如何将交互式证明改造为非交互式?-ODAILY_PRO:Income Island Token

原文作者:康水跃,FoxTechCEO;孟铉济,FoxTech首席科学家

前言

密码学当中的零知识证明技术在web3世界有着广泛的应用,包括进行隐私计算、zkRollup等等。其中Layer2项目FOX所使用的FOAKS就是一个零知识证明算法。在上述的一系列应用当中,对于零知识证明算法而言,有两方面属性极为重要,那就是算法的效率以及交互性。

算法效率的重要性不言而喻,高效的算法可以明显的降低系统运行时间,从而降低客户端延迟,显著的提高用户体验和效率,这也是FOAKS致力于实现线性证明时间的一个重要原因。

另一方面,从密码学的角度来讲,零知识证明系统的设计往往依赖证明者和验证者的多轮交互。例如在许多介绍零知识证明的科普文章当中都会使用的“零知识洞穴”的故事当中,证明的实现就依赖于阿里巴巴和记者多轮的信息传递交互才能实现。但是事实上,在许多应用场景当中,依赖交互会使得系统不再可用,或者极高的增加延迟。就像在zkRollup系统当中,我们期望证明者能够在本地,不依赖于和验证者交互的情况下就计算出正确的证明值。

从这个角度说,如何将交互式的零知识证明协议改造为非交互式,就是一个很有意义的问题。在这篇文章当中,我们将介绍FOX使用经典的Fiat-Shamir启发式来生成Brakedown中的挑战从而实现非交互式协议的过程。

现场丨Cdot创始人刘毅:公链发展面临的核心问题是如何突破性能瓶颈:金色财经现场报道,10月11日,由金色财经、Candaq和哼哈互动联合发起的金色沙龙第55期“Polkadot-波卡万物生长与跨界破圈对话”在北京正式举行。在本次沙龙上,Cdot创始人刘毅指出,公链发展面临的核心问题,是如何突破性能瓶颈,同时保持可组合性,不过度牺牲去中心化。目前解决方案有跨链、Layer2、超级Layer1和分片。Polkadot也是分片,但它是处在多链和分片之间的。分片最难的是跨片智能合约调度问题,Polkadot也面临这个问题。此外,他表示,Polkadot的成功非常依赖于共享安全,共享安全成不成立确定了Polkadot整个设计成不成立。[2020/10/11]

零知识证明中的Challenge

零知识证明算法随着应用的铺开而变得异常火爆,近些年也诞生了包括FOAKS、Orion、zk-stark等在内的各种算法。这些算法,以及密码学界早期的sigma协议等的核心证明逻辑都是证明者先将某个值发送给验证者,验证者通过本地随机数产生一个挑战,将这个随机产生的挑战值发给证明者,证明者需要真的有知识才能以大概率做出通过验证者的响应。例如在零知识洞穴当中,记者抛一个硬币,告诉阿里巴巴从左侧出来还是从右侧出来,这里的“左和右”就是对阿里巴巴的挑战,他如果真的知道咒语,就一定可以从要求的方向走出来,否则就有一半的概率失败。

直播|Andrey Belyakov :如何制定DeFi 规则:金色财经 · 直播主办的金点Trend《以太坊之外的DeFi,香吗? 》15:00准时开播!本场嘉宾Opium Protocol 的创始人分享Andrey Belyakov “如何制定DeFi 规则”,请扫码移步收听![2020/9/1]

这里我们注意到,Challenge的生成是一个很关键的步骤,它有两个要求,随机和不可被证明者预测。第一点,随机性保证了它的概率属性。第二点,如果证明者可以预测挑战值那就意味着协议的安全性被破坏了,证明者没有知识也可以通过验证,可以继续类比,阿里巴巴如果能预测记者要求他从哪边出来,他即使没有咒语也可以提前进入那一边,结果表现出来一样可以通过协议。

所以我们需要一种办法,能够让证明者自己本地生成这样一个不可预测的随机数,同时还能够被验证者验证,这样就可以实现非交互式的协议。

哈希函数

哈希函数的名字对我们来说或许并不陌生,无论是在比特币的共识协议POW当中担任挖矿的数学难题,还是压缩数据量,构造消息验证码等等,都有哈希函数的身影。而在上述不同的协议当中,其实是运用了哈希函数的各种不同性质。

具体来讲,安全的哈希函数的性质包括以下几点:

掌柜调查署 | 当前环境下交易所如何“转正”?:4月15日16:00,金色财经「掌柜调查署」邀请到ChainUP大客户项目负责人针对交易所如何拥抱合规的问题进行解答,带领大家全面了解当前环境下,交易所如何“转正”!更多内容点击原文链接查看。[2020/4/15]

压缩性:确定的哈希函数可以将任意长度的消息压缩成为固定长度。

有效性:给定输入x,计算输出h是容易的。

抗碰撞性:给定一个输入x1,希望找到另一个输入x2,x1x2,h=h,是困难的。

注意,如果哈希函数满足抗碰撞性,那么必然满足单向性,也就是说给定一个输出y,要找出x满足h=y是困难的。在密码学当中,还不能构造出理论上绝对满足单向性的函数,但是哈希函数在实际应用当中可以基本视作单向函数。

这样一来,可以发现上述的几种应用分别对应于哈希函数的几点不同的性质,同时我们说,哈希函数还有一个很重要的作用是提供随机性,虽然密码学理论当中要求的完美的随机数生成器目前也无法构造,但是哈希函数在实际当中同样可以充当这个角色,这就为我们后文介绍的Fiat-Shamir启发式的技巧提供了基础。

