Loading...
Cet article est reproduit depuis Proof Street, une publication indépendante consacrée au calcul préservant la vie privée : ZK, FHE, MPC, TEE et identité décentralisée. Publié à l'origine sous le titre "Confidentiality compared: what four privacy architectures promise" le 12 août 2026. Reproduit avec l'autorisation de l'auteur dans le cadre de la Zcash Community Grant #339. Par Stephen Webber.
Fin juillet, Zama a activé sur Ethereum mainnet un lieu de swap confidentiel, en bêta privée avant un lancement public en septembre, qui permet à un trader de soumettre une intention chiffrée masquant le montant, la tolérance au slippage et le sens de la transaction.
Cela repose pour cela sur une petite chorégraphie. Le trader dépose deux transferts confidentiels, l'un portant les actifs réels et l'autre pour la jambe opposée avec un montant nul, de sorte qu'un observateur voit un mouvement bidirectionnel de taille cachée et ne peut pas distinguer un achat d'une vente. Des teneurs de marché sur liste blanche déchiffrent l'intention, voient la taille mais pas le sens, et cotent les deux côtés. Une enchère scellée se règle on-chain, et seul le teneur de marché gagnant apprend dans quel sens la transaction s'est effectuée. Le résultat net est un swap exécuté à grande taille sur une chaîne publique, où aucune partie unique en dehors de la transaction ne reconstitue jamais l'ensemble du tableau.
Zama décrit le produit comme confidentiel de bout en bout, mais qu'implique réellement cette confidentialité ? Ici, la confidentialité exige de la confidentialité tout au long d'une chaîne entière d'actions, de sorte que le public voit une chose, les enchérisseurs perdants en voient davantage, puisqu'ils ont déchiffré la taille de la transaction pour pouvoir la coter, et l'enchérisseur gagnant en voit encore plus. Pour le dire simplement, chaque étape de la séquence est ainsi parce que quelqu'un a pris une décision sur qui a besoin de savoir quoi, et quand. Il serait agréable de résumer la confidentialité par « personne ne voit rien », mais rien ne fonctionnerait en pratique. La confidentialité doit être structurée, et elle doit suivre une séquence.
Ce qui est intéressant, c'est que près de dix ans avant ce lancement, Zcash a mis en place la première couche de règlement confidentiel sur une blockchain publique, en utilisant des preuves à divulgation nulle de connaissance pour masquer l'expéditeur, le destinataire et le montant d'une transaction tout en prouvant à tous que la transaction était valide. Au cours de la décennie écoulée, « confidentiel » est devenu l'adjectif d'au moins quatre familles de technologies distinctes : les transactions shielded, le chiffrement entièrement homomorphe, le calcul multipartite et les environnements d'exécution de confiance. Des produits issus de ces quatre familles fonctionnent désormais en production, plusieurs d'entre eux sur la même chaîne. Alors, qu'y a-t-il réellement dans la boîte ?
Les quatre familles proposent des réponses différentes, et parfois qui se recoupent, à quatre problèmes différents, et comme chaque réponse arrive désormais empaquetée sous forme de produit, la vraie tâche consiste à déterminer quel problème vous avez réellement.
Toute revendication de confidentialité, lorsqu'on la réduit à sa plus simple expression, doit répondre à quatre questions. Quelles données sont cachées ? À qui ? Pendant quelle phase de la vie des données ? Et qu'est-ce qui doit être digne de confiance pour que la garantie tienne ?
Prenons par exemple le lieu de swap. Il doit masquer le montant, le sens et le slippage. Pourquoi pas la paire d'actifs ? Zama indique qu'une version future la masquera également. À qui : au public et aux bots de front-running entièrement, aux teneurs de marché qui cotent partiellement, au teneur gagnant le moins possible. Pendant quelle phase : pendant la cotation et l'enchère, avec une divulgation conçue au moment du règlement. Et en qui il faut avoir confiance : la garantie repose sur la FHE elle-même, sur les smart contracts et sur un système de gestion de clés à seuil dont les opérateurs ne doivent pas collusionner au-delà d'un certain seuil. Selon le litepaper, aucune partie unique ne peut jamais accéder aux clés de déchiffrement.
