Loading...
Dieser Artikel ist gespiegelt von Proof Street, einer unabhängigen Publikation über datenschutzwahrende Berechnungen: ZK, FHE, MPC, TEEs und dezentrale Identität. Ursprünglich veröffentlicht als "Vertraulichkeit im Vergleich: was vier Datenschutz-Architekturen versprechen" am 12. August 2026. Gespiegelt mit Genehmigung des Autors als Teil von Zcash Community Grant #339. Von Stephen Webber.
Ende Juli schaltete Zama auf Ethereum Mainnet einen vertraulichen Swap-Handelsplatz in einer privaten Beta vor einem öffentlichen Start im September frei, der es einem Trader ermöglicht, eine verschlüsselte Absicht einzureichen, die den Betrag, die Slippage-Toleranz und die Richtung des Trades verbirgt.
Dafür stützt es sich auf ein kleines Stück Choreografie. Der Trader hinterlegt zwei vertrauliche Transfers, einen mit den tatsächlichen Assets und einen für die Gegenposition mit einem Nullbetrag, sodass ein Beobachter eine bidirektionale Bewegung verborgener Größe sieht und einen Kauf nicht von einem Verkauf unterscheiden kann. Whitelistete Market Maker entschlüsseln die Absicht, sehen die Größe, aber nicht die Richtung, und quotieren beide Seiten. Eine Sealed-Bid-Auktion wird on-chain abgewickelt, und nur der gewinnende Maker erfährt, in welche Richtung sich der Trade bewegt hat. Das Nettoergebnis ist ein Swap, der in großer Größe auf einer öffentlichen Chain ausgeführt wird, bei dem keine einzelne Partei außerhalb des Trades jemals das vollständige Bild zusammensetzt.
Zama beschreibt das Produkt als durchgängig vertraulich, aber was beinhaltet diese Vertraulichkeit tatsächlich? Vertraulichkeit erfordert hier Vertraulichkeit entlang einer ganzen Kette von Handlungen, sodass die Öffentlichkeit das eine sieht, die unterlegenen Bieter mehr sehen, da sie die Größe des Trades entschlüsselt haben, um ihn zu quotieren, und der Gewinner wiederum noch mehr sieht. Vereinfacht gesagt ist jede Stufe der Abfolge genau deshalb so, weil jemand entschieden hat, wer was wann wissen muss. Es wäre schön, Vertraulichkeit als „niemand sieht irgendetwas“ zusammenzufassen, aber in der Praxis würde dann nichts funktionieren. Vertraulichkeit muss strukturiert werden, und sie muss einer Abfolge folgen.
Interessant ist, dass fast zehn Jahre vor diesem Start Zcash die erste vertrauliche Settlement-Schicht auf einer öffentlichen Blockchain eingeführt hat und dabei Zero-Knowledge-Proofs nutzte, um Sender, Empfänger und Betrag einer Transaktion zu verbergen, während zugleich allen bewiesen wurde, dass die Transaktion gültig war. In dem Jahrzehnt seither ist „vertraulich“ zum Adjektiv für mindestens vier unterschiedliche Technologiefamilien geworden: abgeschirmte Transaktionen, vollständig homomorphe Verschlüsselung, Multi-Party Computation und Trusted Execution Environments. Produkte aus allen vier Familien laufen inzwischen in Produktion, mehrere davon auf derselben Chain. Also, was steckt in der Dose?
Die vier Familien bieten unterschiedliche und teils überlappende Antworten auf vier verschiedene Probleme, und da jede Antwort inzwischen als Produkt verpackt ankommt, besteht die eigentliche Aufgabe darin herauszufinden, welches Problem man tatsächlich hat.
Jede Behauptung über Vertraulichkeit muss, wenn man sie auf ihr Untergewand reduziert, vier Fragen beantworten. Welche Daten sind verborgen? Vor wem? Während welcher Phase im Leben der Daten? Und worauf muss man vertrauen, damit die Garantie bestehen bleibt?
Nehmen wir als Beispiel den Swap-Handelsplatz. Er muss Betrag, Richtung und Slippage verbergen. Warum nicht das Asset-Paar? Zama sagt, eine zukünftige Version werde auch das verbergen. Vor wem: vor der Öffentlichkeit und Front-Running-Bots vollständig, vor den quotierenden Market Makern teilweise, vor dem gewinnenden Maker am wenigsten. Während welcher Phase: während der Quotierung und Auktion, mit einer beabsichtigten Offenlegung beim Settlement. Und wem man vertrauen muss: Die Garantie beruht auf der FHE selbst, auf den Smart Contracts und auf einem Threshold-Schlüsselverwaltungssystem, dessen Betreiber nicht über einen Schwellenwert hinaus kolludieren dürfen. Laut dem Litepaper kann keine einzelne Partei jemals auf die Entschlüsselungsschlüssel zugreifen.
