特别感谢BenDiFrancesco、MattSolomon、ToniWahrst?tter和AntonioSanso的反馈和审阅。以太坊生态系统中剩下的最大挑战之一是隐私。默认情况下，进入公共区块链的任何内容都是公开的。越来越多地，这不仅意味着金钱和金融交易，还意味着ENS域名、POAP、NFT、灵魂绑定代币等等。在实践中，使用整套以太坊应用程序涉及将你生活的重要部分公开给任何人查看和分析。如何改善这种状况已经成为一个重要的问题，这一点已得到广泛认可。然而，到目前为止，关于改善隐私的讨论主要围绕一个特定的用例：ETH和主流ERC20代币的隐私保护转移。这篇文章将描述一种不同类别的工具的机制和用例，这些工具可以在许多其他情况下改善以太坊的隐私状态：隐身地址。什么是隐身地址系统？
假设Alice想给Bob一个资产。这可能是一定数量的加密货币，也可能是一个NFT。当Bob收到资产时，他不想让全世界都知道是他得到的。想要隐藏一笔转账发生的事实是不可能的，特别是如果它是一个链上只有一个副本的NFT，但隐藏谁是接收者可能更可行。Alice和Bob也很懒惰：他们想要一个支付流程与今天完全相同的系统。Bob向Alice发送某种“地址”编码，编码某人如何向他付款，仅此信息就足以让Alice向他发送资产。请注意，这与TornadoCash等工具提供的隐私不同。TornadoCash可以隐藏ETH或主要的ERC20代币等主流可替代资产的转账，但它在为不知名的ERC20转账添加隐私方面非常薄弱，并且它无法为NFT转账添加隐私。
使用加密货币进行支付的普通工作流程。我们想增加隐私，但保持工作流程不变。隐身地址提供了这样的方案。隐身地址是可以由Alice或Bob生成的地址，但只能由Bob控制。Bob生成并保密一个支出密钥，并使用该密钥生成一个隐形元地址。他将这个元地址传递给Alice。Alice可以对该元地址执行计算以生成属于Bob的隐形地址。然后她可以将她想发送的任何资产发送到这个地址，Bob将完全控制这些资产。随着转移，她在链上发布了一些额外的加密数据，帮助Bob发现这个地址属于他。另一种方式是：隐身地址提供与Bob相同的隐私属性，为每笔交易生成一个新地址，但不需要Bob的任何交互。隐身地址方案的完整工作流程如下所示：
1.Bob生成他的根支出密钥(m)和隐形元地址(M)。2.Bob添加一条ENS记录以将M注册为bob.eth的隐形元地址。3.我们假设Alice知道Bob是bob.eth。Alice在ENS上查找他的隐身元地址M。4.Alice生成一个只有她知道的临时密钥，并且她只使用一次。5.Alice使用一种算法，将她的临时密钥和Bob的元地址结合起来生成一个隐身地址。她现在可以将资产发送到这个地址。6.Alice还生成了她的临时公钥，并将其发布到临时公钥注册表。7.为了让Bob发现属于他的隐身地址，Bob需要扫描临时公钥注册表以查找自上次扫描以来任何人出于任何原因发布的整个临时公钥列表。8.对于每个临时公钥，Bob尝试将其与他的根支出密钥结合起来生成一个隐形地址，并检查该地址中是否有任何资产。如果有，Bob计算该地址的支出密钥并记住它。这一切都依赖于密码的两种用途。首先，我们需要一对算法来生成共享秘密：一个算法使用Alice的秘密事物和Bob的公开事物，另一个算法使用Bob的秘密事物)和Alice的公开事物。这可以通过多种方式完成；Diffie-Hellman密钥交换是建立现代密码学领域的成果之一，它也正是实现了这一点。但是仅共享秘密是不够的：如果我们只是从共享秘密生成一个私钥，那么Alice和Bob都可以从这个地址消费。我们可以就此打住，让Bob将资金转移到新地址，但这样做效率低下并且不必要地降低了安全性。所以我们还添加了一个密钥盲化机制：一对算法，Bob可以将共享秘密与他的根支出密钥结合起来，Alice可以将共享秘密与Bob的元地址结合起来，这样Alice就可以生成隐身地址，并且Bob可以为该隐身地址生成支出密钥，所有这些都无需在隐身地址和Bob的元地址之间创建公共链接。使用椭圆曲线密码术的隐身地址
