Practical Zero-Knowledge Protocols Based on the Discrete Logarithm Assumption 学习笔记 3

1. 引言

Stephanie Bayer 2013年博士论文 《Practical Zero-Knowledge Protocols Based on the Discrete Logarithm Assumption》。

---

要点：

• 1）各种non-membership argument的性能对比为：
  
• 2）各种基于ElGamal encryption构建的shuffle argument性能对比为：
  
  
  

---

前序博客为：

• Practical Zero-Knowledge Protocols Based on the Discrete Logarithm Assumption 学习笔记 1，在该博客中主要关注论文前5章的内容。
• Practical Zero-Knowledge Protocols Based on the Discrete Logarithm Assumption 学习笔记 2，在该博客中主要关注论文第6章内容——polynomial evaluation argument （单变量、多变量以及batch）。

本博客主要关注论文第7章及之后内容——即主要关注相关应用，如membership/non-membership argument以及shuffle等。

2. non-membership/membership argument

non-membership argument to a public list 针对的是：

• public info：list L = { λ 1 , ⋯   , λ D } \mathcal{L}=\{\lambda_1,\cdots,\lambda_D\} L={ λ1​,⋯,λD​} 和 commitment $c_u$ 。
• private info：$u$。
• relation： $u$ is not contained in $\mathcal{L}$。

membership argument 针对的是：

• public info：list L = { λ 1 , ⋯   , λ D } \mathcal{L}=\{\lambda_1,\cdots,\lambda_D\} L={ λ1​,⋯,λD​} 和 commitment $c_u$ 。
• private info：$u$。
• relation： $u$ is contained in $\mathcal{L}$。

non-membership argument 的应用有：

• 可在用户不暴露IP等隐私信息的情况下，实现黑名单控制。
• 也可用于证明 a member of a group signature scheme is not revoked。（同时，depending on the setup of the group signature scheme, 用户可使用membership proof来证明其具有相应的签名权限。）

membership argument 的应用有：

• 实现白名单控制。
• 用于e-voting或e-auction中，证明其选票是有效的或证明其出价在指定的范围内。

本文基于polynomial evaluation argument 构建的 membership 和 non-membership argument 具有 logarithmic communication complexity。

核心思路为：
针对public list L = { λ 1 , ⋯   , λ D } \mathcal{L}=\{\lambda_1,\cdots,\lambda_D\} L={ λ1​,⋯,λD​} 构建多项式：
$P(X)={\prod }_{i=1}^D(X-{\lambda }_i)$
然后针对secret info $u$，计算$P(u=v)$ 并 commit to $v$ 获得$c_v$。

对于non-membership $u\notin \mathcal{L}$，有$P(u)\ne 0$，即需证明$c_v$为非0值的commitment；对于membership $u\in \mathcal{L}$，有$P(u)=0$，即需证明$c_v$为0的commitment。

2.1 基于polynomial evaluation argument实现non-membership argument to a public list

对于non-membership $u\notin \mathcal{L}$，有$P(u)\ne 0$，即需证明$c_v$为非0值的commitment。$v\ne 0$，即意味这存在$v^{-1}$，可直接调用博客 Practical Zero-Knowledge Protocols Based on the Discrete Logarithm Assumption 学习笔记 1 “5.2 Invertible argument” 即可。

完整的non-membership argument to a public list 证明为：

2.2 non-membership argument to a secret list

non-membership argument to a public list 针对的是：

• public info：commitments { c λ 1 , ⋯   , c λ D } \{c_{\lambda_1},\cdots,c_{\lambda_D}\} { cλ1​​,⋯,cλD​​} 和 commitment $c_u$ 。
• private info：$u$ 和 list L = { λ 1 , ⋯   , λ D } \mathcal{L}=\{\lambda_1,\cdots,\lambda_D\} L={ λ1​,⋯,λD​}
• relation： $u$ is not contained in $\mathcal{L}$。

构建多项式：
$P(X)={\prod }_{i=1}^D(X-{\lambda }_i)={\sum }_{i=0}^D{a}_i{X}^i$

由于此处对应的是secret list（即Verifier不知道多项式的系数$a_i$），若使用polynomial evaluation argument，Verifier无法计算 $\bar{\delta }={\sum }_{i_0,\cdots ,i_d=0}^1{a}_{i_0\cdots i_d}{\prod }_{j=0}^d{\bar{f}}_j^{i_j}{x}^{1-i_j}$ 。

by padding with zero-coefficients，可without loss of generality的假设 $D=2^{d+1}-1$，将$i$以二进制表示为$i=i_0\cdots i_d$，其中 i j ∈ { 0 , 1 } i_j\in\{0,1\} ij​∈{ 0,1}，可将$X^i$表示为：
$X^i=X^{{\sum }_{j=0}^d{i}_j{2}^j}={\prod }_{j=0}^d(X^{2^j}{)}^{i_j}$