Es ist ein Design, um große Volumina auszuführen, ohne die Strategie zu senden. Market Maker sehen die Größe, weil sie einen Preis nicht ohne sie kalkulieren können. Der Gewinner erfährt die Richtung, weil das Settlement es nun einmal erfordert.
Was das Beispiel zeigt, ist, dass eine Behauptung, die binär klingt, als wäre etwas vertraulich oder nicht, tatsächlich in einen Zeitplan von Ausschlüssen zerfällt. Es gibt sehr unterschiedliche Wege, zu Behauptungen zu gelangen, die gleich klingen.
Eine abgeschirmte Zcash-Transaktion verbirgt den Sender, den Empfänger und den Betrag. Öffentlich bleibt der Proof: ein Zero-Knowledge-Argument, das von jedem überprüft werden kann, der einen Knoten betreibt, und das bestätigt, dass die verborgene Transaktion den Regeln folgt. Abgeschirmte Mittel existieren als verschlüsselte Notes, von denen jede ein privater Eintrag eines Betrags und seines Eigentümers ist, der on-chain nur als kryptografisches Commitment erscheint. Das Ausgeben einer Note veröffentlicht einen Nullifier, einen Wert, der verhindert, dass dieselbe Note jemals zweimal ausgegeben werden kann, ohne offenzulegen, welche Note es war. Das bedeutet, dass das Netzwerk Double-Spends zurückweisen kann, ohne jemals zu erfahren, welche Mittel bewegt wurden, sodass das Ausgeben keine Spur hinterlässt, die eine Transaktion mit einer anderen verknüpft. Die Aufgabe des Proofs besteht darin festzustellen, dass der Ausgebende die Note besaß, dass die Werte der Transaktion ausgeglichen sind und dass kein ZEC erzeugt oder vernichtet wurde, und das alles, ohne irgendeine der beteiligten Größen offenzulegen.
Die unterscheidende Eigenschaft des Designs wird am deutlichsten, wenn man betrachtet, worauf vertraut werden muss. Es gibt kein Komitee, das eine abgeschirmte Transaktion entschlüsseln kann, kein Betreiber-Set, dessen Kollusionsschwelle wichtig wäre, keinen Hardware-Anbieter, dessen Attestierung geglaubt werden muss. Was in der Vertrauensbasis bleibt, sind die Mathematik und die Korrektheit der Schaltungen, die die Regeln kodieren. Für jeden, dessen Bedrohungsmodell die Infrastruktur selbst einschließt, Betreiber, die unter Druck gesetzt werden können, Anbieter, die kompromittiert werden können, ist diese kurze Liste das Produkt.
Tatsächlich wurde diese Vertrauensbasis gerade in Produktion getestet. Am 29. Mai entdeckte Taylor Hornby, ein Sicherheitsforscher, der für Shielded Labs auditierte, einen Soundness-Fehler im Proof-Circuit des Orchard-Pools, der seit dem Start des Pools im Jahr 2022 vorhanden war und laut der Offenlegung von Shielded Labs unbegrenzt gefälschtes ZEC innerhalb von Orchard ohne jede On-Chain-Spur hätte prägen lassen können.
Der Notfall-Fix wurde in fünf Tagen ausgeliefert: Orchard wurde am 2. Juni pausiert und dann am 3. Juni mit einem korrigierten Circuit wiederhergestellt. Der Remediation-Beitrag von ZODL fasste die Auswirkungen enger als Shielded Labs und beschrieb ein Risiko von Double-Spending innerhalb des Pools statt eines gefälschten Angebots; außerdem berichtete er, dass die Privatsphäre der Nutzer und die gesamte Obergrenze des Angebots unberührt blieben.
Der Wiederaufbau der Verifizierbarkeit wurde später ausgeliefert. Ironwood, aktiviert als NU6.3 am 28. Juli, versiegelt den Orchard-Pool dauerhaft, eröffnet einen frischen Pool auf dem korrigierten Circuit, gestützt durch unabhängige Audits und formale Verifikationsarbeit, und leitet alle ausgehenden Mittel durch eine Drehsperre, die Auszahlungen auf das begrenzt, was nachweislich eingegangen ist, wodurch für jeden Nutzer die Möglichkeit wiederhergestellt wird, das Umlaufangebot unabhängig zu prüfen, ohne die Transaktionen anderer zu sehen. Diese Episode zeigt das Hauptbuch der Vertrauensbasis in Aktion. Als die Circuit-Korrektheit versagte, bestand die Abhilfe aus Mathematik und Migration, nicht aus dem Ermessen eines Komitees, und der Schadensradius wurde durch die Auditierbarkeit begrenzt, die die Architektur Jahre zuvor an der Pool-Grenze eingebaut hatte.
