Loading...
Эта статья является зеркальной копией материала Proof Street, независимого издания, посвященного вычислениям с сохранением приватности: ZK, FHE, MPC, TEE и децентрализованной идентичности. Изначально опубликована как "Confidentiality compared: what four privacy architectures promise" 12 августа 2026 года. Размещена с разрешения автора в рамках Zcash Community Grant #339. Автор: Stephen Webber.
В конце июля Zama запустила на Ethereum mainnet площадку для конфиденциальных свопов в приватной бете перед публичным запуском в сентябре; она позволяет трейдеру отправлять зашифрованное намерение, скрывающее объем, допустимое проскальзывание и направление сделки.
Для этого используется небольшая хореография действий. Трейдер вносит два конфиденциальных перевода: один несет реальные активы, а другой предназначен для противоположного плеча с нулевой суммой, так что наблюдатель видит двунаправленное движение скрытого размера и не может отличить покупку от продажи. Market maker'ы из белого списка расшифровывают намерение, видят размер, но не направление, и котируют обе стороны. Аукцион с закрытыми ставками исполняется on-chain, и только победивший market maker узнает, в какую сторону двигалась сделка. В результате своп крупного объема выполняется в публичной цепочке, при этом ни одна отдельная сторона вне самой сделки никогда не собирает полную картину.
Zama описывает продукт как сквозным образом конфиденциальный, но что на самом деле означает эта конфиденциальность? Здесь конфиденциальность требует защиты вдоль всей цепочки действий, так что публика видит одно, проигравшие участники торгов видят больше, поскольку им пришлось расшифровать размер сделки, чтобы ее котировать, а победитель видит еще больше. Проще говоря, каждый этап этой последовательности устроен именно так потому, что кто-то принял решение о том, кому нужно знать что именно и когда. Было бы удобно свести конфиденциальность к формуле «никто ничего не видит», но на практике тогда ничего не работало бы. Конфиденциальность должна быть структурирована, и она должна следовать определенной последовательности.
Интересно, что почти за десять лет до этого запуска Zcash создал первый конфиденциальный слой расчетов в публичном блокчейне, используя доказательства с нулевым разглашением, чтобы скрыть отправителя, получателя и сумму транзакции, одновременно доказывая всем, что транзакция корректна. За прошедшее десятилетие «конфиденциальный» стало прилагательным как минимум для четырех разных семейств технологий: экранированных транзакций, полностью гомоморфного шифрования, многосторонних вычислений и доверенных сред исполнения. Продукты из всех четырех семейств уже работают в production, причем некоторые из них в одной и той же цепочке. Так что же на самом деле внутри?
Эти четыре семейства предлагают разные, а иногда и пересекающиеся ответы на четыре разных проблемы, и поскольку каждый ответ теперь упакован в виде продукта, реальная задача состоит в том, чтобы понять, какая именно проблема у вас на самом деле.
Любое заявление о конфиденциальности, если снять с него все внешние слои, должно отвечать на четыре вопроса. Какие данные скрываются? От кого? На каком этапе жизненного цикла данных? И чему нужно доверять, чтобы эта гарантия сохранилась?
Для примера возьмем площадку для свопов. Она должна скрывать объем, направление и проскальзывание. Почему не пару активов? Zama говорит, что будущая версия будет скрывать и ее. От кого: от публики и ботов для front-running полностью, от котирующих market maker'ов частично, а от победившего market maker'а меньше всего. На каком этапе: во время котирования и аукциона, с предусмотренным раскрытием при расчете. И кому нужно доверять: гарантия опирается на само FHE, на смарт-контракты и на пороговую систему управления ключами, операторы которой не должны вступать в сговор сверх порога. Согласно litepaper, ни одна отдельная сторона никогда не может получить доступ к ключам расшифровки.
Это архитектура для исполнения крупных объемов без раскрытия стратегии. Market maker'ы видят размер, потому что иначе они не могут назначить цену. Победитель узнает направление, потому что этого, разумеется, требует расчет.
Этот пример показывает, что утверждение, звучащее бинарно, как будто что-то либо конфиденциально, либо нет, на самом деле распадается на расписание исключений. И к утверждениям, которые звучат одинаково, можно прийти очень разными путями.
