Loading...
Цю статтю дзеркально відтворено з Proof Street, незалежного видання про обчислення зі збереженням приватності: ZK, FHE, MPC, TEE та децентралізовану ідентичність. Уперше опубліковано під назвою "Confidentiality compared: what four privacy architectures promise" 12 серпня 2026 року. Дзеркально відтворено з дозволу автора в межах Zcash Community Grant #339. Автор: Stephen Webber.
Наприкінці липня Zama запустила майданчик конфіденційних свопів в основній мережі Ethereum, у приватній бета-версії напередодні публічного запуску у вересні, що дає трейдеру змогу подати зашифрований намір, приховуючи суму, допустиме прослизання та напрям угоди.
Для цього система спирається на невеликий елемент хореографії. Трейдер вносить два конфіденційні перекази: один містить фактичні активи, а інший для протилежної сторони має нульову суму, тож спостерігач бачить двонапрямний рух прихованого розміру й не може відрізнити купівлю від продажу. Маркет-мейкери з білого списку розшифровують намір, бачать розмір, але не напрям, і виставляють котирування для обох сторін. Аукціон закритих заявок завершується в ланцюгу, і лише маркет-мейкер-переможець дізнається, у який бік відбулася угода. У підсумку своп великого розміру виконується в публічному ланцюгу, де жодна окрема сторона поза межами самої угоди ніколи не збирає повну картину.
Zama описує цей продукт як конфіденційний наскрізно, але що саме насправді означає така конфіденційність? Тут конфіденційність потребує захисту вздовж цілого ланцюга дій, так що публіка бачить одне, ті, хто програли в торгах, бачать більше, оскільки вони розшифрували розмір угоди, щоб виставити котирування, а переможець бачить ще більше. Простими словами, кожен етап цієї послідовності виглядає саме так через рішення, яке хтось ухвалив щодо того, кому що потрібно знати і коли. Було б зручно звести конфіденційність до формули «ніхто нічого не бачить», але на практиці нічого не працювало б. Конфіденційність має бути структурованою, і вона має слідувати послідовності.
Цікаво те, що майже за десять років до цього запуску Zcash створив перший конфіденційний шар розрахунків у публічному блокчейні, використавши докази з нульовим розголошенням, щоб приховати відправника, одержувача та суму транзакції, водночас доводячи всім, що транзакція чинна. За минуле десятиліття слово «конфіденційний» стало означенням щонайменше для чотирьох окремих сімейств технологій: екранованих транзакцій, повністю гомоморфного шифрування, багатосторонніх обчислень і довірених середовищ виконання. Продукти з усіх чотирьох сімейств тепер працюють у продакшені, і кілька з них навіть в одному й тому самому ланцюгу. Тож що ж усередині цієї банки?
Ці чотири сімейства пропонують різні, а подекуди й перетинні відповіді на чотири різні проблеми, і оскільки кожна відповідь тепер надходить у вигляді продукту, справжнє завдання полягає в тому, щоб з’ясувати, яка саме проблема у вас насправді є.
Будь-яке твердження про конфіденційність, якщо зняти з нього все зайве, має відповідати на чотири запитання. Які дані приховано? Від кого? На якому етапі життєвого циклу даних? І чому саме треба довіряти, щоб ця гарантія збереглася?
Як приклад візьмімо майданчик свопів. Він має приховувати суму, напрям і прослизання. Чому не пару активів? Zama каже, що майбутня версія приховуватиме і це. Від кого: повністю від публіки та ботів для front-running, частково від маркет-мейкерів, які виставляють котирування, і найменше від маркет-мейкера-переможця. На якому етапі: протягом котирування та аукціону, із запланованим розкриттям під час розрахунку. І кому треба довіряти: гарантія спирається на саме FHE, на смартконтракти та на порогову систему керування ключами, оператори якої не повинні вступати в змову понад визначений поріг. Згідно з litepaper, жодна окрема сторона ніколи не може отримати доступ до ключів розшифрування.
Це проєкт для виконання великих угод без трансляції торгової стратегії. Маркет-мейкери бачать розмір, бо не можуть оцінити котирування без нього. Переможець дізнається напрям, бо, зрештою, цього вимагає розрахунок.
Цей приклад показує, що твердження, яке звучить бінарно, ніби щось або конфіденційне, або ні, насправді розкладається на графік виключень. Існують дуже різні способи дійти до тверджень, що звучать однаково.