Was Shielding mit dieser minimalen Vertrauensbasis erkauft, ist absichtlich eng gefasst. Der verborgene Zustand ist eine Zahlung, Wert, der von einer Partei zu einer anderen bewegt wird. Es gibt keinen gemeinsam genutzten verschlüsselten Zustand, über den viele Parteien rechnen, keine vertrauliche Contract-Logik und kein verschlüsseltes Orderbuch.
FHE ermöglicht Berechnung auf Ciphertext. In Zamas Protokoll, der Version, die jetzt auf Ethereum live ist, existieren Guthaben und Transferbeträge on-chain als verschlüsselte Handles unter dem Entwurf des ERC-7984-Standards, Coprocessors führen die verschlüsselte Arithmetik off-chain aus, und die Entschlüsselung erfordert ein Quorum unabhängiger Schlüsselverwaltungsbetreiber, dreizehn Organisationen beim Mainnet-Start, ausgewählt nach Reputation und operativem Einsatz, sodass keine einzelne Partei die Daten lesen kann. Das ist es, was ein verschlüsseltes Orderbuch oder einen vertraulichen Lending-Pool überhaupt erst möglich macht: der verborgene Zustand vieler Parteien, der sich innerhalb gemeinsam genutzter Contract-Logik zusammensetzt.
Aber was ist mit dem Schlüsselverwaltungskomitee? Jemand muss entschlüsseln können, sonst sind die Daten nicht nutzbar. Die Antwort des Designs besteht darin, dieses Jemand zu einer Schwelle unabhängiger Betreiber statt zu einem einzelnen Verwahrer zu machen und darüber zu steuern, wer welche Werte entschlüsseln darf, durch Zugriffskontrolle, die in die Contracts selbst geschrieben ist und auf benannte Parteien wie Prüfer erweitert werden kann, ein Delegationsmechanismus, dessen Compliance-Auswirkungen zum nächsten Teil dieser Serie gehören. Die Frage für jemanden, der Lösungen bewertet, ist, ob Zusammensetzung, Anreize und Schwellenwert des Komitees zum eigenen Bedrohungsmodell passen.
Multi-Party Computation teilt Daten in Anteile auf, die auf unabhängige Knoten verteilt werden, welche gemeinsam ein Ergebnis berechnen, ohne dass irgendein Knoten die Eingaben rekonstruiert. Avishay Yanai, Mitgründer und CEO von Soda Labs, dessen Virtual Machine mit Garbled Circuits EVM-kompatible Contract-Logik über verschlüsselte Werte in Produktion im COTI-Netzwerk ausführt, beschreibt gutes MPC-Design in Produktion als die Sicherstellung, dass keine einzelne Partei, weder ein Beobachter noch ein Knoten, der die Berechnung ausführt, noch der Anbieter, jemals Klartexteingaben oder Zwischenzustände sieht, und jeder nur das sieht, was ihm die Offenlegungsrichtlinie gewährt. Die Garantie hängt nur von Nicht-Kollusion ab, und das ist eine Annahme, die man technisch und vertraglich gestalten kann, etwa mit Betreibern in getrennten Jurisdiktionen, auf getrennten Clouds und unter unabhängigen Audits, mit rechtlicher Haftung für Kollusion. Die Aufgabe der Kryptografie besteht hier in dem, was er eine enorme Verringerung des Vertrauens statt der Beseitigung von Vertrauen nennt, um eine Gleichwertigkeit mit dem Vertrauen zu erreichen, das Institutionen in Clearinghäuser setzen. Kollusion jenseits des Schwellenwerts bricht die Privatsphäre, aber nicht die Korrektheit, da in Designs mit öffentlicher Auditierbarkeit externe Validatoren weiterhin prüfen können, dass berichtete Ergebnisse korrekt sind, ohne sich an der Berechnung zu beteiligen.
