零知识证明

前段概念適用於較實際的密碼學場景。設小靜欲向阿嚴證明，自己知道某群某指定元素的离散对数。[6]

例如，給定數${\displaystyle y}$、质数${\displaystyle p}$、生成元${\displaystyle g}$，小靜希望證明自己知道某數${\displaystyle x}$使${\displaystyle g^{x}{\bmod {p}}=y}$，而不泄漏${\displaystyle x}$。事實上，知曉${\displaystyle x}$之事，本身可用作身份證明，即小靜可藉此證明該${\displaystyle y}$值是由她先暗中選某隨機值${\displaystyle x}$，再計算${\displaystyle y=g^{x}{\bmod {p}}}$，公諸所有潛在的驗證者。如此，若某人證明自己知道${\displaystyle x}$，則相當於證明自己即小靜，因為學者相信離散對數很難計算，即其他人無法從${\displaystyle y}$倒推出${\displaystyle x}$值。

證明協議如下：每輪，小靜預備隨機數${\displaystyle r}$，計算${\displaystyle C=g^{r}{\bmod {p}}}$，將該值傳予阿嚴。收到${\displaystyle C}$後，阿嚴隨機請求下列兩者之一：小靜公開${\displaystyle r}$值，或${\displaystyle (x+r){\bmod {(p-1)}}}$值。單獨看任何一個值，其分佈皆是均勻隨機，所以協議每輪皆不泄露任何機密。

阿嚴可以驗證所得回應。若問${\displaystyle r}$，則可以計算${\displaystyle g^{r}{\bmod {p}}}$，檢查是否等於${\displaystyle C}$。若問${\displaystyle (x+r){\bmod {(p-1)}}}$，則可以計算${\displaystyle g^{(x+r){\bmod {(p-1)}}}{\bmod {p}}}$，而該值應當等於${\displaystyle C\cdot y{\bmod {p}}}$，所以亦驗證${\displaystyle C}$值是否滿足該條件。若小靜確實知道${\displaystyle x}$值，理應很易回答阿嚴的任一條問題。

若小靜預知阿嚴採用何種盤問，則很易作弊，在不知${\displaystyle x}$的情況下，向阿嚴假裝自己知道${\displaystyle x}$：若她知道阿嚴將要問${\displaystyle r}$，則如常繼續，選${\displaystyle r}$，計算${\displaystyle C=g^{r}{\bmod {p}}}$，告知阿嚴${\displaystyle C}$值；她可以答出${\displaystyle r}$值。另一方面，若她知道阿嚴將問${\displaystyle (x+r){\bmod {(p-1)}}}$，則取隨機一個${\displaystyle r'}$值，計算${\displaystyle C'=g^{r'}\cdot \left(g^{x}\right)^{-1}{\bmod {p}}}$，然後發送${\displaystyle C'}$值予阿嚴（阿嚴會以為該值為${\displaystyle C}$值）。當阿嚴要求公開${\displaystyle (x+r){\bmod {(p-1)}}}$值時，小靜公開${\displaystyle r'}$，但這足以讓阿嚴驗證結果，因為他計算的值實為${\displaystyle g^{r'}{\bmod {p}}}$，是等於${\displaystyle C'\cdot y}$，因為${\displaystyle C'}$正是小靜一早乘上${\displaystyle y}$的逆元而計出。

然而，若有某輪驗證中，阿嚴的問題與小靜預估的有出入，則小靜無法計算出要答的結果（假定該群的離散對數問題難解）。若她揀選${\displaystyle r}$並公開${\displaystyle C=g^{r}{\bmod {p}}}$，則無法作弊給出服眾的${\displaystyle (x+r){\bmod {(p-1)}}}$值來通過阿嚴的檢查，因為不知道${\displaystyle x}$。又若她揀選${\displaystyle r'}$值，偽裝成${\displaystyle (x+r){\bmod {(p-1)}}}$，則要回答公開值的離散對數，但她無法回答，因為該值是由已知值乘出，而非某已知值以${\displaystyle g}$為底的冪，所以她不能計出其離散對數

