备忘录：区块链隐私保护解决方案

暴走时评：区块链技术虽然有着巨大的潜力，但多种研究发现其在隐私保护方面仍存在漏洞。R3在一项研究报告中对各种隐私保护方法进行了详细介绍，包括经许可方式、去链方式、挖矿、环签名等。总的来说，这些方法虽然各自能够解决一些隐私保护上的问题，但目前还是需要一种联合的更为强大的解决方案。

翻译：Ina

随着对区块链潜力的探索，银行很快就会推测出这种技术并不像它当初设想的那样能够提供强大的隐私保护。

当中本聪于2009年发明比特币时，他（也许是她或他们）就提供了一种方式供无条件信赖彼此的参与者们协作维护规范且防篡改的交易和电子信息纪录。但这种设计要求所有活动要展现在所有人面前。

一种叫做Zcash的新型匿名数字货币的创始人之一Zooko Wilcox说，“他不得不牺牲机密性。尽管他为了保留它告诉你可以有多个不同的付款地址，但并不能很好地保护机密性。”

这对于金融机构来说有些遗憾，因为它们虽然想从共享账本削减组织成本的优势中获益，但受法律及自身竞争本质的限制必须保证大量业务活动的机密性。

德意志银行全球交易银行首席数字官Edward Budd表示：“对区块链的隐私要求和当前对其他金融市场所采用的技术的规定没有任何不同。因此，任何分布式账本技术的潜在应用都要确保达到金融服务规定的行业安全高标准。”

在过去一年间，软件开发者和加密工程师们投入了大量的时间和资源制定计划来保护基于区块链进行交易的用户的隐私。

去年11月，探索区块链金融应用的银行联盟R3的研究部门向其成员公布了一项研究报告，介绍了最有前景的解决方案。这项研究之前没有公开，它提供了每种方法的隐私级别的细分，同时审查不可避免地参与其中的交易。

经许可方式

银行已经将精力投入到了构建许可账本中去（依靠自己或作为类似R3的联盟的成员），这种策略将区块链的参与者限制在了已知实体的范围内。这在一定程度上是由于银行不愿意依靠匿名操作者确认交易引起的，更不用说反洗钱和了解客户的规定了，这些规定要求银行广泛审查其交易方。但是限制参与者的另一个好处是它限制了谁可以阅读账本并查看交易。

R3研究报告的作者们将限制阅读权限称为保护隐私的“低技术”选项。许可账本通过摆脱挖矿可以加速处理进程，比特币和以太坊中需要用它来确定交易顺序，但会花费大量的时间和精力。

然而，仅凭许可账本还不足以保护参与者不受反垄断和内幕交易法律的限制，这些法律规定即使是同一金融机构的不同部门之间也需要保密。

“如果我在高盛，然后打电话告诉你我们和摩根大通在做很多笔交易，那我八成要陷入法律纠纷了。而这正是你在这些许可网络里会得到的信息，即便你根本还没搞清状况。”纽约梅隆银行新兴业务与技术部门副总裁Jared Harwayne-Gidansky如此说道，“无论从法律监管还是从竞争因素来看，这都是个问题。”

去链方式

侧链、状态渠道和去链消息传递都是进一步隔离主区块链数据的方法。 它们在区块链作为确定记录被保留的程度上有所不同。在摩根大通Quorum这样的系统中，私人消息被去链中继，而它们的加密指纹或哈希被包含在区块链中，作为事件发生的证明。

哈希是单向加扰函数; 如果你只有哈希算法和一串随机的数字字符，那么找出原始数据所耗时间是无法想象的，但该数据每次都会立即产生相同的哈希。 即使对数据进行最小的修改也将完全更改哈希，如下表所示：

侧链和状态渠道允许各方在平行的、私人控制且显示资产的链上进行交易，进而在可调和的更开放的公共链上进行交易。

在解决许多隐私问题的同时，这些去链方法放弃了开放式区块链技术的一个主要特性，这是面对多台计算机拥有重复相同数据的现象做出的调整。

“由于区块链是分布式技术，这就意味着你不会失败。”R3研究报告的主要作者兼Zcash另一位创始人Jack Gavigan说， “例如，如果Facebook出了问题，你就无法访问它了。 但是如果单个区块链节点出了问题，这并不代表你不能访问区块链。它只是意味着你会连接到另一个节点上。”

当交易发生在普遍共享的主要区块链之外时，他们就无法从这个关键特点中受益了。

挖矿

比特币区块链存储每枚币的完整交易纪录，包括它被谁拥有（即它被分配到哪个地址）及何时被消费。将来自多个用户的货币混在一起，进行洗牌，将它们分成较小的量，然后将钱重新分配给预期的接收者，以便将交易历史随机化。

早期的混币服务由第三方运营，用户不得不暂时将钱委托给他们。现在有了其他的去中心化方法，如CoinJoin，允许多人联合签署单个交易给多个收款人。其结果比依靠第三方（他们可能会保留预定的预混交易记录或挪用资金）更安全。一位匿名作者在去年夏天在一篇文章中概述了 MimbleWimble计划，它甚至可以将所有交易混合到所创建的每个新区块中。