C'est une conception destinée à exécuter de gros volumes sans diffuser la stratégie. Les teneurs de marché voient la taille parce qu'ils ne peuvent pas fixer un prix sans elle. Le gagnant apprend le sens parce que, tout simplement, le règlement l'exige.
Ce que montre cet exemple, c'est qu'une revendication qui sonne comme binaire, comme si quelque chose était confidentiel ou non, se décompose en réalité en un calendrier d'exclusions. Il existe des façons très différentes d'aboutir à des revendications qui semblent identiques.
Une transaction shielded Zcash masque l'expéditeur, le destinataire et le montant. Ce qui reste public, c'est la preuve : un argument à divulgation nulle de connaissance, vérifiable par toute personne exécutant un nœud, que la transaction cachée respecte les règles. Les fonds shielded existent sous forme de notes chiffrées, chacune étant un enregistrement privé d'un montant et de son propriétaire qui n'apparaît on-chain que comme un engagement cryptographique. Dépenser une note publie un nullifier, une valeur qui empêche qu'une même note soit dépensée deux fois sans révéler de quelle note il s'agissait. Cela signifie que le réseau peut rejeter les doubles dépenses sans jamais apprendre quels fonds ont été déplacés, de sorte qu'une dépense ne laisse aucune trace reliant une transaction à une autre. Le rôle de la preuve est d'établir que le dépensier possédait la note, que les valeurs de la transaction s'équilibrent et qu'aucun ZEC n'a été créé ni détruit, le tout sans divulguer aucune des quantités concernées.
La propriété distinctive de cette conception apparaît le plus clairement lorsqu'on considère ce qui doit être digne de confiance. Il n'existe aucun comité capable de déchiffrer une transaction shielded, aucun ensemble d'opérateurs dont le seuil de collusion importe, aucun fournisseur de matériel dont l'attestation doit être crue. Ce qui reste dans la base de confiance, ce sont les mathématiques et la correction des circuits qui encodent les règles. Pour toute personne dont le modèle de menace inclut l'infrastructure elle-même, des opérateurs pouvant subir des pressions, des fournisseurs pouvant être compromis, cette liste courte est le produit.
De fait, cette base de confiance vient justement d'être testée en production. Le 29 mai, Taylor Hornby, chercheur en sécurité effectuant un audit pour Shielded Labs, a découvert une faille de solidité dans le circuit de preuve du pool Orchard, présente depuis le lancement du pool en 2022, qui, selon la divulgation de Shielded Labs, aurait pu permettre de frapper une quantité illimitée de faux ZEC à l'intérieur d'Orchard sans aucune trace on-chain.
Le correctif d'urgence a été déployé en cinq jours : Orchard a été mis en pause le 2 juin, puis rétabli le 3 juin avec un circuit corrigé. Le billet de remédiation de ZODL a décrit l'impact de manière plus étroite que Shielded Labs, en parlant d'un risque de double dépense à l'intérieur du pool plutôt que d'une offre contrefaite, et a indiqué que la vie privée des utilisateurs ainsi que le plafond de l'offre totale n'étaient pas affectés.
La reconstruction de la vérifiabilité a été déployée plus tard. Ironwood, activé en tant que NU6.3 le 28 juillet, scelle définitivement le pool Orchard, ouvre un nouveau pool sur le circuit corrigé, appuyé par des audits indépendants et un travail de vérification formelle, et fait passer tous les fonds sortants par un turnstile qui plafonne les retraits à ce qui est vérifiablement entré, rétablissant la capacité de chaque utilisateur à vérifier indépendamment l'offre en circulation sans voir les transactions de quiconque. Cet épisode montre le registre de la base de confiance en action. Lorsque la correction du circuit a échoué, le remède a été les mathématiques et la migration, non le pouvoir discrétionnaire d'un comité, et le rayon d'impact a été limité par l'auditabilité que l'architecture avait intégrée à la frontière du pool des années auparavant.
