Conferir sem abrir o dado.

Os quatro jeitos não competem; são degraus. O de baixo é quase de graça e responde a uma pergunta estreita: "isto mudou?". O de cima responde a quase qualquer pergunta que tenha resposta sim ou não, e custa trabalho de verdade para montar.

A regra prática é subir só o necessário. Se um recibo resolve, não precisa de prova. Se a pergunta é sobre um total, a conta cifrada resolve sem que ninguém veja as parcelas. A prova de conhecimento zero entra quando a pergunta é uma frase específica ("tem mais de 18", "seguiu a regra") e o dado que a responde não pode sair de onde está.

Em todos os degraus vale o mesmo cuidado desta seção: cada técnica tem uma zona cega, e o laudo diz qual é antes de dizer o resultado.

No momento da entrega, calcula-se um resumo criptográfico do arquivo: 32 bytes que mudam por completo se uma única vírgula mudar. Esse resumo recebe um carimbo de tempo assinado. O arquivo pode ficar com o fornecedor; o recibo vai para quem vai conferir.

Meses depois, numa disputa, qualquer terceiro recalcula o resumo do arquivo apresentado e compara. Bateu: é o mesmo arquivo daquele dia. Não bateu: alguém mexeu. Não há opinião envolvida.

O limite é claro e precisa ser dito: o recibo prova que não mudou, não que estava certo. E, para durar décadas, a assinatura do carimbo precisa resistir ao computador quântico, assunto da seção pós-quântico.

Todo sistema que manda dados emite, junto, coisas que ninguém escolheu: o tamanho de cada pacote depois de comprimido, a hora em que chegou. Um sensor vivo treme um pouco, mesmo parado, e esse tremor não comprime abaixo de um piso. Um sensor travado repete o mesmo número e cabe em quase nada.

Um auditor que recebe só tamanhos e horários pode refutar "o sensor funcionou o mês inteiro" sem ler um único valor medido. Essa é a propriedade que nos interessa: o veredito sai sem o dado sair.

Medimos os limites, e eles são sérios. Como detector, o tamanho do pacote não foi melhor que uma regra simples sobre o próprio sinal. Ruído inventado passa: a ausência condena, a presença não absolve. E um sensor de medida grossa, parado, não vaza nada: ali o veredito honesto é indecidível. Detalhes em julgue o que vaza.

Quando a pergunta é sobre um total (a soma das vendas, a contagem de votos, a média de um grupo), dá para fazer a conta inteira com os números trancados. Cada parcela chega cifrada, quem soma trabalha sobre o que não consegue ler, e só o total é aberto, por quem tem a chave.

Na urna cifrada da nossa seção de FHE, o servidor apurou sem precisar ver nenhum voto. O preço está no espaço: cada voto trancado ocupa cerca de 1,5 MB, contra alguns bytes do voto aberto.

E há uma armadilha: esconder não é garantir. A conta cifrada não impede, sozinha, que alguém deposite uma parcela falsa, como um voto "valendo 100". Por isso ela quase sempre vem acompanhada de uma prova, o degrau seguinte.

Uma prova de conhecimento zero convence de que uma frase é verdadeira sem entregar o dado que a torna verdadeira. "Esta pessoa tem mais de 18" sem a data de nascimento. "Este cálculo seguiu a regra combinada" sem os dados de entrada. O auditor recebe a frase e uma prova curta que confere sozinho.

Medimos na nossa bancada: a prova de idade leva 26 ms para ser gerada, 1,4 ms para ser conferida e ocupa 164 bytes. Provas maiores custam mais: estar numa lista de um milhão leva 220 ms; o texto por trás de um resumo SHA-256, 1,6 segundo.

O limite volta ao começo desta seção: a prova garante que um programa foi seguido, não que o programa está certo. O programa provado é uma régua, e precisa da sua própria auditoria. A seção 0k-proof mostra como funciona por dentro.