小城的數學浪漫：探秘密碼學專業會議 TPMPC 2018

江湖上總流傳著蓋世神功武林祕籍的傳說，言之確鑿，然見者頗少，一見不得了，譬如《30 天入門九陽神功》，《21 天精通九陰白骨爪》，此等教程實屬罕物，睹之不易，遑論據而擁之，若僥倖習得一二，已屬佼佼，轉瞬躋身武林大佬。江湖更有甚者，機緣巧合得大師彌留之 paper，譬如《10 年淺談乾坤大挪移》，《深入理解少林易筋經體系結構》、《1 秒鐘入定，手把手教你辟邪劍譜》，《當我們在談論降龍十八掌時我們在談論什麼》，論文加持，頂級演算法開竅開天闢地，難題迎刃而解。

一直以來，江湖中血雨腥風的故事大多跟爭搶這些電子書有關，贏者仿似開掛，獲少林武學研究院等 paper 而制霸中原武林工程學術界，此非獨物，區塊鏈江湖裡也流傳著不少，其中最酷的一樣當屬密碼學無疑，密碼學領域不少 paper 似有相同功效。昔時華之山論劍武功絕，今日區塊鏈當問密碼學。

近日 AlphaWallet 就有一篇重磅 paper 誕生，雖不似前述諸絕之偉岸功效，但也可謂區塊鏈之震撼大作，誕生在如何的背景之下？在講些什麼？和密碼學的關係是什麼？解決了什麼問題？可以用來做什麼？今天 CTO 韡武先從他的視角帶你走馬觀花，看看今年的密碼學會議 TPMPC 2018。而在下一期，我們會正式為大家帶來這篇江湖祕籍，AlphaWallet 最新的 Paper 《Attestation on Ethereum》！

01

問劍密碼學的會議一般都很神祕，就是沒多少人知道，沒多少人去，<wbr>去了沒多少人聽得懂，但是其密碼學成果卻是江湖裡流傳的演算法神功祕籍，可能有深遠影響。<wbr>給外行有種像是共濟會討論改造世界。關於區塊鏈，<wbr>熟悉密碼學圈子的人應該都知道這個現象，<wbr>就是密碼學家們完全不談區塊鏈。<wbr>區塊鏈是密碼學應用和分割槽計算領域的跨領域成果，<wbr>現在分散式計算專家很多都改稱區塊鏈專家了，密碼學還是很本色。TPMPC 就是這樣一個密碼學會議，今年的 2018 年會在丹麥小城 Århus 舉行，我試著帶大家一起來探祕這個密碼學專業會議了。

02

我住處在 Århus 大學對街。早上 9 點起來全無車聲、人聲，<wbr>只有鳥叫。這是因為我在 Århus。<wbr>Århus 去哥本哈根 3 小時路程，全城僅 27 萬居民。<wbr>這也算城嗎？我自問。到這個小城，我用的是渡船。東道主丹麥密碼學專家 Tore 是我們<wbr>的顧問，在港口接我。“你沒有坐水上飛機來呀？”他說。原來小國有小國的好處，<wbr>這裡的 CTO 出行坐水上飛機，直接在哥本哈根的河道里起降，一下飛機就在 CBD，價<wbr>格一兩百歐元，省下的時間卻不止這個價。“可是 Google Map 上沒提供這個資訊呀”，我笑著說。

03

這座城沒有一個摩天大樓，只有一個博物館算是有意思的建築。清泉<wbr>小樓，乏善可陳。然而此時正有 50 多位密碼學家共聚此地，因為這是一個一般<wbr>麻瓜不知道的朝聖之地——全世界最高水平（按論文算）的 MPC——多方安全計<wbr>算——研究就誕生在這裡。

04

多方安全計算是美籍華人姚期智在我所生的那一年 1982 年建立的<wbr>領域。他提出了一個在不保密的環境下保持祕密的計算方法，靠它獲得了圖靈獎。姚<wbr>期智雖然移居清華，他開創的多方安全計算這個領域卻定都在 Århus。完成<wbr>這項使命轉化的是 Ivan Damgård 教授，一位白髮而精力充沛的教授，行業界的一個傳<wbr>奇人物，生於斯長於斯的丹麥人，也是這場會議的主持人。姚期智在清華現在主要<wbr>做複雜系統，研究“P 與 NP”這樣的問題，但是不忘他的密碼學遺產，仍然促成<wbr>清華跟 Århus 合資建立了研究中心。

