前言
Bulletproofs，又一个有意思的零知识证明算法，相信读者已经很熟悉它了。和zk-snark相比，它不需要可信设置；和zk-stark算法相比，它具有较小的proofsize。根据论文，它有两个方面的应用：1.用于rangeproof；2.用于一般算术电路的零知识证明。下面，让我们先看一下Bulletproofs是如何高效的实现第一点。
Rangeproof
1.?预备知识
aL：表示向量{a1,a2……an}
2n：表示向量{20,21…2n-1}
<a,b>：表示向量内积∑ai*bi，结果是一个值
aob：向量对应位相乘，{a1*b1……an*bn}，结果是一个向量
2.?证明
Alice想要证明
v?
=>则，需要证明一个relation得成立，如下所示：
{：V=grhv^v?}
public-x??????????witness-wrelation-R
即，对于公开信息x，Alice有隐私信息w，使得关系R成立。
令aL为金额v的在范围内的二进制形式，则aL={a1,a2……an}?{0,1}n，且满足<aL,2n>=v。因此，证明者需要证明以下几个等式相等：
人大国际关系学院教授：区块链技术为主权数字货币创建提供了高效的公共账本系统:4月1日，中国人民大学国际关系学院教授、博导，国际经济学研究中心主任保建云发表《主权数字货币、金融科技创新与国际货币体系改革-兼论数字RMB发行、流通及国际化》文章，文章表示，区块链技术为主权数字货币创建提供了高效的公共账本系统和信用管理数据库系统。区块链（Blockchain）技术的发展，为主权数字货币发行和流通提供了记账信用及账务管理的技术基础，事实上，区块链是一个分布式的能够众人共享的账本系统及数据库系统，区块链技术则涉及到现代数学、互联网技术、计算机技术、密码学及数字防伪等众多应用技术及理论学科领域，借助于区块链技术可以创建主权数字货币的全球性公共账本系统及价值流转的数据库系统。（澎湃新闻）[2020/4/1]
V=grhv????(1)
<aL,2n>=v???(2)
aLoaR=0n??(3)
aR=aL-1n???(4)
等式(1)确保了承诺V和金额v的绑定关系，等式(2)确保了v的范围，等式(3)(4)确保了a
L元素只属于{0,1}。等式(2)/(3)/(4)总共包含了2n+1个约束，其中公式(2)1个，公式(3)(4)各n个。接下来，为了效率，我们需要把2n+1个约束转换成1个约束。
3.?2n+1个约束转换成1个约束
CoinGeek创始人：Kleiman案不会影响技术 无论输赢对BSV来说都是好事:今日有推特网友称，毫无疑问，CSW（Craig Wright）就是中本聪，但很多事情对郁金香信托没有多大意义。Kleiman一案肯定对他不利，如果你的钱都在BSV里，这是在。对此CoinGeek创始人Calvin Ayre回复道，这是错误的，Kleiman一案不会影响这项技术。这个案子是关于中本聪代币的，即使输掉官司也会证明CSW对每个人来说就是中本聪，这对BSV来说是好事。[2020/3/12]
=>预备：从Zp中任意选择一个数y，则b=0n是等式<b,yn>=0成立的充分条件；因为当b!=0n，等式成立的概率仅有n/p，p是有限域，远大于n。因此，如果有<b,yn>=0，那么验证者愿意相信b!=0n。
利用这个理论，我们把等式(2)/(3)/(4)做以下转换：
1.验证者随机选取一个数y发送给证明者；
2.证明者要证明：
<aL,2n>=v(5)
<aL,aRoyn>=0???????(6)
<aL-1n-aR,yn>=0???(7)
同理，等式(5)确保了v的范围，等式(6)(7)确保了a
L元素只属于{0,1}。此时2n+1个约束转换成3个约束，接下来，还需要做进一步的处理：
声音 | Rob Jesudason ：区块链技术对重组金融服务意义深远:据 IMEOS 报道，Block.one 在推特分享了一篇名为《Block.one 渴望启用（银行）杀手级应用》的关于总裁 Rob Jesudason 的采访报道。Rob Jesudason 在采访中表示，公司将在明年初公布有关下一次迭代，产品发布和关于区块链治理的棘手问题，并将安全应用作为重点。Jesudason 曾担任澳大利亚联邦银行首席财务官。他说：“技术会成为系统性的突破，即使需要很多年。区块链技术对重组金融服务意义深远。”[2018/11/9]
1.验证者随机选取一个数z发送给证明者：
2.证明者利用z对公式(5)(6)(7)进行线性组合，得到如下公式：
z2*<aL,2n>+z*<aL-1n-aR,yn>+<aL,aRoyn>=z2*v???(8)
至此，我们已经把2n+1个约束转换成1个约束。下面我们对公式(8)做进一步的优化，把三个点积优化成1个点积
4.?三个点积优化成1个点积
=>z2*<aL,2n>+z*?<aL-1n-aR,yn>+<aL,aRoyn>=z2*v
=><aL,z2*2n>+<aL,z*yn>-<z*1n,yn>-<z*aR,yn>+<aL,aRoyn>=z2*v
纳斯达克CEO：区块链技术超越了银行业:纳斯达克首席执行官Adena Friedman在CBinsights举办的未来金融科技峰会（FutureFintech）上表示，（加密货币及区块链）最初创建的概念被用于货币转移，在被投机市场接收后创造了一种现象，但这项技术真的超越了银行业。 Friedman认为“区块链是一种能够提高效率的技术”是一个很好的观点，其本身不是最终结果，而是一个推动因素。自金融危机以来，清算已经成为一个大麻烦。她暗指可以通过区块链技术更有效率完成清算。[2018/6/20]