替换进多项式中有：【因此此处可用博客 Practical Zero-Knowledge Protocols Based on the Discrete Logarithm Assumption 学习笔记 1 “5.3.4 single value product argument for secret $b$” 来进行证明】
$P(X)={\sum }_{i=0}^D{a}_i{X}^i={\sum }_{i_0,\cdots ,i_d=0}^1{a}_{i_0\cdots i_d}{\prod }_{j=0}^d(X^{2^j}{)}^{i_j}$

基本的证明思路为：【$d=\lfloor \log D\rfloor$】

• Prover：
  1）需单独对多项式系数进行commit，生成commitments $c_{a_0},c_{a_1},\cdots ,c_{a_D}$。
  2）计算$v=P(u)$。
  3）计算commitment $c_v=Co{m}_{ck}(v;s)$，其中 $s\leftarrow {\mathbb{Z}}_q$。
  4）计算commitments $c_{u_1}=Co{m}_{ck}(u^{2^1};r_1),\cdots ,c_{u_d}=Co{m}_{ck}(u^{2^d};r_d)$，其中 $r_1,\cdots ,r_d\leftarrow {\mathbb{Z}}_q$。
  5）选择随机数 $f_0,s_0,\cdots ,f_d,s_d\leftarrow {\mathbb{Z}}_q$，计算commitments $c_{f_0}=Co{m}_{ck}(f_0;s_0),\cdots ,c_{f_d}=Co{m}_{ck}(f_d;s_d)$。
  6）计算 ${\delta }_0,\cdots ,{\delta }_d\in {\mathbb{Z}}_q$，使得：
  ${\sum }_{i_0,\cdots ,i_d=0}^1{a}_{i_0\cdots i_d}{\prod }_{j=0}^d(X{u}^{2^j}+f_j{)}^{i_j}{X}^{1-i_j}=X^{d+1}v+{\sum }_{j=0}^d{X}^j{\delta }_j$
  7）计算commitments $c_{{\delta }_0}=Co{m}_{ck}({\delta }_0;t_0),\cdots ,c_{{\delta }_d}=Co{m}_{ck}({\delta }_d;t_d)$，其中 $t_0,\cdots ,t_d\leftarrow {\mathbb{Z}}_q$。
  8）计算commitments $c_{f{u}_0}=Co{m}_{ck}(f_0{u}^{2^0};{\xi }_0),\cdots ,c_{f{u}_{d-1}}=Co{m}_{ck}(f_{d-1}{u}^{2^{d-1}};{\xi }_{d-1})$，其中 ${\xi }_0,\cdots ,{\xi }_{d-1}\leftarrow {\mathbb{Z}}_q$。
  Prover将$c_{a_0},c_{a_1},\cdots ,c_{a_D}$，$c_v$，$c_{f_0},\cdots ,c_{f_d}$，$c_{{\delta }_0},\cdots ,c_{{\delta }_d}$，$c_{f{u}_0},\cdots ,c_{f{u}_{d-1}}$ 发送给Verifier。

• Verifier：发送challenge $x\leftarrow {\mathbb{Z}}_q^{\ast }$。

• Prover：
  

• Verifier：
  
  整个non-membership argument to a secret list 算法的运行效率分析为：
  

2.3 membership argument

将2.1中的inverse argument替换为zero argument 即可。

Zero argument为标准的 and only cost a couple of group elements in communication [Sch91] （Schnorr 1991年论文《 Efficient signature generation by smart cards》），具体也可参见博客 基于Sigma protocol实现的零知识证明protocol集锦 “2.13 commitment to 0”。

2.4 multi non-membership/membership argument

考虑的场景为：
有many committed values $u_1,\cdots ,u_L$ 和 blacklists ${\mathcal{L}}_1,\cdots ,{\mathcal{L}}_L$，可构建多个不同的poynomials：
$v_1=P^{(1)}(u_1),\cdots ,v_L=P^{(L)}(u_L)$。