理想的混币服务会合并许多随机交易，并在延迟之后分配资金，这意味着它很缓慢并需要协调。

此外，混币业务不太可能为金融业监管者所接受。

Gavigan表示，“如果你对监管者说， ‘没错，我们通过将客户的交易与一大堆其他交易混合为他们实现实现隐私保护和保密，’ 那么监管者可能不太会认可。但是如果资产的来源并不重要，那么它就可能是完全有效的。”

环签名

环签名最初被描述为CryptoNote协议的一部分——该协议在数字货币Monero中执行，用来隐藏交易的发送地址。使用环形签名可以使交易拥有多个发送者，而其中只有一个是真的。仅仅通过查看环签名不可能辨别是哪个地址发起并最终签署了交易。

但其他观察可能增加攻击者的猜测机会。例如，查看来自每个地址的先前交易可能透露交易在一天中最容易发生的时间或交易图分析中使用的其他数据。

和Gavigan一起撰写研究报告的Wilcox称之为“匿于人群中”的策略，并认为它的成功取决于人群的规模和人口随机性。 （需要注意的是Monero与他的项目Zcash存在激烈竞争。）

Monero使用被称为三角分布的方法选择迷惑性地址，该方法倾向于选择在最近交易中频繁使用货币的地址，因此看起来比货币闲置的地址更真实。

Monero源代码的主要维护者Riccardo Spagni表示，“每个环签名至少包含一个最近的输出，要么是因为用户想要消费最近的输出，要么因为虽然他们没有，但我们总想在其中设置最近的输出。这是没有办法知道的，也意味着分析回到了假设环中的每个输出是候选者的论点上来。”

Pederson承诺

Pedersen承诺是比特币核心开发商Greg Maxwell保密交易的关键要素，是Monero的附加条款。

该技术允许发送方通过在区块链上将其作为哈希进行传播来承诺交易量且不用向一般公众泄露。然后，用户可以通过再现存储在区块链上的哈希作为证明来向接收者或可能需要了解该信息的任何其他人（如监管者）揭示金额。

Pederson承诺也是可转让的，使得接收它的人可以在其他地方再次消费，且不会暴露金额。 这是因为选择的哈希是同态的，意味着你可以对它们做简单的算术函数运算，如减法和加法，而不需要解密数据。 此功能使矿工和验证节点检查交易的输入和输出是否彼此抵消，没有人会使用自己没有的货币。

零知识证明

零知识证明是Zcash的关键特点。它的显着特征是，你不必揭示数据的内容就可以使用它来证明关于一组数据的陈述。以Zcash为例，零知识证明用于对加密的交易数据执行加密验证，使发送者和交易额被证明是合法的（尽管它们仍是私有的）。

R3委托的研究报告的作者中，有两位创立了公司并了解到Zcash的发展，他们提到零知识证明的缺点之一是速度缓慢。该计算需要大约48秒完成。除非提高性能，否则零知识证明可能不适合诸如高吞吐量交易的应用，因为它们需要尽快得到结果。

零知识证明还有一个更大的问题。为了在像Zcash这样的电子货币中执行它，开发人员必须酝酿一些其他加密元素，即参数，并将它们加入系统中。该过程衍生出了一种危险的副产品——私钥，可以用于制造假币。任何使用Zcash的人都必须相信参数已经创建且私钥已被彻底销毁 ——这对于彻底的分散主义者来很是煞风景，尽管已经采取了详细的措施来缓解这个问题。

Zcash团队采用了一种去中心参数生成过程，旨在确保私钥的完整副本不会出现。为此，他们创造了六个独立的关键碎片，分散在世界各地的站点中。然后参与者使用他们的分片在协作进行一系列的计算，从而生成一组完整的参数，但不需要在团体内共享自己的分片。最后，每个站店都要毁掉它自己的密钥部分。 如果要破坏这个过程，攻击者必须得到这六个关键碎片并将其拼凑起来。

隐形地址

根据最初的设计，比特币需要想要接收货币的人向发送者提供地址。隐形地址使这个流程颠倒过来。发送者可以创建地址并填上交易。即使地址是新的，发送者也确定接收者拥有将其打开的相应钥匙。

隐藏地址为交易的双方提供了一种无需向系统中其他人传播信息就能确定目的地址的方法，并且不需要共享可能受接收方控制的其他地址。

这些技术每一种解决了一部分的谜题，但我们现在开始寻求如何将它们拼凑起来以构建更全面的隐私保护。

Gavigan说，“许多执行策略都采用了多种不同的技术，并将它们组合在一起以实现相加的结果。 很可能不同技术的结合会产生更好的解决方案。”

同时，他表示，没有办法概括基于区块链技术的公司的需求，因为每家公司想要实现的东西都各不相同。

“从某些方面来看，区块链技术有点像盲人摸象，”Gavigan说， “一个人摸到腿觉得是树干。 另一个人摸到身体觉得是堵墙。而第三个人摸到鼻子觉得是条蛇。”

作者：Morgen Peck | 编译者：Ina | 来源：AmericanBanker