Екранована транзакція Zcash приховує відправника, одержувача та суму. Публічним залишається доказ: аргумент із нульовим розголошенням, який може перевірити будь-хто, хто запускає вузол, і який підтверджує, що прихована транзакція дотримується правил. Екрановані кошти існують у вигляді зашифрованих нотаток, кожна з яких є приватним записом про суму та її власника, що з’являється в ланцюгу лише як криптографічне зобов’язання. Витрачання нотатки публікує nullifier, значення, яке не дозволяє одну й ту саму нотатку витратити двічі, не розкриваючи, яка саме це була нотатка. Це означає, що мережа може відхиляти подвійні витрати, так і не дізнавшись, які саме кошти перемістилися, тож витрачання не залишає сліду, який пов’язував би одну транзакцію з іншою. Завдання доказу полягає в тому, щоб встановити, що витратник володів нотаткою, що значення в транзакції збалансовані й що не було створено або знищено жодного ZEC, при цьому не розкриваючи жодної з відповідних величин.
Визначальна властивість цієї конструкції найочевидніша, якщо замислитися, чому саме тут треба довіряти. Немає комітету, який може розшифрувати екрановану транзакцію, немає набору операторів, для яких має значення поріг змови, немає виробника обладнання, атестації якого треба вірити. У базі довіри залишається математика та правильність схем, які кодують правила. Для будь-кого, чия модель загроз охоплює саму інфраструктуру, операторів, на яких можна тиснути, або виробників, яких можна скомпрометувати, цей короткий список і є продуктом.
Фактично цю базу довіри щойно перевірили в продакшені. 29 травня Taylor Hornby, дослідник безпеки, який проводив аудит для Shielded Labs, виявив дефект soundness у схемі доказу пулу Orchard, присутній з моменту запуску пулу у 2022 році, який, згідно з розкриттям від Shielded Labs, міг дозволити карбувати необмежену кількість підроблених ZEC всередині Orchard без будь-якого сліду в ланцюгу.
Аварійне виправлення було доставлене за п’ять днів: Orchard призупинили 2 червня, а вже 3 червня відновили з виправленою схемою. У дописі ZODL про усунення наслідків описано вплив вужче, ніж це зробили Shielded Labs: там ішлося про ризик подвійного витрачання всередині пулу, а не про підроблену пропозицію, і повідомлялося, що приватність користувачів та загальний ліміт пропозиції не постраждали.
Пізніше було доставлено відновлення верифікованості. Ironwood, активований як NU6.3 28 липня, назавжди закриває пул Orchard, відкриває новий пул на виправленій схемі, підкріпленій незалежними аудитами та формальною верифікацією, і спрямовує всі кошти, що виходять, через turnstile, який обмежує виведення рівнем того, що верифіковано на вході, відновлюючи для кожного користувача можливість незалежно перевіряти обсяг монет в обігу, не бачачи при цьому чиїхось транзакцій. Цей епізод показує реєстр бази довіри в дії. Коли правильність схеми дала збій, засобом виправлення стали математика й міграція, а не розсуд комітету, а радіус ураження обмежила аудитованість, яку архітектура вбудувала в межу пулу ще роками раніше.
Те, що дає екранування в обмін на цю мінімальну базу довіри, навмисно вузьке. Прихований стан тут є платежем, переміщенням вартості від однієї сторони до іншої. Немає спільного зашифрованого стану, над яким обчислюють багато сторін, немає конфіденційної логіки контрактів і немає зашифрованої книги ордерів.
FHE дає змогу виконувати обчислення над шифротекстом. У протоколі Zama, версія якого зараз працює в Ethereum, баланси та суми переказів існують у ланцюгу як зашифровані дескриптори за проєктом стандарту ERC-7984 standard, співпроцесори виконують зашифровану арифметику поза ланцюгом, а для розшифрування потрібен кворум незалежних операторів керування ключами, тринадцять організацій на момент запуску основної мережі, обраних за репутацією та операційною залученістю, тож жодна окрема сторона не може прочитати дані. Саме це взагалі робить можливими зашифровану книгу ордерів або конфіденційний пул кредитування: прихований стан багатьох сторін, який поєднується всередині спільної логіки контракту.
Але що щодо комітету з керування ключами? Хтось повинен мати змогу розшифровувати, інакше дані непридатні до використання. Відповідь цієї конструкції полягає в тому, щоб зробити таким «кимось» поріг незалежних операторів, а не одного зберігача, і керувати тим, хто може розшифровувати які значення, через контроль доступу, записаний безпосередньо в самі контракти, з можливістю розширення на визначені сторони, такі як аудитори; наслідки цього механізму делегування для комплаєнсу належать до наступного матеріалу цієї серії. Для того, хто оцінює рішення, запитання полягає в тому, чи відповідають склад комітету, його стимули та поріг моделі загроз оцінювача.