Экранированная транзакция Zcash скрывает отправителя, получателя и сумму. Публичным остается доказательство: аргумент с нулевым разглашением, который может проверить любой, кто запускает узел, и который подтверждает, что скрытая транзакция следует правилам. Экранированные средства существуют в виде зашифрованных notes, каждая из которых представляет собой приватную запись о сумме и ее владельце и появляется on-chain только как криптографическое обязательство. При трате note публикуется nullifier, значение, которое не позволяет потратить одну и ту же note дважды, не раскрывая, о какой именно note идет речь. Это означает, что сеть может отклонять двойные траты, так и не узнавая, какие именно средства переместились, поэтому трата не оставляет следа, связывающего одну транзакцию с другой. Задача доказательства состоит в том, чтобы установить, что отправитель владел note, что значения в транзакции сходятся по балансу и что ни один ZEC не был создан или уничтожен, причем без раскрытия каких-либо из задействованных величин.
Отличительное свойство этой архитектуры лучше всего видно, если рассмотреть, чему именно нужно доверять. Нет никакого комитета, который мог бы расшифровать экранированную транзакцию, нет набора операторов, для которого имел бы значение порог сговора, нет производителя оборудования, чьей аттестации нужно верить. В базе доверия остаются математика и корректность схем, кодирующих правила. Для тех, чья модель угроз включает саму инфраструктуру, операторов, на которых можно надавить, или производителей, которых можно скомпрометировать, этот короткий список и есть сам продукт.
Фактически эта база доверия недавно прошла испытание в production. 29 мая Taylor Hornby, исследователь безопасности, проводивший аудит для Shielded Labs, обнаружил ошибку soundness в proof circuit пула Orchard, присутствовавшую с момента запуска пула в 2022 году; согласно раскрытию Shielded Labs, она могла позволить неограниченно чеканить поддельные ZEC внутри Orchard без какого-либо следа on-chain.
Экстренное исправление было выпущено за пять дней: 2 июня Orchard был поставлен на паузу, а 3 июня восстановлен уже с исправленной схемой. В посте ZODL о remediation последствия были описаны уже, чем у Shielded Labs: речь шла о риске двойной траты внутри пула, а не о поддельной эмиссии, при этом сообщалось, что приватность пользователей и общий лимит предложения не пострадали.
Позже было выпущено обновление, восстанавливающее проверяемость. Ironwood, активированный как NU6.3 28 июля, навсегда закрывает пул Orchard, открывает новый пул на исправленной схеме, подкрепленной независимыми аудитами и формальной верификацией, и направляет все выходящие средства через turnstile, который ограничивает вывод объемом того, что проверяемо вошло, возвращая каждому пользователю возможность независимо проверять обращающееся предложение, не видя ничьих транзакций. Этот эпизод наглядно показывает работу реестра базы доверия. Когда корректность схемы дала сбой, средством устранения стали математика и миграция, а не усмотрение комитета, и радиус поражения был ограничен аудируемостью, которую архитектура встроила на границе пула еще несколькими годами ранее.
То, что экранирование покупает ценой этой минимальной базы доверия, намеренно узко. Скрытое состояние здесь представляет собой платеж, перемещение стоимости от одной стороны к другой. Здесь нет общего зашифрованного состояния, над которым вычисляют многие стороны, нет конфиденциальной логики контрактов и нет зашифрованной книги ордеров.
FHE позволяет выполнять вычисления над ciphertext. В протоколе Zama, чья версия уже работает на Ethereum, балансы и суммы переводов существуют on-chain как зашифрованные handles по проекту стандарта ERC-7984 standard, сопроцессоры выполняют зашифрованную арифметику off-chain, а для расшифровки требуется кворум независимых операторов системы управления ключами, тринадцать организаций на момент запуска mainnet, выбранных по репутации и операционным ставкам, так что ни одна отдельная сторона не может прочитать данные. Именно это вообще делает возможными зашифрованную книгу ордеров или конфиденциальный пул кредитования: скрытое состояние множества сторон, компонуемое внутри общей логики контрактов.
Но что насчет комитета по управлению ключами? Кто-то же должен иметь возможность расшифровывать, иначе данные нельзя использовать. Ответ этой архитектуры состоит в том, чтобы сделать этим «кем-то» не одного кастодиана, а порог независимых операторов, а также управлять тем, кто может расшифровывать какие значения, через контроль доступа, записанный в самих контрактах; его можно расширять на назначенные стороны, например аудиторов, а последствия такого механизма делегирования для compliance относятся уже к следующей части этой серии. Для того, кто оценивает решения, вопрос в том, соответствуют ли состав комитета, его стимулы и порог той модели угроз, с которой он работает.
Многосторонние вычисления разделяют данные на доли, распределенные по независимым узлам, которые совместно вычисляют результат, при этом ни один узел не восстанавливает исходные данные. Avishay Yanai, сооснователь и CEO Soda Labs, чья виртуальная машина на garbled circuits выполняет в production совместимую с EVM логику контрактов над зашифрованными значениями в сети COTI, описывает хороший production-дизайн MPC как такой, который гарантирует, что ни одна отдельная сторона, будь то наблюдатель, узел, выполняющий вычисление, или сам вендор, никогда не видит открытые входные данные или промежуточное состояние, а каждый видит только то, что допускает политика раскрытия. Гарантия зависит только от отсутствия сговора, и это допущение можно обеспечить инженерно и контрактно, например через операторов в разных юрисдикциях, в разных облаках и под независимыми аудитами, с юридической ответственностью за сговор. Роль криптографии здесь, по его словам, состоит в огромном снижении доверия, а не в его устранении, чтобы достичь эквивалента того доверия, которое институты возлагают на клиринговые палаты. Сговор сверх порога ломает приватность, но не корректность, поскольку в архитектурах с публичной аудируемостью внешние валидаторы все равно могут проверить, что сообщенные результаты верны, не участвуя в самом вычислении.
Оговорка лишь в том, что такой наблюдатель видит, что транзакция произошла, когда именно, с каким контрактом, кто ее отправил, а также размеры батчей и комиссии. Участвующий узел может узнать, какая функция выполнялась, и характер ее пропускной способности. Еще один фактор - корреляция по времени, поскольку уровни активности могут утекать, даже когда суммы не видны. А если приложение выводит что-то в открытом виде, повторяющиеся небольшие раскрытия могут со временем сложиться в потенциальные паттерны для стороны, которая специально их отслеживает. «Это граница обещания», как он уточняет, поэтому оценивающие должны требовать, чтобы вендоры явно ее обозначали. Ни одна модель вычислений не исправляет ситуацию, когда plaintext подается, например, с компрометированного клиента. Протокол добросовестно вычисляет над тем, что ему дали. Кто с кем общается - это проблема транспорта, а compliance - это политика, а не механизм: «Никакая криптография не примет это решение за вас».
Архитектуры на garbled circuits работают с постоянным числом раундов, причем тяжелый криптографический материал подготавливается заранее, еще до появления входных данных; именно это делает возможными нагрузки на уровне частоты транзакций там, где протоколы secret sharing платят сетевыми round trip за каждую операцию. И если, по словам Yanai, некоторые семейства MPC защищают значения, но не сам факт вычисления, то архитектуры на garbled circuits могут распространять защиту и на адреса контрагентов, и на типы активов. Однако для данного сравнения наиболее существенное свойство этого семейства в другом: MPC - это и самостоятельная архитектура, и одновременно компонент внутри других семейств; пороговый комитет ключей в FHE-развертывании сам по себе является многосторонним вычислением. В формулировке Yanai вопрос для оценивающего звучит так: «что делает мой комитет, и что я плачу сверх этого?» Если комитет существует в любом случае, то выполнение самого вычисления в MPC может убрать дорогой внешний слой.
Стоит уточнить, что под одной и той же аббревиатурой обсуждаются два очень разных продукта. Custody MPC разделяет ключ подписи между несколькими сторонами так, чтобы ни одна из них не могла подписывать в одиночку; он защищает один секрет, а связанное с ним совместное вычисление представляет собой одну фиксированную операцию - создание подписи. Compute MPC выполняет общую программную логику над данными, которые остаются скрытыми на всем протяжении процесса, и включает входные данные множества сторон, произвольную логику контрактов и непрерывную работу. Общая у этих двух вещей только математика. Но с операционной точки зрения одно используется для управления ключами, а другое - это конфиденциальная среда исполнения.
TEE - это аппаратно изолированная область процессора, которая сохраняет данные зашифрованными в памяти и защищенными от операционной системы, гипервизора и оператора машины, а удаленная аттестация позволяет внешней стороне проверить, какой код выполняется внутри. Эта архитектура покупает две вещи, за которые криптографические семейства платят дорого: универсальность и скорость. Enclave выполняет обычные программы почти по обычной цене, поэтому именно TEE лежат в основе большинства предложений конфиденциальных вычислений у крупных облачных провайдеров и у растущего числа инфраструктурных решений для блокчейнов.