Der Vorbehalt besteht lediglich darin, dass ein solcher Beobachter sieht, dass eine Transaktion stattgefunden hat, wann, gegen welchen Contract, wer sie eingereicht hat sowie Batch-Größen und Gebühren. Ein teilnehmender Knoten kann erfahren, welche Funktion lief und welche Durchsatzmuster sie hat. Eine weitere Überlegung ist Timing-Korrelation, da Aktivitätsniveaus selbst dann lecken können, wenn Beträge es nicht tun. Und was auch immer die Anwendung im Klartext ausgibt, wiederholte kleine Offenlegungen könnten zu potenziellen Mustern für eine Partei anwachsen, die gezielt danach sucht. „Es ist die Grenze des Versprechens“, präzisiert er, daher sollten Bewerter verlangen, dass Anbieter sie ausdrücklich ziehen. Kein Berechnungsmodell repariert die Einreichung von Klartext durch beispielsweise einen kompromittierten Client. Das Protokoll rechnet getreu auf allem, was ihm gegeben wird. Wer mit wem spricht, ist ein Transportproblem, und Compliance ist eher Richtlinie als Mechanismus: „Keine Kryptografie trifft dieses Urteil für Sie.“
Designs mit Garbled Circuits laufen in konstanten Runden, wobei das schwere kryptografische Material vorab berechnet wird, bevor Eingaben existieren, was Transaktionsraten-Workloads überhaupt erst praktikabel macht, wo Protokolle mit Secret Sharing für jede Operation Netzwerk-Roundtrips zahlen, und wo laut Yanai manche MPC-Familien die Werte schützen, aber nicht die Tatsache der Berechnung, können Designs mit Garbled Circuits den Schutz auch auf Gegenparteiadressen und Asset-Typen ausdehnen. Die folgenreichste Eigenschaft dieser Familie für diesen Vergleich ist jedoch, dass MPC eine eigenständige Architektur ist und zugleich ein Bestandteil innerhalb der anderen Familien: Das Threshold-Schlüsselkomitee unter einer FHE-Deployment ist selbst eine Multi-Party Computation. Die Frage des Bewerters lautet in Yanais Darstellung: „Was macht mein Komitee, und was zahle ich obendrauf?“ Wenn das Komitee ohnehin in beiden Fällen existiert, kann die Ausführung der Berechnung selbst in MPC eine teure äußere Schicht entfernen.
Es lohnt sich klarzustellen, dass zwei sehr unterschiedliche Produkte unter derselben Abkürzung diskutiert werden. Custody-MPC teilt einen Signaturschlüssel auf mehrere Parteien auf, sodass keine von ihnen allein signieren kann; es schützt ein Geheimnis, und die gemeinsame Berechnung dabei ist eine einzige feste Operation, die eine Signatur erzeugt. Compute-MPC führt allgemeine Programmlogik auf Daten aus, die durchgehend verborgen bleiben, und umfasst die Eingaben vieler Parteien, beliebige Contract-Logik und kontinuierlichen Betrieb. Die Mathematik ist das, was beide gemeinsam haben. Operativ jedoch wird das eine für Schlüsselverwaltung genutzt und das andere ist eine vertrauliche Ausführungsumgebung.
Ein TEE ist ein hardwareisolierter Bereich eines Prozessors, der Daten verschlüsselt im Speicher hält und sie vor dem Betriebssystem, dem Hypervisor und dem Betreiber der Maschine abschirmt, wobei Remote Attestation es einer externen Partei ermöglicht zu überprüfen, welcher Code darin läuft. Das Design erkauft die zwei Dinge, für die die kryptografischen Familien teuer bezahlen, Generalität und Geschwindigkeit: Eine Enklave führt gewöhnliche Programme zu nahezu gewöhnlichen Kosten aus, weshalb TEEs die meisten Confidential-Compute-Angebote der großen Clouds und eine wachsende Menge an Chain-Infrastruktur tragen.
Die Vertrauensbasis ist der Tausch, denn die Garantie ist nur so stark wie das Design und die Lieferkette des Hardware-Anbieters, die Attestierungsinfrastruktur und die Widerstandsfähigkeit der Enklave gegen Side-Channel-Extraktion, eine Angriffsklasse mit langer veröffentlichter Geschichte. TEE-Designer kennen dieses Hauptbuch besser als ihre Kritiker. Sich für die Architektur zu entscheiden bedeutet, eine überlegte Wette darauf einzugehen, dass Hardware-Vertrauen plus Attestierung der richtige Preis dafür ist, reale Workloads mit realer Geschwindigkeit auszuführen, und für viele Deployments ist es das.