Aarhus University © Zairon, Wikimedia Commons, License CC-BY-SA-3.0

05

我住在一個胚胎人工培養專家家裡。他給我解釋了他的工作，我沒聽<wbr>懂。我於是給他解釋我此行的目的，到西方取經，這“經”是多方安全計算的一<wbr>些成果，在很多在區塊鏈場景中，尤其是錢包中，很重要。我先試著給他講了區塊<wbr>鏈是如何解決“可信”的問題，而“保密”的問題卻懸而末決，需要結合 MPC <wbr>才能解決很多應用場景。他聽完後表示懂得跟我懂的人胚胎知識差不多。

於是我換了個講法：“比如說蘋果在做 ApplePay，如果美國政府想要使用者的支付資料，蘋果公司對使用者和政府兩面都不敢得罪怎麼辦？如果使用 MPC，蘋果就可以說：我們其實自己也不知道。”胚胎專家表示說他懂了。

唉，為了能講懂，只好講的不準確。其實我剛才的例子不合適，因為蘋果伺服器要處理支付的結算環節，不知道是不可能的，用了 MPC 也沒用。但是像我們做區塊鏈錢包的，結算由區塊鏈做，我們 AlphaWallet 卻是可以用 MPC 保護使用者的。現在所有的手機以太坊錢包廠商都知道其使用者的以太幣地址（可以賣給空投商用，相當於韭菜肥料），而我們出於保護使用者，不知道我們使用者的以太幣地址。這種前提下還要往上做功能，需要的正是 MPC 這種特別魔法。

Aarhus University © Villy Fink Isaksen, Wikimedia Commons, License cc-by-sa-3.0

06

熟悉密碼學圈子的人應該都知道這個現象，就是密碼學家們不談區塊<wbr>鏈。區塊鏈是密碼學應用和分割槽計算領域（加遊戲理論）的跨領域成果，現在分<wbr>布式計算專家很多都改稱區塊鏈專家了，密碼學還是很本色，跟區塊鏈劃清界線<wbr>。一個月前密碼學家 Helger Lipmaa 被指是中本聰，他不客氣的說他不可能是中本聰，“因<wbr>為中本聰不是密碼學家嘛”——這個掌故可以反映密碼學圈的態度。

簡<wbr>潔零知識證明，尤其是非互動的簡潔零知識證明，既是區塊鏈未來的核心技術，又是<wbr>目前密碼學的重頭。這個領域裡這些年研究成果倍出，但是領域裡的學者都不太<wbr>喜歡基於零知識證明設計的 ZCash。我遇到一位零知識理論研究專家，一個<wbr>堅持要求我用法語叫他名字的十分聰明的青年。他對 ZCash 受媒體暴光很不滿意：<wbr>“先知被當成了神”，他說，“ZKSnark 又不是他們 ZCash 發明的。”

07

在工程圈也有不少人蔘與會議。各大公司的基礎技術研發中心都有代<wbr>表，包括阿里巴巴。一位家喻戶曉的國際品牌荷蘭研發中心的代表說，韡武，原<wbr>來你是搞區塊鏈的，我們一天倒晚反對區塊鏈，都快累死了。我說：你的領域如<wbr>果跟區塊鏈沒關係，為什麼需要特別地“反對”它呢？我就不反對胚胎人工培養<wbr>，跟我沒關係嘛。他說，現在各公司的管理層風氣是這樣的，基礎技術研究部門不<wbr>研究區塊鏈會被問責的，這樣重要的技術趨勢你們都不研究，公司如何在前沿？<wbr>所以我們必須額外花力氣來反對它。我們光是不做區塊鏈是不夠的，得出材料論<wbr>證我們為什麼不做區塊鏈，我聽了哭笑不得。

08

我在席間問了幾個密碼學家，說為什麼密碼學家不喜歡區塊鏈。<wbr>總的來說，密碼學家覺得區塊鏈是密碼學的“不好的”應用，<wbr>炒幣很荒唐，公鏈搞無政府主義很無聊。<wbr>傳統上密碼學的發展跟政府需求是密切相關的，Diffie-<wbr>Hellman 金鑰交換協議不知道免去了多少間諜送命，<wbr>歡迎比特幣的無政府主義思想在密碼學界並不吃香。<wbr>有些密碼學技術，比如 IBE（Identity Based Encryption）是基於一個極強中心（知道所有人金鑰）<wbr>假設下發展的（今天講到一個沒有這種假設的 IBE，有意思）。<wbr>那好的應用是什麼呢？<wbr>有位丹麥密碼學博士出來說其實你說區塊鏈不好，<wbr>但是國家做的也不好，<wbr>現在丹麥政府給公民發的密匙自己都有一份備份，<wbr>就沒有不可抵賴性了。禮失求諸野，政府不好好用密碼學，<wbr>民間先做區塊鏈有什麼錯呢？