Ce que le shielding obtient avec cette base de confiance minimale est volontairement étroit. L'état caché est un paiement, une valeur qui passe d'une partie à une autre. Il n'existe pas d'état chiffré partagé sur lequel de nombreuses parties calculent, pas de logique de contrat confidentielle, ni de carnet d'ordres chiffré.
La FHE permet d'exécuter des calculs sur du texte chiffré. Dans le protocole de Zama, la version désormais active sur Ethereum, les soldes et les montants de transfert existent on-chain sous forme de handles chiffrés selon le projet de standard ERC-7984, des coprocesseurs effectuent l'arithmétique chiffrée off-chain, et le déchiffrement nécessite un quorum d'opérateurs indépendants de gestion de clés, treize organisations au lancement du mainnet, sélectionnées pour leur réputation et leurs enjeux opérationnels, de sorte qu'aucune partie unique ne puisse lire les données. C'est ce qui rend possible, tout simplement, un carnet d'ordres chiffré ou un pool de prêt confidentiel : l'état caché de nombreuses parties, composé au sein d'une logique de contrat partagée.
Mais qu'en est-il du comité de gestion des clés ? Quelqu'un doit pouvoir déchiffrer, sinon les données ne sont pas utilisables. La réponse de cette conception consiste à faire de ce quelqu'un un seuil d'opérateurs indépendants plutôt qu'un dépositaire unique, et à gouverner qui peut déchiffrer quelles valeurs au moyen d'un contrôle d'accès écrit dans les contrats eux-mêmes, extensible à des parties désignées telles que des auditeurs, un mécanisme de délégation dont les implications en matière de conformité relèvent du prochain article de cette série. La question pour une personne qui évalue des solutions est de savoir si la composition du comité, ses incitations et son seuil correspondent à son modèle de menace.
Le calcul multipartite divise les données en parts distribuées entre des nœuds indépendants, qui calculent conjointement un résultat sans qu'aucun nœud ne reconstitue les entrées. Avishay Yanai, cofondateur et CEO de Soda Labs, dont la machine virtuelle à circuits brouillés exécute en production sur le réseau COTI une logique de contrat compatible EVM sur des valeurs chiffrées, décrit une bonne conception MPC en production comme le fait de garantir qu'aucune partie unique, qu'il s'agisse d'un observateur, d'un nœud exécutant le calcul ou du fournisseur, ne voit jamais les entrées en clair ni l'état intermédiaire, et que chacun ne voit que ce que la politique de divulgation lui accorde. La garantie ne dépend que de l'absence de collusion, et c'est une hypothèse que l'on peut concevoir et encadrer contractuellement, par exemple avec des opérateurs situés dans des juridictions distinctes, sur des clouds distincts et soumis à des audits indépendants, avec une exposition juridique en cas de collusion. Le rôle de la cryptographie ici est ce qu'il appelle une formidable réduction de confiance plutôt qu'une élimination de la confiance, afin d'atteindre l'équivalence avec la confiance que les institutions placent dans les chambres de compensation. Une collusion au-delà du seuil brise la vie privée, mais pas la correction, puisque dans les conceptions avec auditabilité publique, des validateurs externes peuvent toujours vérifier que les résultats rapportés sont corrects sans rejoindre le calcul.