Fiat-Shamir启发式

事实上,Fiat-Shamir启发式就是利用哈希函数来对前面生成的脚本进行哈希运算,从而得到一个值,用这个值来充当挑战值。

声音 | 日本金融厅长官:针对区块链等分布式金融系统,如何确保公众利益已成为新课题:据日经新闻消息,今日在日本福冈举行的G20峰会上,日本金融厅长官远藤俊英发表演讲指出“监管规则可能抑制创新,监管规则也会跟不上技术变革”。此外,以区块链技术为首的分布式金融系统在没有金融机构充当中介的情况下,可能实现顾客和市场参与者之间的直接交易,因此金融机构的地位存在下降的可能性,在这种情况下,如何确保公众利益已成为新的课题。[2019/6/8]

因为将哈希函数H视作一个随机函数,挑战是均匀随机的被选择,独立于证明者的公开信息和承诺的。安全分析认为Alice不能预测H的输出,只能将其当作一个oracle。在这种情况下,Alice在不遵循协议的情况下做出正确响应的概率(特别是当她不知道必要的秘密时)与H的值域的大小成反比。

图1:利用Fiat-ShamirHeuristic实现非交互式证明

非交互式FOAKS

在本节,我们具体展示Fiat-Shamir启发式在FOAKS协议当中的应用,主要是用来产生Brakedown部分的挑战,从而实现非交互式的FOAKS。

现场 | 华盛顿州ICT行业部门负责人:监管者关心区块链如何与经济结合:金色财经现场报道,NEO DevCon 2019开发者大会今日在西雅图举行,华盛顿州信息和通信技术(ICT)行业部门负责人Joseph Williams发表了题为“区块链的监管视角”的主题演讲。Williams表示,监管者关心的是区块链如何与经济结合起来,如果出现问题怎么办,如何建立生态系统等问题。政府机构能够为区块链提供区块链监管框架以提振市场信心,为市场和公众释放对于科技信心的信号。此外,法律框架和监管者可以移除现有法律体系关于区块链的障碍,也可以制定支持让区块链成为可能的法律。此外,Williams还提到了美国迫在眉睫的政策问题,包括区块链交易的法律; 服务等级和保障; 责任,特别是对于发生故障的服务; 数据隐私; 区块链存储的数据作为证据的法律框架; 强制/性能。[2019/2/17]

首先我们看到,在Brakedown生成证明的步骤当中,需要挑战的步骤是“近似性检验”以及MerkleTree的证明部分。对于第一点原本的过程是证明者在这里需要验证者产生的一个随机向量,计算过程如下图所示:

图2:非交互证明FOAKS中的BrakedownChecks

现在我们使用哈希函数,让证明者自己产生这个随机向量。

令γ0=H(C1,R,r0,r1),对应的,在验证者的验证计算当中,也需要增加这个计算出γ0的步骤。根据这样的构造,可以发现,在生成承诺之前,证明者并不能提前预测挑战值,于是不能提前根据挑战值来对应的“作弊”,也就是对应的生成假的承诺值,同时,根据哈希函数输出的随机性,这个挑战值也满足随机性。

对于第二点,令?=H(C1,R,r0,r1,c1,y1,cγ0,yγ0)。

我们使用伪代码给出改造后非交互式的Brakedown多项式承诺当中的证明和验证函数,这也是FOAKS系统当中使用的函数。

functionPC.Commit(?):

Parsewasak×kmatrix.TheproverlocallycomputesthetensorcodeencodingC1,C2,C1isak×nmatrix,C2isan×nmatrix.

fori∈do

ComputetheMerkletreerootRoott=Merkle.Commit(C2)

ComputeaMerkletreerootR=Merkle.Commit(),andoutputRasthecommitment.

functionPC.Prover(?,X,R)

Theprovergeneratesarandomvectorγ0∈Fkbycomputing:γ0=H(C1,R,r0,r1)

Proximity:

Consistency:

Proversendsc1,y1,cγ0,yγ0totheverifier.

Provercomputesavector?aschallenge,inwhich?=H(C1,R,r0,r1,c1,y1,cγ0,yγ0)

foridx∈?do

ProversendsC1andtheMerkletreeproofofRootidxforC2underRtoverifier

functionPC.VERIFY_EVAL(ΠX,X,y=?(X),R)

Proximity:?idx∈?,Cγ0==<γ0,C1>andEc(yγ0)==Cγ0

Consistency:?idx∈?,C1==<γ0,C1>andEc(y1)==C1

y==<r1,y1>

?idx∈?,Ec(C1)isconsistentwithROOTidx,andROOTidx’sMerkletreeproofisvalid.

Outputacceptifallconditionsaboveholds.Otherwiseoutputreject.

结语

许多的零知识证明算法在设计之初都依赖证明者和验证者双方的交互,但是这种交互式证明协议不适合用在追求高效,网络通讯开销大的应用场景下,比如链上数据隐私保护和zkRollup等等。通过Fiat-Shamir启发式,可以在不破坏协议安全性的条件下让证明者本地生成随机数“挑战”,并且可以被证明者验证。根据这种方法,FOAKS同样实现了非交互式的证明,并应用在系统当中。

参考文献

1.Fiat,Amos;Shamir,Adi(1987)."HowToProveYourself:PracticalSolutionstoIdentificationandSignatureProblems".AdvancesinCryptology—CRYPTO'86.LectureNotesinComputerScience.SpringerBerlinHeidelberg.263:186–194.doi:10.1007/3-540-47721-7_12.ISBN978-3-540-18047-0.

2.https://www.cnblogs.com/zhuowangy2k/p/12246575.html

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

水星链

[0:46ms0-0:926ms