OSM:Vitalik：混淆電路（Garbled circuits）快速入門

注：原文作者是以太坊聯合創始人VitalikButerin。

特別感謝DankradFeist對本文進行的審閱工作。

混淆電路是一種非常古老，且非常簡單的密碼學原語。它們很可能是通用“多方計算”的最簡單形式。

以下是該方案的常規設置：

假設存在兩方，愛麗絲和鮑勃，他們想要計算一些函數f(alice_inputs,bob_inputs)，這需要從雙方那獲取輸入。愛麗絲和鮑勃都想知道計算函數f的結果，但是愛麗絲不想鮑勃知道她的輸入，而鮑勃則不想愛麗絲知道他的輸入。理想情況下，除了f的輸出外，他們都不會得知任何其它東西。

愛麗絲執行特殊的過程來加密評估函數f的電路。她將輸入傳遞給鮑勃。

鮑勃使用一種稱為“1-of-2茫然傳輸”的技術來學習自己輸入的加密形式，而不讓愛麗絲知道他獲得了哪些輸入。

鮑勃在加密數據上運行加密電路，得到答案，并將其傳遞給愛麗絲。

額外的密碼學封裝可用于保護該方案，以防止愛麗絲和鮑勃發送錯誤的信息并互相給出錯誤的答案。為了簡單起見，我們不會討論這些問題，盡管可以說“把ZK-SNARK封裝在所有東西上”是其中之一有效的解決方案。

Blur推出Global Activity界面，可監控所有NFT系列的上架和銷售活動:金色財經報道，NFT 市場 Blur 宣布推出可監控和跟蹤所有 NFT 系列上架和銷售活動的 Global Activity 界面，同時允許用戶自定義監控多個 NFT 系列的活動。[2023/4/21 14:17:52]

那基本方案如何運作呢？讓我們從電路開始：

這是一個最簡單的電路例子，它實際上做了一些事情：它是一個兩位加法器。它以二進制形式輸入兩個數字，每個數字具有兩位，并輸出一個三位二進制數字。

現在，讓我們對電路進行加密。首先，對于每個輸入，我們隨機生成兩個“標簽”：一個表示輸入為0，另一個表示輸入為1。然后我們也對每個中間線做同樣的操作，不包括輸出線。注意，這些數據不是愛麗絲發送給鮑勃的“混淆”的一部分；到目前為止，這只是設置。

4萬枚ETH從Vitalik Buterin創建的合約地址轉出:11月24日消息，據WhaleAlert監測，4萬枚ETH從Vitalik Buterin創建的合約地址（0x22086開頭）轉出，該合約地址當前還持有逾25萬枚ETH，價值近3億美元。[2022/11/24 8:05:12]

現在，對于電路中的每個門，我們執行以下操作。對于每一個輸入組合，我們在愛麗絲提供給鮑勃的“混淆”中包含輸出標簽，該標簽是通過將導致該輸出的輸入標簽散列在一起而生成的密鑰加密的。為了簡單起見，我們的加密算法可以是

enc(out,in1,in2)=out+hash(k,in1,in2)，其中

k是門的索引。如果你知道這兩個輸入的標簽，并且你有混淆，那么你可以學習相應輸出的標簽，因為你只需計算相應的哈希，并將其減去即可。

這是第一個異或門的混淆：

Gravity Bridge在Osmosis為流動池提供外部激勵:7月5日消息，Cosmos生態的資產跨鏈橋Gravity Bridge在Osmosis為gUSDC/OSMO和ATOM/gUSDC提供外部激勵。 gUSDC/OSMO的激勵為50萬GRAV，周期45天； ATOM/gUSDC的激勵為100萬GRAV，周期45天.[2022/7/5 1:51:36]

請注意，我們直接包括0和1，因為此異或門的輸出直接是程序的最終輸出。現在，讓我們看一下最左邊的與門：

在這里，門的輸出僅用作其他門的輸入，因此我們使用標簽而不是位來隱藏評估器中的這些中間位。

愛麗絲將提供給鮑勃的混淆只是每個門第三列中的所有內容，每個門的行被重新排序。為了幫助鮑勃了解為每個門解密哪個值，我們將使用一個特定的順序：對于每個門，第一行變為兩個輸入標簽均為偶數的行，第二行第二個標簽為奇數，第三行第一個標簽為奇數，第四行兩個標簽均為奇數。我們以相同的方式混淆電路中的每個其他門。

明星在其官網添加VIT支付:據Coindesk消息，美國明星Stormy Daniels在其官網中添加VIT支付，意在獎勵觀看視頻的網站訪問者，獲得VIT的用戶可以購買網站上的優質內容，或購買、訂閱支持該令牌的其他網站的服務。Stormy Daniels稱2006年與特朗普有過一段交往經歷，并因此出名。[2018/5/25]

總之，愛麗絲為電路中的每個門向鮑勃發送了四個約256位的數字。事實證明，4遠非最佳值；有關如何將與門的數量減少為3甚至是2，以及將異或門數量減少為零，請參見此處的一些優化。請注意，這些優化確實依賴于某些更改，使用XOR代替加法和減法，盡管為了安全起見還是應該這樣做。