Багатосторонні обчислення розбивають дані на частки, розподілені між незалежними вузлами, які спільно обчислюють результат так, що жоден вузол не відновлює вхідні дані. Avishay Yanai, співзасновник і CEO Soda Labs, чия віртуальна машина на garbled-circuit виконує сумісну з EVM логіку контрактів над зашифрованими значеннями в продакшені в мережі COTI, описує хороший дизайн MPC у продакшені як такий, що гарантує: жодна окрема сторона, чи то спостерігач, вузол, який виконує обчислення, чи сам постачальник, ніколи не бачить вхідні дані у відкритому тексті або проміжний стан, а всі бачать лише те, що їм дозволяє політика розкриття. Гарантія залежить лише від відсутності змови, а це припущення можна інженерно та контрактно підсилювати, наприклад операторами в окремих юрисдикціях, у різних хмарах і під незалежними аудитами, з юридичною відповідальністю за змову. Завдання криптографії тут, за його словами, полягає у величезному зменшенні довіри, а не в її усуненні, щоб досягти еквівалентності довірі, яку інституції покладають на клірингові палати. Змова понад поріг руйнує приватність, але не правильність, оскільки в конструкціях із публічною аудитованістю зовнішні валідатори все одно можуть перевірити, що повідомлені результати правильні, не долучаючись до самого обчислення.
Застереження лише в тому, що такий спостерігач бачить, що транзакція відбулася, коли саме, з яким контрактом, хто її подав, а також розміри пакетів і комісії. Вузол-учасник може дізнатися, яку функцію було виконано і які в неї шаблони пропускної здатності. Окремим чинником є кореляція за часом, оскільки рівні активності можуть витікати навіть тоді, коли суми не витікають. А все, що застосунок виводить у відкритому тексті, за багаторазових малих розкриттів може перетворитися на потенційні шаблони для сторони, яка спеціально їх шукає. «Це межа обіцянки», як він уточнює, тому оцінювачі мають вимагати від постачальників явного окреслення цієї межі. Жодна модель обчислень не виправить подання відкритого тексту, наприклад, із скомпрометованого клієнта. Протокол сумлінно обчислює на всьому, що йому подали. Хто з ким спілкується, це проблема транспорту, а комплаєнс є питанням політики, а не механізму: «Жодна криптографія не ухвалить це рішення за вас».
Конструкції на основі garbled-circuit працюють у сталому числі раундів, причому важкий криптографічний матеріал попередньо обчислюється ще до появи вхідних даних; саме це робить навантаження на рівні транзакцій практично можливими там, де протоколи з розподілом секрету платять мережевими переходами за кожну операцію, а там, де, за словами Yanai, деякі сімейства MPC захищають значення, але не сам факт обчислення, конструкції на основі garbled-circuit можуть поширювати захист і на адреси контрагентів, і на типи активів. Однак для цього порівняння найважливіша властивість сімейства полягає в тому, що MPC є самостійною архітектурою, а також складником інших сімейств: пороговий комітет ключів у розгортанні FHE сам по собі теж є багатостороннім обчисленням. Запитання оцінювача, у формулюванні Yanai, звучить так: «що саме робить мій комітет і за що я плачу понад нього?» Якщо комітет існує в будь-якому разі, то виконання самих обчислень у MPC може прибрати дорогий зовнішній шар.
Варто уточнити, що під однією й тією самою абревіатурою обговорюють два дуже різні продукти. Custody MPC розділяє ключ підпису між кількома сторонами так, щоб жодна з них не могла підписати самостійно; він захищає один секрет, а спільне обчислення тут є однією фіксованою операцією, що продукує підпис. Compute MPC виконує загальну програмну логіку над даними, які весь час залишаються прихованими, і охоплює вхідні дані багатьох сторін, довільну логіку контрактів та безперервну роботу. Математика є тим, що в них спільного. Операційно ж одне використовується для керування ключами, а інше є конфіденційним середовищем виконання.
TEE є апаратно ізольованою областю процесора, яка зберігає дані зашифрованими в пам’яті та захищеними від операційної системи, гіпервізора й оператора машини, а віддалена атестація дає змогу зовнішній стороні перевірити, який код виконується всередині. Така конструкція купує дві речі, за які криптографічні сімейства дорого платять: універсальність і швидкість. Enclave виконує звичайні програми майже за звичайною вартістю, і саме тому TEE є основою більшості пропозицій конфіденційних обчислень від великих хмарних провайдерів та дедалі більшого набору інфраструктури ланцюгів.