База доверия и есть та цена, которую приходится платить, потому что гарантия настолько сильна, насколько сильны архитектура и цепочка поставок производителя оборудования, инфраструктура аттестации и устойчивость enclave к извлечению данных по побочным каналам - классу атак с долгой историей публичных исследований. Разработчики TEE знают этот реестр лучше, чем их критики. Выбор этой архитектуры означает осознанную ставку на то, что аппаратное доверие плюс аттестация - это правильная цена за запуск реальных нагрузок на реальной скорости, и для многих развертываний это действительно так.
Мог бы экранированный Zcash обслуживать сценарий с конфиденциальной торговой площадкой? Нет, но это не недостаток. RFQ-площадка - это общее зашифрованное состояние под логикой контрактов, скрытые намерения множества сторон, компонуемые внутри аукциона, который сам работает вслепую. Для этого лучше подходит что-то вроде MPC, с общей приватной state при частом взаимодействии: книга ордеров, цикл неттинга. У экранирования нет такого субстрата; его скрытое состояние - это платеж между двумя сторонами. Сама площадка лучше соответствует FHE или MPC, и стоит заметить, что, когда Zama ее строила, предоставляемая ею конфиденциальность представляет собой расписание раскрытий для market maker'ов из белого списка с установленной личностью, что необходимо для институциональной торговли. Но это другой продукт по сравнению с тем, что предлагает экранированная транзакция, а именно конфиденциальность без белого списка и без стороны, которая в итоге узнает направление вашей сделки.
А как насчет корпоративных платежей и payroll? Это рынок, за который сейчас борется каждый вендор FHE и MPC, и это как раз та проблема, для которой экранирование и создавалось: суммы скрыты, контрагенты скрыты, корректность публична. В принципе экранированная цепочка дает самый сильный из доступных ответов с точки зрения базы доверия: ни комитета, ни вендора, ни набора операторов. На практике рынок корпоративных платежей выигрывается за счет платежных rails, интеграции с ERC-20, уже существующих кастодианов, существующих инструментов compliance и номинаций в stablecoin, тогда как экранированный Zcash предлагает другой актив в другой цепочке. Но по форме задачи это надежное соответствие, которое просто ждет интеграции. Криптография это позволяет, так что практические вопросы связаны с тем, к чему подключается окружающий стек.
Стоит также посмотреть на то, что предлагают остальные три семейства, а экранирование - нет: сторону, которую можно принудить к действиям. Пороговый комитет может получить судебное предписание, производителя enclave можно вызвать по повестке за его ключами подписи, а набор операторов находится в чьей-то юрисдикции. Для института, которому нужен путь compliance, именно комитет может и быть самим продуктом. Но с другой позиции это же и уязвимость.
Если снова посмотреть на рассмотренные выше случаи, мы увидим пересекающуюся картину. Большинство развертываний FHE используют под собой пороговый MPC как слой расшифровки. Доказательства с нулевым разглашением сертифицируют зашифрованные входные данные до того, как FHE начнет с ними работать, а в системах на garbled circuits могут сертифицировать их и постфактум, давая пользователям принудительный выход, который не зависит от доступности сети; эта практика заимствована из архитектур rollup. TEE используются внутри узлов MPC как defense in depth, узлы управления ключами Zama выполняют свою долю вычислений внутри аппаратных enclaves, а TEE все чаще размещают prover'ы и builder'ы систем, чьи конечные гарантии являются криптографическими. В сравнении, написанном через пять лет, эти швы, возможно, будет уже трудно различить. Но композиция работает только в одном направлении.
Именно поэтому устойчивую формулировку вопроса для оценивающего стоит строить вовсе не вокруг «какой технологии». Смотреть нужно на то, как именно организована последовательность конфиденциальности, что исключается и чем это исключение обеспечивается: математикой и корректностью схем, отсутствием сговора в комитете, порогом честных узлов или кремнием вендора. Читайте любое заявление о конфиденциальности, задавая вопросы: что скрыто, от кого, до какого момента и чьим словом это гарантируется, и тогда вы все поймете.
Раскрытие информации: этот материал был подготовлен при поддержке Zcash Community Grant. ZCG не рецензировал и не утверждал этот материал до публикации. Обязательства по финансированию Proof Street перечислены на странице финансирования.
Связанные страницы: Shielded Pools (Using_Zcash) · Viewing Keys · страница «кто может видеть что» в Start_Here — замените на точные пути wiki