• 对于multi non-membership argument，有$v_1\ne 0,\cdots ,v_L\ne 0$，即可通过invertible argument和batch polynomial evaluation argument来实现。相应的communication complexity为$O(\sqrt{L}\log D)$ group and field elements。
• 对于multi membership argument，有$v_1=0,\cdots ,v_L=0$，可通过 multiple polynomial evaluation argument 和 Groth 2009年论文《Linear algebra with sub-linear zero-knowledge arguments》中的标准技术来实现。
• 对于白名单和黑名单混合的情况，仍然可以用polynomial evaluation argument来证明$v_1=P^{(1)}(u_1),\cdots ,v_L=P^{(L)}(u_L)$，同时利用invertible argument来证明黑名单中的$v_i\ne 0$，用zero argument来证明白名单中的$v_i=0$。相应的communication complexity也为$O(\sqrt{L}\log D)$。

2.5 Brands [BDD07]中的non-membership argument

Brands [BDD07] 2007年论文《A practical system for globally revoking the unlinkable pseudonyms of unknown users》中，构建了a non-membership argument for $u\in {\mathbb{Z}}_q$ and a list L = { λ 1 , ⋯   , λ D } \mathcal{L}=\{\lambda_1,\cdots,\lambda_D\} L={ λ1​,⋯,λD​}，具有的communication cost为$O(\sqrt{D})$。

核心思路为：

详细的证明思路为：

3. zero-knowledge shuffle argument

相应的研究成果已发表在Bayer和Groth 2012年论文《Efficient zero-knowledge argument for correctness of a shuffle》。
也可参看系列博客：

• 1）Efficient Zero-Knowledge Argument for Correctness of a Shuffle学习笔记（1）
• 2）Efficient Zero-Knowledge Argument for Correctness of a Shuffle学习笔记（2）
• 3）Efficient Zero-Knowledge Argument for Correctness of a Shuffle学习笔记（3）

Chaum 1981年论文《Untraceable electronic mail, return addresses, and digital pseudonyms》中提出的mix-net可用于构建e-voting scheme。mix-net为 a multi-party protocol，允许a group of senders to input a number of encrypted messages to the mix-net, which then outputs them in random order。mix-net可用于需要匿名的场景，如anonymous broadcast。

可利用shuffle来构建mix-net，shuffle也可用于onion-routing和oblivious databases。

Shuffle是指：
a shuffle of ciphertexts $C_1,\cdots ,C_N$ is a set of ciphertexts $C_1^{\prime },\cdots ,C_N^{\prime }$ with the same plaintexts in permuted order。

本文基于homomorphic encryption scheme构建了a shuffle protocol，即：
a given public key $pk$, messages $M_1,M_2$ and randomness ${\rho }_1,{\rho }_2$，相应的entryption function 满足${\epsilon }_{pk}(M_1{M}_2;{\rho }_1+{\rho }_2)={\epsilon }_{pk}(M_1;{\rho }_1){\epsilon }_{pk}(M_2;{\rho }_2)$。【具有乘法同态属性。】
然后构建 a shuffle of $C_1,\cdots ,C_N$ by selecting a permutation $\pi \in {\sum }_N$ and randomizers ${\rho }_1,\cdots ,{\rho }_N$，计算 $C_1^{\prime }=C_{\pi (1)}{\epsilon }_{pk}(1;{\rho }_1),\cdots ,C_N^{\prime }=C_{\pi (N)}{\epsilon }_{pk}(1;{\rho }_N)$。

构建mix-net的方式可为：
由mix-servers一次shuffle the ciphertexts，若所选择的encryption scheme为IND-CPA secure （选择明文攻击下的不可区分性 Indistinguishability under chosen-plaintext attack），即由一个mix-server输出的shuffle $C_1^{\prime },\cdots ,C_N^{\prime }$ 既不会泄露the permutation，也不会泄露 the messages。
但是，这意味着在该mix-net 中可存在a milicous mix-server，可替换某些ciphertexts而不被发现。在voting protocol中，即以为着可替换all ciphertexts with encrypted votes for candidate $X$。
因此需要构建a zero-knowledge shuffle argument，满足：

• 证明the shuffle was done correctly (soundness)。
• reveal nothing about the permutation or the randomizers used (zero-knowledge)。

本文针对的encryption scheme为ElGamal encryption scheme，也可调整为其它homomorphic encryption scheme。

当shuffl $N$ ciphertexts时，布局为an $m\times n$ matrix：

• Groth和Ishai 2008年论文[GI08]《Sub-linear zero-knowledge argument for correctness of a shuffle》中构建的shuffle argument，需发送$\Omega (m^2+n)$ group elements。
  且[GI08] 论文中的一个主要缺陷为：
  Prover的computational complexity为$O(Nm)$ exponentiations，所以需选择small $m$。

