将多个证明分批验证以获得更好的性能。下面列举的许多新的 zk-SNARK 都是基于 Sonic。
Sonic 论文链接
Fractal：Fractal 是一种允许递归的 zk-SNARK。通过对电路的预处理实现了透明设置。证明最大 250KB，这比其他构建生成的证明都要大的多。
Fractal 论文链接
Halo：Halo 支持递归证据组织，无需可信设置，与其他新的 zk-SNARK 构建不同，Halo 的验证时间是线性的。
Halo 论文链接
SuperSonic：Sonic 的改进版，是第一个在验证时间和证明数据量方面实用化的透明 zk-SNARK。
SuperSonic 论文链接
Marlin：Sonic 的改进版，证明时间缩短 10 倍，验证时间缩短 4 倍。
Marlin 论文链接
Plonk：Sonic 的改进版，证明时间缩短 5 倍。
Plonk 论文链接
当前零知识证明缺乏专用硬件，导致硬件成本偏高，租用云服务器满负荷下成本约为 0.002 元 / 笔，有空载情况下约为 0.02 元 / 笔。Vitalik 曾提出一个设想，当以太坊共识机制改为 PoS，不需要那么多挖矿硬件后，这些算力可以经改造后转向支持零知识证明，这可能有效降低零知识证明的运行成本。
如今，零知识证明已经在区块链领域大放异彩，包括第一个实现 zkSNARK 的匿名加密货币 Zcash （ZEC）、Layer2 的主要解决方案 zk Rollup 等等。
DeGate 团队也将在产品实现中大量应用零知识证明，藉由其强大特性，我们将 Orderbook 的撮合交易转到 MatchNode （Layer3）中进行，使用户可以实时的挂单、撤单和成交，且其中挂单撤单免费；之后再将订单批量结果生成证明，传回 Layer2 上进行验证，这让 DeGate 在继承以太坊安全性的同时，既可以隐藏下单关键信息又可以有效降低 Layer2 上的 Gas 费消耗。而我们的最终目标是，无论在操作体验上，还是手续费消耗上，都使 DeGate 达到媲美中心化交易所的水平。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。