Vega incorpora pruebas de conocimiento cero a la verificación de identidad en menos de 100 ms

Vega es un sistema de prueba de conocimiento cero que permite a los usuarios probar hechos de credenciales emitidas por el gobierno, como edad, personalidad o estado profesional, sin revelar la credencial en sí. La credencial nunca abandona el dispositivo, y la prueba se genera en menos de 100 milisegundos en un dispositivo cliente estándar sin configuración de confianza.

A medida que los agentes de IA comienzan a actuar en nombre de los humanos e interactúan con sistemas descentralizados, la necesidad de formas rápidas y que preserven la privacidad para probar credenciales solo crecerá. Los diseñadores de Vega se propusieron responder una pregunta fundamental: ¿podemos hacer práctico probar algo sobre una credencial sin revelar la credencial en sí?

Cómo funciona

Vega utiliza pruebas de conocimiento cero (ZKP) para permitir que un usuario demuestre una afirmación, como "Tengo más de 21 años", sin revelar nada más. La prueba funciona directamente sobre la credencial tal como fue emitida, por lo que el emisor no necesita cambiar nada. El sistema se basa en componentes de investigaciones previas: Spartan para pruebas R1CS eficientes sin configuración de confianza, Nova para esquemas de plegado, HyperNova para conocimiento cero a través de NovaBlindFold, y NeutronNova para plegado por lotes eficiente.

Vega combina estos componentes en un solo sistema de pruebas con un diseño simple. El circuito está construido a partir de un pequeño número de componentes estándar, sin construcciones exóticas de campos múltiples ni configuración de confianza. Sobre esta base, Vega añade la capacidad de reutilizar trabajo a través de múltiples pruebas de la misma credencial y una nueva forma de lograr conocimiento cero con una sobrecarga mínima.

Puntos de referencia de rendimiento

Vega genera una prueba de conocimiento cero de edad a partir de una licencia de conducir móvil típica, de aproximadamente 2 kilobytes (KB), en 92 ms en un dispositivo cliente estándar. La prueba resultante es de 108 KB y se puede verificar en 23 ms. Para credenciales más pequeñas, la prueba se reduce a 62 ms, con pruebas de 83 KB y verificación de 17 ms. La clave del prover es de 464 KB, lo que cabe cómodamente en cualquier teléfono.

Prueba de plegar y reutilizar

La velocidad de Vega proviene de dos ideas: prueba de plegar y reutilizar y diseño de circuito centrado en búsquedas. En lugar de desenrollar todo el hash SHA-256, Vega define un pequeño circuito de "paso" que demuestra un solo paso de compresión, instanciado una vez por bloque. El esquema de plegado de NeutronNova los colapsa en una sola instancia. Spartan solo necesita demostrar un circuito del tamaño de un solo paso junto con un circuito "núcleo" separado que maneja el resto de las comprobaciones, incluida la verificación de firma y los predicados de edad.

Para evitar la filtración de información basada en la longitud debido a tamaños de credencial variables, todos los circuitos de paso comparten una tabla comprometida de resúmenes intermedios. El circuito núcleo selecciona el resumen apropiado utilizando un índice privado.

Conocimiento cero hecho barato

Vega logra conocimiento cero con un enfoque simple: se compromete a cada mensaje utilizando compromisos criptográficos ocultos, luego expresa las comprobaciones del verificador como un sistema de restricciones pequeño, solo unos pocos cientos de restricciones, y lo pliega con una instancia aleatoria a través del esquema de plegado de Nova. Esto oculta los datos subyacentes, por lo que la sobrecarga de conocimiento cero escala con el pequeño sistema de restricciones, no con todos los datos secretos.

Vinculación de dispositivo y enlace de sesión

Sin vinculación de dispositivo, alguien que obtenga una credencial filtrada podría generar pruebas válidas para cualquier sesión. Vega aborda esto requiriendo que el dispositivo del titular firme un nonce de sesión fresco con la clave privada del dispositivo, que está vinculada al elemento seguro del teléfono. El circuito extrae la clave pública del dispositivo de la credencial mediante búsqueda y verifica la firma del dispositivo sobre el hash del nonce de sesión.

Para presentaciones repetidas, Vega divide los datos secretos del prover en tres partes: datos compartidos (tablas SHA-256), datos precomprometidos (firma del emisor, ubicaciones de campos) y datos en línea (firma del dispositivo, fecha). Antes de cada prueba, los compromisos precomputados se actualizan con nueva aleatoriedad, lo cual es más barato que recalcularlos y asegura que dos pruebas sobre la misma credencial no puedan vincularse.

Evitando el analizador

Vega evita construir un analizador CBOR completo como circuito al tratar la credencial como una tabla de búsqueda direccionable por bytes. El circuito verifica que los bytes coincidan con la credencial autenticada, que el prefijo CBOR correcto aparezca al inicio del campo y que las direcciones sean contiguas. Esto reemplaza un analizador completo con un puñado de búsquedas.

Implicaciones para la identidad y la IA

Vega tiene implicaciones más allá de las licencias de conducir móviles. A medida que los agentes autónomos de IA comienzan a actuar en nombre de las personas, esos agentes necesitarán probar hechos sobre el humano al que representan. Una prueba de conocimiento cero generada en el dispositivo del humano, vinculada a la sesión del agente a través de la vinculación del dispositivo, permite que el agente presente señales de identidad sin tener secretos.

En sistemas descentralizados, Vega podría tender un puente entre la identidad fuera de la cadena y los sistemas en la cadena. Una ZKP sobre una credencial fuera de la cadena podría probar un hecho de una credencial emitida por el gobierno, y el verificador en la cadena recibe solo la prueba. Ningún intermediario ve la credencial, y la rerandomización asegura que las pruebas repetidas no sean vinculables.

Vega está implementado en Rust y será de código abierto pronto. El sistema de pruebas que impulsa a Vega ya está disponible como el proyecto de código abierto spartan2 en GitHub. Un artículo, trabajo conjunto con Darya Kaviani, se presentará en el próximo Simposio IEEE sobre Seguridad y Privacidad en San Francisco.