• 本文构建的shuffle argument仅需发送$O(m+n)$ group elements，具有最小的communication complexity $O(\sqrt{N})$。
  本文的Prover computational complexity为$O(N\log m)$ exponentiations for constant round arguments，或者是$O(N)$ exponentiations for a logarithmic number of rounds。
  因此，只有当$m$很大时，才有必要增加round complexity。
  且本文Verifier端的工作非常轻量级。

3.1 相关技术

Groth 2009年论文[Gro09]《Linear algebra with sub-linear zero-knowledge arguments》中提出了 efficient sublinear size arguments to be used in connection with linear algebra over a finite field。本文将该技术与[GI08]中的sublinear size shuffle argument结合，构建了 an efficient multi-exponentiation argument that a ciphertext $C$ is the product of a set of known ciphertexts $C_1,\cdots ,C_N$ raised to a set of hidden committed values $a_1,\cdots ,a_N$。

shuffle of ciphertexts的相关思路有：

• Neff [Nef01] 2001年论文《A verifiable secret shuffle and its application to e-voting》中的核心思路为：the invariance of polynomials $P(X)={\prod }_{i=1}^N(m_i-X)$ under permutation of roots。
• Groth [Gro10] 2010年论文《A verifiable secret shuffle of homomorphic encryptions》中的核心思想也为：the invariance of polynomials $P(X)={\prod }_{i=1}^N(m_i-X)$ under permutation of roots。
• Stamer [Sta05] 2005年论文《 Efficient electronic gambling: An extended implementation of the toolbox for mental card games》中做了相应的实现。
• Groth和Ishai 2008年论文[GI08]《Sub-linear zero-knowledge argument for correctness of a shuffle》中第一个实现了communication complexity为sublinear in the number of cipertexts的shuffle argument。

3.2 shuffle argument

针对的场景为：

• public info：ciphertexts { C i } i = 1 N , { C i ′ } i = 1 N \{C_i\}_{i=1}^{N},\{C_i'\}_{i=1}^{N} { Ci​}i=1N​,{ Ci′​}i=1N​
• witness：permutation $\pi \in {\sum }_N$, randomness { ρ i } i = 1 N \{\rho_i\}_{i=1}^{N} { ρi​}i=1N​
• relation：$C_i^{\prime }=C_{\pi (i)}{\epsilon }_{pk}(1;{\rho }_i)$

shuffle argument中主要包含了两个子argument：

• multi-exponenetiation argument
• product argument （参见博客 Practical Zero-Knowledge Protocols Based on the Discrete Logarithm Assumption 学习笔记 1 “5.3 product argument”）

shuffle argument的证明思路为：

• Prover: commit to the permutation，即commit to $\pi (1),\cdots ,\pi (N)$。【需证明相应的openings为$1,\cdots ,N$的permutation。】
• Verifier：发送challenge $x$。
• Prover：commit to $x^{\pi (1)},\cdots ,x^{\pi (N)}$。【需证明相应的openings为$x^1,\cdots ,x^N$的permutation。且两组permutation为完全相同的，即the prover has a commitment to $x^1,\cdots ,x^N$ permutated in an order that was fixed before the prover saw $x$。】
• Verifier：为了证明两组commitments采用的是相同的permutation，Verifier发送challenges $y,z$。
• Prover：构建 $d_1-z=y\pi (1)+x^{\pi (1)}-z,\cdots ,d_N-z=y\pi (N)+x^{\pi (N)}-z$
  转为证明 ${\prod }_{i=1}^N(d_i-z)={\prod }_{i=1}^N(yi+x^i-z)$
  【可利用 博客 Practical Zero-Knowledge Protocols Based on the Discrete Logarithm Assumption 学习笔记 1 中的 “single value product argument for public $b$” 来证明。】
  1）可将其看成是基于$z$变量的多项式，将 $yi+x^i$ 看成是多项式的根。
  基于Schwartz-Zippel lemma可知，对于随机选择的$z$，等式成立的概率可忽略。
  2）而permutation $\pi$可表示为：
  $d_1=y\pi (1)+x^{\pi (1)},\cdots ,d_N=y\pi (N)+x^{\pi (N)}$
  Furthermore, there is negligible probability over the choice of $y$ of this being true unless the first commitment contains $\pi (1),\cdots ,\pi (N)$ and the second commitment contains $x^{\pi (1)},\cdots ,x^{\pi (N)}$。
  3）Prover commit to $x^{\pi (1)},\cdots ,x^{\pi (N)}$，利用multi-exponentiation argument来证明存在$\rho$ 使得：
  ${\prod }_{i=1}^N{C}_i^{x^i}={\epsilon }_{pk}(1;\rho ){\prod }_{i=1}^N(C_i^{\prime }{)}^{x^{\pi (i)}}$
  Verifier不知道the committed values，因此也不知道what the permutation is。但是基于encryption scheme的同态属性，Verifier可推导：
  ${\prod }_{i=1}^N{M}_i^{x^i}={\prod }_{i=1}^N(M_i^{\prime }{)}^{x^{\pi (i)}}$
  for some permutation $\pi$ that was chosen before the challenge $x$ was sent to the prover。进行discrete logarithm计算，有the polynomial identity：
  ${\sum }_{i=1}^N\log (M_i)x^i={\sum }_{i=1}^N\log (M_{{\pi }^{-1}(i)}^{\prime })x^i$
  因此，there is negligible probability over the choice of $x$ of this equality holding true unless $M_1^{\prime }=M_{\pi (1)},\cdots ,M_N^{\prime }=M_{\pi (N)}$