所以，作弊的證明者僅得${\displaystyle 1/2}$概率通過某輪驗證。重複足夠多輪，成功作弊的概率可壓到任意小。

小靜要證知道${\displaystyle x}$值（如其密碼）。

1. 小靜與阿嚴約定某質數${\displaystyle p}$，及域${\displaystyle \mathbb {Z} /p\mathbb {Z} }$的乘法生成元${\displaystyle g}$。
2. 小靜計算${\displaystyle y=g^{x}{\bmod {p}}}$，傳送予阿嚴。
3. 重複以下步驟若干次：
   1. 小靜選某個均勻隨機數${\displaystyle r\in U[0,p-2]}$，計算${\displaystyle C=g^{r}{\bmod {p}}}$，傳送${\displaystyle C}$予阿嚴。
   2. 阿嚴問小靜${\displaystyle (x+r){\bmod {(p-1)}}}$或${\displaystyle r}$，二選其一。若問前者，則阿嚴驗證${\displaystyle (C\cdot y){\bmod {p}}\equiv g^{(x+r){\bmod {(p-1)}}}{\bmod {p}}}$。若問後者，則他驗證${\displaystyle C\equiv g^{r}{\bmod {p}}}$。

${\displaystyle (x+r){\bmod {(}}p-1)}$之值，可視為${\displaystyle x{\bmod {(}}p-1)}$的加密。若${\displaystyle r}$確為隨機，在${\displaystyle 0}$至${\displaystyle (p-2)}$間均勻分佈，則${\displaystyle (x+r){\bmod {(p-1)}}}$也同樣均勻分佈，所以不會泄漏任何關於${\displaystyle x}$的資訊（見一次性密碼本）。

下列方案是曼紐爾·布盧姆提出。[7]

此場境中，小靜知道某大圖${\displaystyle G}$的哈密頓環。阿嚴知道${\displaystyle G}$但不知該環（比如說小靜將該圖列印給阿嚴）。一般相信，找大圖的哈密頓環，在計算上並不可行，因為相應的決定問題已證為NP完全。小靜欲證自己知道該環，但不想泄漏出去，原因可能是阿嚴打算向小靜買，但付款前希望先驗證小靜知道；也可能是全世界衹得小靜知道該環，所以小靜向阿嚴證明此事，是為向阿嚴核實自己身份。

小靜為證明自己知道哈密頓環，與阿嚴作若干輪驗證。每輪中：

• 一開始，小靜預備圖${\displaystyle H}$，是與${\displaystyle G}$同構（即${\displaystyle H}$與${\displaystyle G}$一樣，但頂點的標籤不同）。若小靜知道${\displaystyle G}$的哈密頓環，則因為${\displaystyle H}$與${\displaystyle G}$間的同構由她揀選，她很易找到${\displaystyle H}$中對應的哈密頓環。
• 小靜秘諾${\displaystyle H}$。此處可選任意密碼學秘諾機制，甚或直接將${\displaystyle H}$的頂點編號，然後對${\displaystyle H}$的每條邊，將兩端編號寫在小紙片上，反轉蓋在枱面。總之，秘諾目的是使小靜此後無法竄改${\displaystyle H}$，但同時不讓阿嚴提早知道${\displaystyle H}$的資訊。
• 阿嚴隨機問小靜以下兩事之一：給出${\displaystyle H}$與${\displaystyle G}$間的同構（見圖同構問題）；或給出${\displaystyle H}$的哈密頓環。
• 若問兩圖的同構，則小靜先展示${\displaystyle H}$（將枱面全部紙翻開），並給出${\displaystyle G}$頂點與${\displaystyle H}$頂點的對應表。阿嚴可以驗證該對應關係是否滿足圖同構的條件。
• 若問哈密頓環，則小靜衹翻開在${\displaystyle H}$的哈密頓環上的紙片。如此，阿嚴已可驗證${\displaystyle H}$有哈頓頓環。

秘諾一步必須使阿嚴在第二種情況能驗證該環確實由${\displaystyle H}$的邊構成。一種做法是，逐條邊分別秘諾。

若小靜確知${\displaystyle G}$中的哈密頓環，則阿嚴詢問同構時，她很易回答（該同構為她所選），而阿嚴問${\displaystyle H}$中的哈密頓環時，她同樣很易回答（${\displaystyle G}$有哈密頓環，${\displaystyle G}$與${\displaystyle H}$間的同構為所她選，所以可以找到${\displaystyle H}$中對應的環）。