La réserve est simplement qu'un tel observateur voit qu'une transaction a eu lieu, quand, contre quel contrat, qui l'a soumise, ainsi que la taille des lots et les frais. Un nœud participant peut apprendre quelle fonction a été exécutée et ses schémas de débit. La corrélation temporelle est une autre considération, car les niveaux d'activité peuvent fuiter même lorsque les montants ne le font pas. Et tout ce que l'application produit en clair, des divulgations répétées de petite taille pourraient finir par former des motifs potentiels pour une partie qui les recherche activement. « C'est la frontière de la promesse », précise-t-il, de sorte que les évaluateurs devraient exiger que les fournisseurs la tracent explicitement. Aucun modèle de calcul ne répare la soumission de texte en clair par, par exemple, un client compromis. Le protocole calcule fidèlement sur tout ce qu'on lui donne. Qui parle à qui est un problème de transport, et la conformité relève de la politique plutôt que du mécanisme : « Aucune cryptographie ne prend cette décision à votre place. »
Les conceptions à circuits brouillés fonctionnent en tours constants, avec le matériel cryptographique lourd pré-calculé avant même que les entrées n'existent, ce qui rend possibles des charges de travail au rythme des transactions là où les protocoles de partage de secret paient des allers-retours réseau par opération, et là où, selon Yanai, certaines familles MPC protègent les valeurs mais pas le fait même du calcul, les conceptions à circuits brouillés peuvent étendre la couverture aux adresses des contreparties et aux types d'actifs. La propriété la plus importante de cette famille pour cette comparaison est toutefois que la MPC est une architecture à part entière, et aussi un ingrédient à l'intérieur des autres familles : le comité de clés à seuil d'un déploiement FHE est lui-même un calcul multipartite. Dans le cadre proposé par Yanai, la question de l'évaluateur est : « que fait mon comité, et qu'est-ce que je paie en plus par-dessus ? » Si le comité existe dans tous les cas, exécuter le calcul lui-même en MPC peut supprimer une couche externe coûteuse.
Il vaut la peine de préciser que deux produits très différents sont évoqués sous le même acronyme. La MPC de custody répartit une clé de signature entre plusieurs parties afin qu'aucune ne puisse signer seule ; elle protège un seul secret, et le calcul conjoint impliqué est une unique opération fixe, produisant une signature. La MPC de calcul exécute une logique de programme générale sur des données qui restent cachées tout au long du processus, et implique les entrées de nombreuses parties, une logique de contrat arbitraire et un fonctionnement continu. Les mathématiques sont ce que les deux ont en commun. Sur le plan opérationnel, cependant, l'une sert à la gestion des clés et l'autre constitue un environnement d'exécution confidentiel.
Un TEE est une région matériellement isolée d'un processeur qui conserve les données chiffrées en mémoire et à l'abri du système d'exploitation, de l'hyperviseur et de l'opérateur de la machine, avec une attestation à distance permettant à une partie externe de vérifier quel code s'exécute à l'intérieur. Cette conception offre les deux choses que les familles cryptographiques paient très cher : la généralité et la vitesse ; une enclave exécute des programmes ordinaires à un coût proche de l'ordinaire, ce qui explique pourquoi les TEE constituent la base de la plupart des offres de calcul confidentiel des grands clouds et d'un ensemble croissant d'infrastructures de chaîne.
La base de confiance est le compromis, parce que la garantie n'est solide qu'à la hauteur de la conception et de la chaîne d'approvisionnement du fournisseur de matériel, de l'infrastructure d'attestation et de la résistance de l'enclave à l'extraction par canaux auxiliaires, une classe d'attaque au long historique documenté. Les concepteurs de TEE connaissent mieux ce registre que leurs critiques. Choisir cette architecture signifie faire le pari réfléchi que la confiance dans le matériel plus l'attestation est le bon prix à payer pour exécuter de vraies charges de travail à une vraie vitesse, et pour de nombreux déploiements, c'est le cas.