當鮑勃收到電路時，他向愛麗絲索要與她的輸入相對應的標簽，并且他使用稱為“1-of-2茫然傳輸”的協議來向愛麗絲索要與自己的輸入相對應的標簽，而沒有向愛麗絲透露他的輸入是什么。然后他一個接一個地通過電路中的各個門，揭露每個中間門的輸出線。

假設愛麗絲的輸入是兩條左線，她給出，而鮑勃的輸入是兩條右線，他給出。這又是帶有標簽的電路：

Vitalik Buterin再次為ICO發聲:本周，以太坊聯合創始人之一Vitalik Buterin針對目前的ICO熱再度發聲，明確表示反對ICO項目中惡意炒作和虛假宣傳導致的哄抬價格的行為。[2017/11/22]

在一開始，鮑勃知道標簽6816,3621,4872,5851；

鮑勃評估第一個門，他知道6816和4872，因此他可以提取與對應的輸出值并提取第一個輸出位1；

鮑勃評估第二個門，他知道6816和4872，因此他可以提取與對應的輸出值并提取標簽5990；

鮑勃評估第三個門，他知道他知道3621和5851，并學習7504；

鮑勃評估第四個門，他知道3621和5851，并學習6638；

鮑勃評估第五個門，他知道3621和5851，并學習7684；

鮑勃評估第六個門，他知道5990和7504，并學習第二個輸出位0；

鮑勃評估第七個門，他知道5990和6638，并且學習了8674；

鮑勃評估第八個門，他知道8674和7684，并學習了第三個輸出位1；

這樣鮑勃就了解了輸出：101。在二進制中，10+11實際上等于101的原因），所以它起作用了！

請注意，加法的使用在混淆電路中是毫無意義的，因為知道101的鮑勃可以減去他自己的輸入并得到101-11=10，從而破壞了隱私。但是，一般情況下，混淆電路可用于不可逆的計算，因此請勿以此方式破壞隱私（例如，人們可能會想到一種計算，其中愛麗絲的輸入和鮑勃的輸入，是他們對個性測驗的答案，而輸出是一個位，決定算法是否認為它們是兼容的；而這一位的信息不會讓愛麗絲和鮑勃知道彼此的個人測驗答案。

1-of-2茫然傳輸

現在讓我們更多地討論1-of-2茫然傳輸，這是鮑勃用來從愛麗絲那獲取與他自己輸入對應標簽的技術。問題是這樣的：聚焦于鮑勃的第一個輸入位，愛麗絲有一個對應于0的標簽，和一個對應于1的標簽。鮑勃有他想要的輸入位：1。鮑勃想學習正確的標簽，而又不讓愛麗絲知道他的輸入位是1。平凡的解決方案不起作用，因為愛麗絲只想放棄兩個輸入標簽中的一個，如果鮑勃同時接收兩個輸入標簽，則可能泄漏愛麗絲不想放棄的數據。

下面是一個使用橢圓曲線的簡單協議：

愛麗絲生成一個隨機橢圓曲線點H；

鮑勃生成兩個點P1和P2，要求P1+P2等于H。鮑勃選擇P1或P2為G*k。請注意，P1+P2=H的要求可確保鮑勃不能生成P1和P2。這是因為如果在鮑勃知道k1和k2的情況下，如果P1=G*k1和P2=G*k2，則H=G*，因此這意味著鮑勃可提取H的離散對數，這意味著橢圓曲線密碼系統的所有部分都被破壞了；

愛麗絲確認P1+P2=H，并使用一些標準公鑰加密方案加密P1下的v1和P2下的v2。鮑勃只能解密這兩個值中的一個，因為他知道最多對應一個值的私鑰，而愛麗絲又不知道是哪一個。

這解決了問題，鮑勃根據輸入位的不同，學習兩個線標簽中的一個，而愛麗絲卻不知道鮑勃學習了哪個標簽。

應用領域

混淆電路對于很多應用都有潛在的用途，而不僅僅是2-of-2的計算。例如，你可以使用它們進行任意復雜度的多方計算，其中任意數量的參與者提供輸入，這些輸入可以在恒定數量的交互中運行。產生一個混淆電路是完全并行的，你可以同時進行多個混淆門。

因此，你可以簡單地進行大規模多方計算，其中許多參與者計算電路中所有門的混淆，并發布與其輸入對應的標簽。標簽本身是隨機的，因此不會透露任何關于輸入的信息，但是任何人都可以執行公布的混淆電路，并在“清除”中學習輸出。有關使用混淆作為成分的MPC協議的最新示例，請參見此處。

多方計算不是唯一的應用環境，在這種情況下，這種將計算拆分為可并行處理部分的技術可對秘密數據進行操作，然后再進行可明確運行的順序部分，這是有用的，而混淆電路并不是實現這一點的唯一技術。一般來說，關于隨機編碼的文獻，包括很多更復雜的技術，這一數學分支在函數加密和模糊處理等技術中也是很有用的。

Tags：VITALITALIOSMVITOMy Neighbor AliceTALI價格COSMIC

DAI