Könnte abgeschirmtes Zcash den Anwendungsfall eines vertraulichen Trading-Handelsplatzes bedienen? Nein, aber das ist kein Mangel. Ein RFQ-Handelsplatz ist gemeinsam genutzter verschlüsselter Zustand unter Contract-Logik, verborgene Absichten vieler Parteien, die sich innerhalb einer Auktion zusammensetzen, die selbst blind abläuft. Das ist eher ein Einsatzfeld für etwas wie MPC, mit gemeinsamem privatem Zustand unter häufiger Interaktion, einem Orderbuch, einem Netting-Zyklus. Shielding hat dafür kein Substrat; sein verborgener Zustand ist eine Zahlung zwischen zwei Parteien. Der Handelsplatz selbst eignet sich für FHE oder MPC, und es ist bemerkenswert, dass Zama bei seinem Aufbau eine Vertraulichkeit liefert, die ein Zeitplan von Offenlegungen an whitelistete, identifizierte Market Maker ist, was für institutionelles Trading notwendig ist. Aber das ist ein anderes Produkt als das, was eine abgeschirmte Transaktion bietet, nämlich Vertraulichkeit ohne Whitelist und ohne eine Partei, die irgendwann Ihre Richtung erfährt.
Was ist mit Unternehmenszahlungen und Gehaltsabrechnung? Das ist ein Markt, um den jetzt jeder FHE- und MPC-Anbieter wirbt, und genau das Problem, für das Shielding gebaut wurde: verborgene Beträge, verborgene Gegenparteien, öffentliche Gültigkeit. Im Prinzip ist eine abgeschirmte Chain die Antwort mit der stärksten Vertrauensbasis, die verfügbar ist, kein Komitee, kein Anbieter, kein Betreiber-Set. In der Praxis wird der Markt für Unternehmenszahlungen über Rails, ERC-20-Integration, bestehende Verwahrer, bestehende Compliance-Tools und Stablecoin-Nennwerte gewonnen, und abgeschirmtes Zcash bietet ein anderes Asset auf einer anderen Chain. Aber es passt auf Ebene der Problemform sehr gut und wartet schlicht auf Integration. Die Kryptografie kann es leisten, daher haben die praktischen Fragen damit zu tun, womit sich der umgebende Stack verbinden lässt.
Es lohnt sich auch, darauf zu schauen, was die anderen drei Familien bieten und Shielding nicht: eine Partei, die gezwungen werden kann. Ein Threshold-Komitee kann eine gerichtliche Anordnung erhalten, ein Enklaven-Anbieter kann wegen seiner Signaturschlüssel vorgeladen werden, und ein Betreiber-Set hat eine Jurisdiktion. Eine Institution, die einen Compliance-Pfad braucht, könnte das Komitee als das Produkt betrachten. Aus einer anderen Perspektive ist es auch die Schwachstelle.
Wenn wir nochmals auf die oben betrachteten Fälle schauen, sehen wir ein Bild mit Überlappungen. Die meisten FHE-Deployments haben darunter Threshold-MPC als Entschlüsselungsschicht. Zero-Knowledge-Proofs zertifizieren verschlüsselte Eingaben, bevor FHE sie verarbeitet, und in Systemen mit Garbled Circuits können sie sie nachträglich zertifizieren und den Nutzern damit einen erzwungenen Ausstieg geben, der nicht von der Verfügbarkeit des Netzwerks abhängt, eine Praxis, die aus Rollup-Architekturen übernommen wurde. TEEs tauchen innerhalb von MPC-Knoten als Defense in Depth auf, Zamas Schlüsselverwaltungsknoten führen ihren Anteil der Berechnung innerhalb von Hardware-Enklaven aus, und TEEs hosten zunehmend die Prover und Builder von Systemen, deren Endgarantien kryptografisch sind. Ein Vergleich, der in fünf Jahren geschrieben wird, könnte es schwer haben, die Nahtstellen zu finden. Aber Komposition läuft nur in eine Richtung.
Deshalb geht es bei der dauerhaften Form der Frage des Bewerters überhaupt nicht um „welche Technologie“. Worauf man achten sollte, ist, wie die Vertraulichkeit sequenziert wird, was ausgeschlossen wird und was diesen Ausschluss durchsetzt, ob das Mathematik und Circuit-Korrektheit sind, die Nicht-Kollusion eines Komitees, eine Schwelle ehrlicher Knoten oder das Silizium eines Anbieters. Lesen Sie jede Behauptung über Vertraulichkeit, indem Sie fragen, was verborgen ist, vor wem, bis wann und auf wessen Wort, und dann werden Sie es wissen.
Offenlegung: Dieser Beitrag wurde durch einen Zcash Community Grant unterstützt. ZCG hat diesen Beitrag vor der Veröffentlichung weder geprüft noch genehmigt. Die Finanzierungszusagen von Proof Street sind auf der Finanzierungsseite aufgeführt.
Verwandte Seiten: Shielded Pools (Using_Zcash) · Viewing Keys · die Seite „wer kann was sehen“ in Start_Here — exakte Wiki-Pfade austauschen