ZKP Security Tools and Verification: Coverage, Effectiveness, Adoption, and Challenges
Dit artikel evalueert het huidige landschap van Zero-Knowledge Proof (ZKP) beveiligingsinstrumenten en formele verificatie-inspanningen, waarbij significante tekortkomingen in dekking en effectiviteit binnen reële codebases worden onthuld, terwijl tegelijkertijd de noodzaak wordt benadrukt voor een betere integratie van beveiligingspraktijken in de ontwikkelingscyclus.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je een wereld voor waarin je kunt bewijzen dat je een geheim kent — zoals een wachtwoord of een privé banksaldo — zonder het geheim zelf ooit daadwerkelijk te onthullen. Dit is de magie van Zero-Knowledge Proofs (ZKP's). Denk aan een tovenaar die je een truc laat zien: hij bewijst dat hij een muntstuk in een konijn kan veranderen zonder dat je ooit ziet hoe hij het deed of hoe het konijn er vooraf uitzag. Deze bewijzen worden de ruggengraat van de toekomst van het internet, waarbij ze miljarden dollars aan digitaal geld beveiligen en onze meest gevoelige persoonlijke gegevens beschermen. Maar hier zit de adder onder het gras: het bouwen van deze digitale tovertrucs is ongelooflijk moeilijk. Als een tovenaar zelfs maar een piepkleine fout maakt in zijn spreukenboek, kan de hele truc mislukken, waardoor een oplichter een bewijs kan vervalsen en geld kan stelen of een identiteit kan vervalsen. Omdat de belangen zo hoog zijn, hebben onderzoekers een hele gereedschapskist met "beveiligingsbewakers" gebouwd — softwareprogramma's die ontworpen zijn om deze spreukenboeken op fouten te scannen voordat ze live gaan.
Maar werken deze beveiligingsbewakers eigenlijk? Dat is de grote vraag die dit artikel stelt. De auteurs, een team van onderzoekers van topinstellingen, besloten deze tools op de proef te stellen. Ze keken niet alleen naar de marketingbrochures van de tools; ze verzamelden een enorme collectie van 7of real-world bugs die zijn gevonden in echte projecten en keken hoeveel van deze tools ze konden vangen. Ze spraken ook met 48 experts die deze systemen bouwen en auditeren om te horen wat zij er echt van vinden. Het verhaal dat ze vertellen is een mix van hoop en een serieuze reality check: de tools zijn nuttig, maar ze zijn verre van perfect, en de industrie vertrouwt nog steeds zwaar op menselijke hersens om het zware werk te doen.
Het Landschap: Een Gereedschapskist Vol Hamers
De onderzoekers namen eerst een kijkje in het huidige "beveiligingslandschap". Stel je een werkplaats voor waar iedereen probeert een specifiek type slot te repareren. Ze ontdekten dat bijna alle beveiligingstools zijn ontworpen om te werken op slechts één soort lock-taal, genaamd Circom. Het is alsof je een werkplaats hebt vol hamers, terwijl de wereld begint over te stappen op schroeven, bouten en lijm. Hoewel Circom populair is, worden nieuwere talen en systemen (genaamd zkVM's) nauwelijks ondersteund.
De meeste van deze tools zoeken naar een specifiek type fout, namelijk "ondergeconstraineerdheid" (underconstrainedness). Om een analogie te gebruiken: stel je voor dat je een brug bouwt. Een ondergeconstraineerde brug is een brug waarbij in de blauwdruk staat: "De brug moet een auto kunnen dragen", maar ze vergeten te zeggen: "De brug mag alleen een auto dragen." Een slimme dief zou er een tank overheen kunnen rijden, en de brug zou nog steeds zeggen: "Ja, dit is een geldige auto!" De tools zijn goed in het opsporen van deze ontbrekende regels, maar ze worstelen met complexere logische fouten of fouten in de manier waarop de brug verbonden is met de rest van de weg.
De Proefrit: Hoe Goed Zijn Ze Eigenlijk?
Vervolgens onderwierp het team zes van deze tools aan een rigoureuze proefrit. Ze voerden ze 70 echte bugs die in de praktijk waren gevonden. De resultaten waren een beetje een achtbaanrit.