База довіри тут і є компромісом, адже гарантія настільки сильна, наскільки сильними є проєкт і ланцюг постачання виробника обладнання, інфраструктура атестації та стійкість enclave до витягування даних через побічні канали, а це клас атак із довгою історією публікацій. Проєктанти TEE знають цей реєстр краще за своїх критиків. Вибір цієї архітектури означає виважену ставку на те, що довіра до обладнання плюс атестація є правильною ціною за виконання реальних навантажень із реальною швидкістю, і для багатьох розгортань це справді так.
Чи міг би екранований Zcash слугувати для сценарію з конфіденційним торговельним майданчиком? Ні, але це не недолік. RFQ-майданчик є спільним зашифрованим станом під логікою контракту, де приховані наміри багатьох сторін поєднуються всередині аукціону, який сам працює всліпу. Це більше підходить для чогось на кшталт MPC, зі спільним приватним станом за умов частих взаємодій, книгою ордерів, циклом неттингу. Екранування не має для цього субстрату; його прихований стан є платежем між двома сторонами. Сам майданчик краще підходить для FHE або MPC, і варто зауважити, що коли Zama його будувала, конфіденційність, яку він забезпечує, є графіком розкриттів для маркет-мейкерів із білого списку та встановленою ідентичністю, що необхідно для інституційної торгівлі. Але це інший продукт, ніж той, який пропонує екранована транзакція, а саме конфіденційність без білого списку і без сторони, яка зрештою дізнається ваш напрям.
А що щодо корпоративних платежів і нарахування зарплати? Це ринок, до якого тепер залицяється кожен постачальник FHE та MPC, і це саме та проблема, для якої екранування й було створене: суми приховані, контрагенти приховані, чинність публічна. У принципі екранований ланцюг є відповіддю з найсильнішою доступною базою довіри: без комітету, без постачальника, без набору операторів. На практиці ж ринок корпоративних платежів виграють за рахунок платіжних рейок, інтеграції з ERC-20, наявних кастодіанів, наявних інструментів комплаєнсу, номінацій у стейблкоїнах, тоді як екранований Zcash пропонує інший актив в іншому ланцюгу. Але на рівні форми проблеми це дуже вдале поєднання, яке просто очікує на інтеграцію. Криптографія це дозволяє, тож практичні питання стосуються того, до чого під’єднується навколишній стек.
Варто також подивитися, що пропонують інші три сімейства, а екранування не пропонує: сторону, яку можна примусити. Пороговий комітет може отримати судовий наказ, виробника enclave можна викликати повісткою щодо його ключів підпису, а набір операторів має юрисдикцію. Для інституції, якій потрібен шлях комплаєнсу, комітет сам по собі може бути продуктом. Водночас з іншого погляду це ж і є вразливість.
Якщо ми знову подивимося на випадки, розглянуті вище, побачимо картину з багатьма перетинами. У більшості розгортань FHE під ним лежить порогове MPC як шар розшифрування. Докази з нульовим розголошенням сертифікують зашифровані вхідні дані до того, як їх споживає FHE, а в системах на garbled-circuit можуть сертифікувати їх і постфактум, надаючи користувачам примусовий вихід, який не залежить від доступності мережі, що є практикою, запозиченою з архітектур rollup. TEE з’являються всередині вузлів MPC як додатковий рубіж захисту, вузли керування ключами Zama виконують свою частку обчислень усередині апаратних enclave, а TEE дедалі частіше розміщують prover-и та builder-и систем, чиї кінцеві гарантії є криптографічними. Порівнянню, написаному за п’ять років, можливо, буде важко знайти шви. Але композиція працює лише в один бік.
Саме тому стійка форма запитання оцінювача насправді зовсім не про «яку технологію» обрати. Треба дивитися на те, як саме послідовно організовано конфіденційність, що саме виключається і що забезпечує це виключення: математика та правильність схем, відсутність змови в комітеті, поріг чесних вузлів чи кремній постачальника. Читайте будь-яке твердження про конфіденційність, ставлячи запитання: що приховано, від кого, до якого моменту і на чиєму слові, і тоді ви все зрозумієте.
Розкриття інформації: цей матеріал було підтримано Zcash Community Grant. ZCG не перевіряв і не схвалював цей матеріал до публікації. Фінансові зобов’язання Proof Street наведені на сторінці фінансування.
Пов’язані сторінки: Shielded Pools (Using_Zcash) · Viewing Keys · сторінка «хто що може бачити» у Start_Here — підставте точні шляхи вікі