使用椭圆曲线密码术的隐身地址最初是由PeterTodd于2014年在比特币的背景下引入的。该技术的工作原理如下：?Bob生成一个密钥m，并计算M=G*m，其中G是椭圆曲线的共同商定生成点。隐形元地址是M的编码。?Alice生成一个临时密钥r，并发布临时公钥R=G*r。?Alice可以计算出一个共享秘密S=M*r，而Bob可以计算出相同的共享秘密S=m*R。?一般来说，在比特币和以太坊中，地址是包含用于验证来自该地址的交易的公钥的哈希。因此，如果您计算公钥，就可以计算地址。为了计算公钥，Alice或Bob可以计算P=M+G*hash(S)?为了计算该地址的私钥，Bob可以计算p=m+hash(S)这满足了我们上面的所有要求，而且非常简单！今天甚至有一个EIP试图为以太坊定义一个隐身地址标准，它既支持这种方法，又为用户提供了开发其他方法的空间。现在你可能会想：隐身地址并不难，理论已经扎实，采用只是一个实现细节。然而，问题在于，真正有效的实施需要通过一些相当大的实施细节。隐身地址和支付交易费用
假设有人给你发了一个NFT。考虑到您的隐私，他们会将其发送到您控制的一个隐身地址。扫描链上的ephem公钥后，您的钱包会自动发现该地址。您现在可以自由证明这个NFT的所有权或将其转让给其他人。但是有一个问题！该帐户中的ETH为0，因此无法支付交易费用。即使是ERC-4337代币付款人也不会工作，因为它们只适用于可替代的ERC20代币。而且你不能从你的主钱包向它发送ETH，因为那样你就创建了一个公开可见的链接。插入2017年加密局人物的模因是作家可以用来表示博学和受人尊敬的一项重要技术，因为这表明他们已经入圈很长时间并且品味高雅，并且不容易被像SBF这样的人所。有一种“简单”的方法可以解决这个问题：只需使用ZK-SNARKs转移资金来支付费用！但是这样会消耗大量的gas，单次转账就多了几十万gas。另一种聪明的方法涉及信任专门的交易聚合器。这些聚合器将允许用户支付一次以购买一组可用于支付链上交易的“票”。当用户需要在一个不包含任何其他内容的隐身地址中花费NFT时，他们会向聚合器提供其中一张票，使用Chaumian盲化方案进行编码。这是在1980年代和1990年代提出的中心化隐私保护电子现金方案中使用的原始协议。搜索者接受“票”，并重复将交易免费包含在他们的捆绑包中，直到交易在一个区块中被成功接受。由于涉及的资金量少，而且只能用于支付交易手续费，因此信任和监管问题远低于“完全”实施这种中心化隐私保护电子现金。隐身地址和分离支出和查看密钥
假设Bob不是只有一个可以做所有事情的主“根支出密钥”，而是想要一个单独的根支出密钥和查看密钥。查看密钥可以看到Bob的所有隐形地址，但不能从中花费。在椭圆曲线世界中，这可以使用一个非常简单的密码技巧来解决：?Bob的元地址M现在的形式为(K,V)，编码为G*k和G*v，其中k是支出密钥，v是查看密钥。?共享秘密现在是S=V*r=v*R，其中r仍然是Alice的临时密钥，R仍然是Alice发布的临时公钥。?隐身地址的公钥是P=K+G*hash(S)，私钥是p=k+hash(S)。请注意，第一个聪明的加密步骤使用查看密钥，第二个聪明的加密步骤使用根支出密钥。这有很多用例。例如，如果Bob想要接收POAP，那么Bob可以给他的POAP钱包他的查看密钥来扫描链并查看他的所有POAP，而不需要给这个界面花费那些POAP的权力。隐身地址和更容易扫描为了更容易地扫描整个临时公钥集，一种技术是向每个临时公钥添加一个视图标签。在上述机制中执行此操作的一种方法是使视图标签成为共享秘密的一个字节。这样，Bob只需要为每个临时公钥执行一次椭圆曲线乘法来计算共享秘密，而Bob需要进行更复杂的计算以生成和检查完整地址的时间只有1/256。隐身地址和抗量子安全
上面的方案依赖于椭圆曲线，它很好，但不幸的是容易受到量子计算机的攻击。如果量子计算机成为一个问题，我们将需要切换到抗量子算法。有两个自然的候选者：椭圆曲线同源和格。椭圆曲线同源是一种非常不同的基于椭圆曲线的数学构造，它具有线性特性，可以让我们使用与上面所做的类似的密码技巧，但巧妙地避免了构造可能容易受到量子计算机离散对数攻击的循环群。基于同源性的密码学的主要弱点是其高度复杂的底层数学，以及在这种复杂性下隐藏可能的攻击的风险。去年，一些基于同种基因的协议被攻破，但其他协议仍然安全。同源性的主要优势是相对较小的密钥大小，以及直接移植多种基于椭圆曲线的方法的能力。
CSIDH中的3-同源性，来源在这里。格是一种非常不同的密码结构，它依赖于比椭圆曲线同构简单得多的数学，并且能够完成一些非常强大的事情）。隐形地址方案可以建立在格上，尽管设计最好的方案是一个悬而未决的问题。然而，基于格的结构往往具有更大的密钥大小。