=><aL,aRoyn+z*yn+z2*2n>-<z*1n,yn>+<z*1n,ynoaR>=z2*v
=><aL,aRoyn+z*1noyn+z2*2n>-<z*1n,yn+ynoaR>=z2*v
=><aL,(aR+z*1n)oyn+z2*2n>-?<z*1n,yn+ynoaR>=z2*v
=><aL,(aR+z*1n)oyn+z2*2n>-?<z*1n,(aR+z*1n)oyn+z2*2n-z*1n*yn+yn-z2*2n>?=?z2*v
=>?<aL-z*1n,(aR+z*1n)oyn+z2*2n>-<z*1n,-z*1n*yn+yn-z2*2n>=?z2*v
Gartner调查发现：区块链技术全球采用率仅为1%:Gartner在其2018年对首席信息官（CIO）的调查中表示，尽管电信、保险和金融服务的高管们在计划采用去中心化的技术时表现出了强烈的热情，但全球信息公司信息管理人员对区块链技术的采用和兴趣仍然很低。在Gartner调查的CIO中，只有1%的人承认“在他们的组织中采用了任何类型的区块链”，而只有8%的人对区块链技术有短期计划或正在积极尝试区块链技术。[2018/5/6]
=>?<aL-z*1n,(aR+z*1n)oyn+z2*2n>=z2*v+<z*1n,-z*1n*yn+yn-z2*2n>
=>?<aL-z*1n,(aR+z*1n)oyn+z2*2n>=z2*v+<z*1n,(-z*1n+1n)*yn>-<z*1n,?z2*2n>
=>?<aL-z*1n,(aR+z*1n)oyn+z2*2n>=z2*v+(z–z2)*<1n,yn>-z3*<1n,2n>???(9)
=>?令
L=?aL-z*1n
R=?(aR+z*1n)oyn+z2*2n
δ=?(z–z2)*<1n,yn>-z3*<1n,2n>
5.验证：
1.证明者把L/R/V发送给验证者；
2.验证者事先算好δ
3.验证者根据L算出来aL，根据<aL,2n>=v算出v
4.验证者根据L,R,v,δ验证等式<L,R>=z2*v+δ
因为y，z都是验证者提供，因此如果验证者如果能验证公式(9)成立，则相信等式(5)(6)(7)成立，则相信等式(2)(3)(4)成立，则相信v满足关系v?。
但是，可以看到上述过程，泄露了v的信息，因此需要一个零知识证明协议。
6.?一个零知识证明协议
由于L,R包含了v的相关信息，因此，我们需要添加两个盲因子s
L
、s
R来隐藏a
L，a
R。如公式(10)(11)所示：
l(X)=(aL-z*1n)+sL*X)??(10)
r(X)=(aR+z*1n+sR*X)oyn+z2*2n???(11)
此时，定义公式(12)
t(X)=<l(X),r(X)>=t0+t1*X+t2*X2???(12)
可以看出系数t
0是l(x)和r(x)常数项的乘积，即满足：
t0=<L,R>=z2*v+δ
因此，问题由证明：
<L,R>=z2*v+δ
转化成了，在任意一点x，验证者验证多项式值l(x),r(x),t(x)满足关系：
<l(x),r(x)>=t(x)
多项式值l(x),r(x),t(x)由证明者提供，为了保证l(x)，r(x)well-formed，即：
l(x)=(aL-z*1n)+sL*x)
r(x)=(aR+z*1n+sR*x)oyn+z2*2n
需要校验：
P=A*Sx*g(-z)*(h`)z*yn+z^2*2^n
=hαgaLhaR*(hρgsLhsR)x*g(-z)*(h`)z*y^n+z^2*2^n
=hαgaLhaR*?hρxgsL*xhsR*x*g(-z)*(h`)z*y^n+z^2*2^n
=hα+ρx*gaL+sL*x–z*1^n*haR+sR*x*(h`)z*y^n+z^2*2^n
=hα+ρx*gaL+sL*x–z*1^n*(h`)y^no(aR+sR*x)*(h`)z*y^n+z^2*2^n
=hα+ρx*gaL+sL*x–z*1^n*(h`)y^no(aR+sR*x)+z*y^n+z^2*2^n
=hα+ρx*gaL+sL*x–z*1^n*(h`)y^no(aR+sR*x+z*1^n)+z^2*2^n
=?hμgl(h`)r
=>当且仅当l/rwell-formed，等式成立
为了保证t(x)well-fromed，即：
t=t0+t1x+t2x2
需要校验：
=>gthτx=?Vz^2*gδ*T1x*T2x^2
=>gthτx=?(hrgv)z^2*gδ*(gt1)x*(hτ1)x*(gt2)x^2*(hτ2)x^2
=>gthτx=?hz^2*r+τ1*x+τ2*x^2*gz^2*v+δ+t1*x+t2*x^2
=>gthτx=?hz^2*r+τ1*x+τ2*x^2*gt0+t1*x+t2*x^2
=>t=?t0+t1*x+t2*x2&&τx=?z2*r+τ1*x+τ2*x2
=>当且仅当t和τxwelle-formed，等式成立
具体的协议流程图如下图所示：
总结
从上述流程可以看出，一次rangeproof，证明者需要发送总共{
l/r/t/
τ
x
/
μ
/T1/T2/A/S}个元素给验证者，总共2n+3个Z
p元素，4个G元素。下一篇文章将细讲，Bulletproofs如何将交互复杂度降低到对数级O(log(n))
附录
1.Bulletproofs论文：
chrome-extension://cdonnmffkdaoajfknoeeecmchibpmkmg/assets/pdf/web/viewer.html?file=https%3A%2F%2Feprint.iacr.org%2F2017%2F1066.pdf
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。