加密流量与网络策略执行的矛盾由来已久，USENIX Security 2022 论文提出零知识中间件（ZKMB），让用户在 TLS 1.3 等协议不变、无需可信硬件的前提下，通过 zk-SNARK 向中间件证明自检流量符合策略，实现不解密也能执行 DNS 过滤等任意策略。
核心机制：客户端自检与零知识证明
早期网络无加密，中间件直接检查明文执行内容过滤等策略。加密普及后，中间件失去可见性。ZKMB 反转流程：客户端在加密前按中间件相同逻辑自检流量，再用 zk-SNARK 生成证明，向中间件证实两点——自检逻辑与中间件一致、自检结果通过策略。中间件只需验证证明，无需解密即可决定放行或丢弃。该设计不改动 TLS 1.3，也不依赖可信执行环境，仅利用零知识证明的完整性与隐私性。
案例研究：DNS 过滤与性能现状
论文以 DNS 域名过滤为例：客户端在加密前对查询域名执行黑名单匹配，生成证明提交中间件。实验显示，证明生成与验证延迟在毫秒级，但原文未给出具体吞吐量或 CPU 占用数据。作者承认 ZKMB 尚不完全实用，主要瓶颈在于 zk-SNARK 电路规模随策略复杂度增长，且客户端计算负担较重。团队正在优
原文: APNIC Blog（2022-07-08）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog