Обратная сторона zero knowledge: Бэкдор в zk-SNARK, который невозможно обнаружить
Александр Дрыгин, эксперт компании SmartDec, которая занимается исследованиями в области безопасности смарт-контрактов, рассказал о том, какие угрозы для криптовалюты может принести использование SNARK-протокола. Используя протокол доказательства с нулевым разглашением из семейства SNARK, вы никогда не знаете правил игры. Эти правила устанавливают участники процедуры генерации доверенных параметров системы, однако после ее завершения проверить эти правила не представляется возможным. Вы можете поверить в корректность генерации, но, если вы в ней не участвовали, 100-процентных гарантий у вас нет. В последнее время в блокчейн-сообществе все чаще упоминаются протоколы zero knowledge (нулевое знание): в первую очередь в контексте приватности, реже в контексте масштабируемости и других (чтобы получить общее представление о протоколах zero knowledge, рекомендую эту статью). Одно из наиболее изученных, а что важнее реализованных — семейство протоколов zk-SNARK (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge). Такой протокол используется, в частности, в криптовалюте Zcash. Популярность SNARK оправдана: протокол позволяет нам доказывать факты с нулевым разглашением, доказательства относительно невелики, и все это с гарантиями безопасности, которые дает нам современная криптография на эллиптических кривых. Однако без минусов, как обычно, не обошлось: основной недостаток этого семейства zk-протоколов — необходимость в генерации начальных (доверенных) параметров системы. Этот процесс также называют церемонией. Ведь для генерации используются подлежащие уничтожению секретные параметры — их называют токсичными. Главная проблема в том, что в случае сохранения токсичных параметров, владеющий ими сможет доказывать ложные факты (в случае с Zcash — генерировать криптовалюту из воздуха).