全同态加密，这是格的一种应用。FHE还可以用于以不同的方式帮助隐形地址协议：帮助Bob外包检查整个链中是否包含资产的隐形地址的计算，而无需透露他的视图密钥。第三种方法是从通用黑盒原语构建隐身地址方案：许多人出于其他原因需要的基本成分。该方案的共享秘密生成部分直接映射到密钥交换，这是公钥加密系统中的一个重要组成部分。更难的部分是让Alice只生成隐形地址并让Bob生成支出密钥的并行算法。不幸的是，您无法使用比构建公钥加密系统所需的成分更简单的成分来构建隐形地址。有一个简单的证明：你可以用一个隐蔽的地址方案构建一个公钥加密系统。如果Alice想给Bob加密一条消息，她可以发送N笔交易，每笔交易要么发往Bob的一个隐身地址，要么发往一个属于她自己的隐身地址，Bob可以看到他收到了哪些交易来读取消息。这很重要，因为有数学证明你不能只用哈希来做公钥加密，而你可以只用哈希来做零知识证明——因此，隐形地址不能只用哈希来完成。这是一种确实使用相对简单成分的方法：零知识证明，可以由哈希和公钥加密组成。Bob的元地址是一个公开的加密密钥加上一个哈希h=hash(x)，他的支出密钥是对应的解密密钥加上x。为了创建一个隐身地址，Alice生成一个值c，并将Bob可读的c加密作为她的临时公钥发布。地址本身是一个ERC-4337帐户，其代码通过要求交易提供零知识证明来验证交易，证明值x和c的所有权，使得k=hash(hash(x),c)。知道x和c，Bob可以自己重建地址及其代码。
c的加密不会告诉Bob任何其他人任何信息，而且k是一个哈希，因此它几乎不会透露任何关于c的信息。钱包代码本身只包含k，c是私有的，意味着k无法追溯到h。然而，这需要一个STARK，而STARK很大。最终，我认为后量子以太坊世界很可能会涉及许多应用程序使用许多Stark，因此我提倡像此处描述的聚合协议将所有这些STARK组合成一个递归STARK以节省空间。隐身地址和社交恢复以及多L2钱包
很长一段时间以来，我一直是社交恢复钱包的粉丝：具有多重签名机制的钱包，其密钥在机构、您的其他设备和您的朋友之间共享，其中一些绝大多数密钥可以恢复对您帐户的访问，除非您丢失主秘钥。然而，社交恢复钱包不能很好地与隐身地址混合：如果你必须恢复你的账户，你还必须执行一些步骤来改变你的N个隐身钱包的账户验证逻辑，这将需要N笔交易，以高昂的费用、便利性和隐私成本为代价。社交恢复和多个第2层协议的世界的相互作用也存在类似的担忧：如果你在Optimism、Arbitrum、Starknet、Scroll、Polygon有账户，并且可能其中一些rollups上出于扩展原因有十几个并行实例，并且您在每个实例上都有一个帐户，那么更改密钥可能是一个非常复杂的操作。更改多个链中多个帐户的密钥是一项巨大的工作。一种方法是硬着头皮接受恢复是罕见的，而且代价高昂和痛苦是可以接受的。也许您可以使用一些自动化软件在两周的时间跨度内以随机间隔将资产转移到新的隐蔽地址，以降低基于时间的链接的有效性。但这远非完美。另一种方法是在监护人之间秘密共享根密钥，而不是使用智能合约恢复。但是，这会消除停用监护人帮助恢复您帐户的权力的能力，因此存在长期风险。一种更复杂的方法涉及零知识证明。考虑上面基于ZKP的方案，但修改逻辑如下。账户不是直接持有k=hash(hash(x),c)，而是持有链上k位置的承诺。从该账户支出然后需要提供一个零知识证明你知道链上与该承诺匹配的位置，以及该位置的对象包含一些值k，并且你有一些值x和c满足k=hash(hash(x),c)。这允许许多帐户，甚至跨越许多第2层协议，在某处由单个k值控制，其中更改一个值足以更改所有帐户的所有权，所有这些都不会泄露您的帐户之间的联系。结论
基本的隐身地址今天可以相当快地实施，并且可以显着提高以太坊上的实际用户隐私。他们确实需要在钱包方面做一些工作来支持他们。也就是说，我认为出于其他与隐私相关的原因，钱包应该开始转向更原生的多地址模型。然而，隐身地址确实会带来一些长期的可用性问题，例如社交恢复的困难。现在可以简单地接受这些担忧，例如。通过接受社交恢复将涉及隐私的丧失或延迟两周以缓慢地将恢复交易发布到各种资产。从长远来看，这些问题是可以解决的，但从长远来看，隐身地址生态系统看起来确实严重依赖于零知识证明。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。