Les transactions shielded de Zcash pourraient-elles servir le cas d'usage d'un lieu de trading confidentiel ? Non, mais ce n'est pas une faiblesse. Un lieu RFQ est un état chiffré partagé sous une logique de contrat, des intentions cachées de nombreuses parties se composant à l'intérieur d'une enchère qui elle-même fonctionne à l'aveugle. C'est plus adapté à quelque chose comme la MPC, avec un état privé partagé sous interaction fréquente, un carnet d'ordres, un cycle de compensation. Le shielding n'a pas de substrat pour cela ; son état caché est un paiement entre deux parties. Le lieu lui-même convient à la FHE ou à la MPC, et il vaut la peine de remarquer que lorsque Zama l'a construit, la confidentialité qu'il fournit est un calendrier de divulgations à des teneurs de marché identifiés et sur liste blanche, ce qui est nécessaire pour le trading institutionnel. Mais c'est un produit différent de ce qu'offre une transaction shielded, qui est une confidentialité sans liste blanche et sans partie qui finit par apprendre votre direction.
Qu'en est-il des paiements d'entreprise et de la paie ? C'est un marché que chaque fournisseur FHE et MPC vise désormais, et c'est précisément le problème pour lequel le shielding a été conçu : montants masqués, contreparties masquées, validité publique. En principe, une chaîne shielded est la réponse à la base de confiance la plus solide disponible, sans comité, sans fournisseur, sans ensemble d'opérateurs. En pratique, le marché des paiements d'entreprise se gagne sur les rails, l'intégration ERC-20, les dépositaires existants, les outils de conformité existants, les dénominations en stablecoins, et Zcash shielded offre un actif différent sur une chaîne différente. Mais c'est une adéquation solide au niveau de la forme du problème et cela n'attend que l'intégration. La cryptographie peut le faire, donc les préoccupations pratiques concernent ce à quoi la pile environnante se connecte.
Il vaut aussi la peine d'examiner ce que les trois autres familles offrent, et que le shielding n'offre pas : une partie pouvant être contrainte. Un comité à seuil peut recevoir une injonction judiciaire, un fournisseur d'enclave peut être assigné pour ses clés de signature, et un ensemble d'opérateurs a une juridiction. Une institution qui a besoin d'une voie de conformité peut considérer le comité comme le produit. C'est aussi, vu d'un autre siège, la vulnérabilité.
Si nous examinons à nouveau les cas étudiés ci-dessus, nous voyons une image qui se recoupe. La plupart des déploiements FHE ont en dessous une MPC à seuil comme couche de déchiffrement. Les preuves à divulgation nulle de connaissance certifient les entrées chiffrées avant que la FHE ne les consomme, et dans les systèmes à circuits brouillés peuvent les certifier après coup, donnant aux utilisateurs une sortie forcée qui ne dépend pas de la disponibilité du réseau, une pratique empruntée aux architectures de rollup. Les TEE apparaissent à l'intérieur des nœuds MPC comme défense en profondeur, les nœuds de gestion de clés de Zama exécutent leur part du calcul à l'intérieur d'enclaves matérielles, et les TEE hébergent de plus en plus les proveurs et les builders de systèmes dont les garanties finales sont cryptographiques. Une comparaison écrite dans cinq ans pourrait avoir du mal à localiser les coutures. Mais la composition ne fonctionne que dans un seul sens.
C'est pourquoi la forme durable de la question de l'évaluateur ne porte pas du tout sur « quelle technologie ». Ce qu'il faut rechercher, c'est la manière dont la confidentialité est séquencée, ce qui est exclu, et ce qui impose cette exclusion, qu'il s'agisse des mathématiques et de la correction des circuits, de l'absence de collusion d'un comité, d'un seuil de nœuds honnêtes ou du silicium d'un fournisseur. Lisez toute revendication de confidentialité en demandant ce qui est caché, à qui, jusqu'à quand et sur la parole de qui, et alors vous saurez.
Divulgation : cet article a été soutenu par une Zcash Community Grant. ZCG n'a pas relu ni approuvé cet article avant sa publication. Les engagements de financement de Proof Street sont listés sur la page de financement.
Pages liées : Shielded Pools (Using_Zcash) · Viewing Keys · la page « qui peut voir quoi » dans Start_Here — remplacez par les chemins wiki exacts