Wanneer de tools naar de bugs in isolatie keken — zoals het uit een machine halen van een enkel defect tandwiel om het apart te testen — vingen ze ongeveer 45,7% van de problemen. Dat klinkt veelbelovend! Echter, toen de onderzoekers de tools testten op de volledige, rommelige, echte codebases (de hele machine), stortte de effectiviteit in tot slechts 19,6%.
Waarom die daling? Het paper suggereert dat echte code rommelig is. De tools raken vaak in de war door complexe afhankelijkheden, crashen of lopen vast omdat de wiskunde te moeilijk is om snel op te lossen. Het is als een spellingscontrole die geweldig werkt op een enkele zin, maar bevriest wanneer je een hele roman plakt. De auteurs vonden dat hoewel de tools beter worden, ze nog niet klaar zijn om "druk-op-de-knop"-oplossingen te zijn die automatisch een massaal project kunnen beveiligen zonder menselijke hulp.
De Magische Spiegel: Formele Verificatie
Het paper keek ook naar een meer geavanceerde techniek genaamd Formele Verificatie. Als de beveiligingstools als spellingscontroleurs zijn, dan is formele verificatie als proberen wiskundig te bewijzen dat de spreuk niet kan falen, wat er ook gebeurt. Dit is de gouden standaard van veiligheid.
De onderzoekers ontdekten dat hoewel er vooruitgang wordt geboekt, dit vooral plaatsvindt op geïsoleerde eilanden. Experts hebben er succesvol in geslaagd om aan te tonen dat bepaalde delen van het systeem (de "constraints" of de regels van de brug) solide zijn. Maar het hele systeem? Niet zozeer. De "witness generator" (het deel dat daadwerkelijk het bewijs opbouwt) en het "proof system" (de magie die het geheim verbergt) blijven vaak ongeverifieerd. Het is alsoam de brug sterk te verklaren, maar te vergeten te controleren of het fundament wel stevig is of of de bouwploeg wel de plannen heeft gevold. Het paper merkt op dat deze bewijzen vaak steunen op "vertrouwde aannames" — in feite moeten we erop vertrouwen dat de tools die gebruikt zijn om het bewijs te schrijven, geen fouten hebben gemaakt.
Het Menselijke Element: Wat de Experts Zeggen
Ten slotte interviewde het team 48 professionals — mensen die deze systemen daadwerkelijk bouwen en auditeren. De resultaten waren fascinerend. Zelfs met de opkomst van AI en Large Language Models (LLM's), is het werk nog steeds mensgericht. Ongeveer 85% van de ontwikkelaars en 83% van de auditors gebruiken LLM's om hen te helpen, maar ze gebruiken ze als assistenten, niet als vervangingen.
De experts vertelden de onderzoekers dat het grootste probleem niet alleen het vinden van bugs is; het is dat de tools moeilijk te gebruiken zijn. Ze vereisen vaak te veel handmatige installatie, werken niet met de nieuwere talen en produceren rapporten die verwarrend zijn. De beoefenaars willen tools die makkelijker te integreren zijn, werken over verschillende talen heen en duidelijke, betrouwbare antwoorden geven. Ze maken zich met name zorgen over "semantische fouten" — fouten waarbij de code precies doet wat hem gevraagd is, maar niet wat de programmeur bedoelde. Huidige tools zijn slecht in het opsporen hiervan.
De Kern van het Verhaal
Dit paper schetst een duidelijk beeld: Zero-Knowledge Proofs zijn krachtig, maar het beveiligen ervan is nog steeds een werk in uitvoering. De geautomatiseerde tools die we vandaag de dag hebben zijn nuttig voor het vangen van eenvoudige fouten in specifieke talen, maar ze schieten tekort wanneer ze geconfronteerd worden met de complexiteit van echte projecten. De industrie is momenteel een mix van geautomatiseerde scanning en zware menselijke controle, met een groeiende afhankelijkheid van AI als helper in plaats van held.
De auteurs concluderen dat we betere tools nodig hebben die het hele systeem kunnen afhandelen, niet alleen de onderdelen. We hebben tools nodig die de "betekenis" van de code begrijpen, niet alleen de syntaxis, en we moeten formele verificatie gemakkelijker bruikbaar maken in de dagelijkse ontwikkeling. Tot die tijd rust de veiligheid van onze digitale geheimen op een team van menselijke tovenaars die de spreuken dubbelchecken, met een paar behulpzame robots die stand-by staan om de overduidelijke typefouten te vangen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.