若小靜不知哈密頓環，則衹能預先猜測阿嚴會問何種問題，相應準備某個與${\displaystyle G}$同構的圖，或另一個不相關的哈密頓圖。然而，因為她不知${\displaystyle G}$的哈密頓環，所以無法同時做兩件事。於是，若以上驗證重複${\displaystyle n}$次，則小靜蒙混過關的概率僅得${\displaystyle 2^{-n}}$，從而實際意義上，衹需合理多輪驗證，已使造假者寸步難行。

小靜的回答不泄漏原圖${\displaystyle G}$的哈密頓環，因為每一輪，阿嚴衹會得悉${\displaystyle H}$與${\displaystyle G}$的同構，或是${\displaystyle H}$的哈密頓環，兩者之一，但他需要對同一個${\displaystyle H}$同時得知兩者，纔能構造出${\displaystyle G}$中的哈密頓環。如此，衹要小靜每輪預備一幅不同的圖${\displaystyle H}$，就能保密。若小靜不知${\displaystyle G}$的哈密頓環，但不知為何已事前得知阿嚴每輪會問的問題，則她可以作弊。例如，若小靜預知阿嚴該輪會問${\displaystyle H}$的哈密頓圖，則大可以祕諾一幅與${\displaystyle G}$無關的哈密頓圖。與之類似，若小靜預知阿嚴會問同構表，則她可以隨便預備一幅與${\displaystyle G}$同構的圖${\displaystyle H}$（其中她不知道任何哈密頓圖）。阿嚴根本無需小靜在場，亦可獨自想像出自己將見的場面，因為他清楚自己將會問甚麼，將見的僅是一個環（而不顯示圖的其他部分）或一幅與${\displaystyle G}$同構的圖，即阿嚴可以自行模擬該協議。因此，阿嚴從每一輪驗證揭露之事，無法得到任何關於${\displaystyle G}$哈密頓環的資訊。

零知識證明的研究，是受身份驗證系統啟發。驗證時，一方要向另一方證明自己身份，通常藉賴證明自己持有某種袐密（如通行密碼），但不希望對方知悉該袐密，稱為零知識知識證明。不過，通行密碼一般不是太短，就是不夠隨機，不能用於許多零知識知識證明方案。零知識通行碼證明就是有考量密碼長度限制的一類零知識知識證明。

2015年4月，Sigma協議（「其中之一」證明，英語：）面世。[9]2021年8月，美國網絡基建、安全公司Cloudflare採用該種證明機制，以供應方硬件為私人網絡提供驗證服務。[10]

密碼學協議之中使用零知識證明，可以在不退讓隱私的情況下，確保各方誠實。粗略言之，方法是迫用戶零知識地證明，其所作所為是依足協議。[11][12]由健全性，用戶必先確實跟從協議，纔能服眾。又由於證明是零知識，此過程並無犠牲用戶的隱私。

2016年，普林斯頓電漿物理實際室與普林斯頓大學展示一個技巧，或許適用於未來的核裁軍談判。其特點是，無需揭露某物件內部的機密構造，亦可允許督查員判斷該物件是否核武器。[13]

零知識證明用於小零幣與大零幣協議中，最終於2016年發展成小零幣[14]（2020年改稱飛熔幣）[15]和大零幣兩種加密貨幣。小零幣內置有混幣模型，以確保匿名，且該模型無需信任任何對等用戶或中央集權混幣者。[14]用戶可以用另一種基準幣交易，也可以將該幣賣出買入小零幣。[16]^:118大零幣協議的模型也類似（該變式稱為非交互式零知識證明）[17]，而且可以掩蓋交易額，但小零幣則不能。大零幣的交易數據如此隱密，所以與小零幣相比，較不易受到隱私計時攻擊。不過，此層額外隱私，可能導致不能追蹤假幣，倘因此造成大零幣供給的超通漲，可能無法偵測到。[14][18]

2018年，防彈證明（）面世。其改進自非交互式零知識證明，不再需要可信的安裝環境。[19]其後，實作成「結舌」協議（，和兩種加密幣皆出自該協議）和门罗币。[20]2019年，飛熔幣實作Sigma協議，是對應小零幣協議無可信環境的改進。[21][9]同年，飛熔幣引入萊蘭托斯協議（），更自Sigma協議改進，隱去交易的源頭與金額。[22]