完整的证明过程为：

以上shuffle argument算法的效率分析为：

3.3 multi-exponentiation argument

针对的场景为：

• public info： { C i } i = 1 N , { C i ′ } i = 1 N , x \{C_i\}_{i=1}^N,\{C_i'\}_{i=1}^N,x { Ci​}i=1N​,{ Ci′​}i=1N​,x 和 commitments { C π ( i ) } i = 1 N \{C_{\pi(i)}\}_{i=1}^N { Cπ(i)​}i=1N​
• private info： ρ , { π ( i ) } i = 1 N \rho,\{\pi(i)\}_{i=1}^{N} ρ,{ π(i)}i=1N​
• relation：${\prod }_{i=1}^N{C}_i^{x^i}={\epsilon }_{pk}(1;\rho ){\prod }_{i=1}^N(C_i^{\prime }{)}^{x^{\pi (i)}}$ 以及 $C_{\pi (i)}=Co{m}_{ck}(\pi (i))$

假设$N=mn$，以$m\times n$矩阵表示，将其扩展为更通用的情况为：【设 ${\prod }_{i=1}^N{C}_i^{x^i}=C$， { π ( i ) } i = 1 N = A = { a i j } i , j = 1 m , n = ( a ⃗ 1 , ⋯   , a ⃗ m ) \{\pi(i)\}_{i=1}^{N}=\mathbf{A}=\{a_{ij}\}_{i,j=1}^{m,n}=(\vec{a}_1,\cdots,\vec{a}_m) { π(i)}i=1N​=A={ aij​}i,j=1m,n​=(a 1​,⋯,a m​)， { ( C i ′ ) x } i = 1 N = { C i j } i , j = 1 m , n = c ⃗ 1 , ⋯   , c ⃗ m \{(C_i')^x\}_{i=1}^{N}=\{C_{ij}\}_{i,j=1}^{m,n}={\vec{c}_1,\cdots,\vec{c}_m} { (Ci′​)x}i=1N​={ Cij​}i,j=1m,n​=c 1​,⋯,c m​】

• public info：commitments ${\vec{c}}_A$, $C,{\vec{c}}_1,\cdots ,{\vec{c}}_m$
• private info： ρ , r ⃗ , A = { a i j } i , j = 1 m , n = ( a ⃗ 1 , ⋯   , a ⃗ m ) \rho,\vec{r},\mathbf{A}=\{a_{ij}\}_{i,j=1}^{m,n}=(\vec{a}_1,\cdots,\vec{a}_m) ρ,r ,A={ aij​}i,j=1m,n​=(a 1​,⋯,a m​)
• relation：${\vec{c}}_A=Co{m}_{ck}(\mathbf{A};\vec{r})=(Co{m}_{ck}({\vec{a}}_1;r_1),\cdots ,Co{m}_{ck}({\vec{a}}_m;r_m))$ 且 $C={\epsilon }_{pk}(1;\rho ){\prod }_{i=1}^m{\vec{c}}_i^{{\vec{a}}_i}$

为了简单起见，现考虑$\rho =0$的情况，即证明Prover know the openings of ${\vec{c}}_A$，满足$C={\prod }_{i=1}^m{\vec{c}}_i^{{\vec{a}}_i}$。
以如下方式表示：

其中$E_m=C$，$E_k={\prod }_{1\le i,j\le m;j=(k-m)+i}{\vec{c}}_i^{{\vec{a}}_j}$。
基本证明思路为：【$\rho =0$的情况下】

• Prover：将ciphertexts $E_1,\cdots ,E_{2m-1}$ 发送给Verifier，其中$C=E_m$为主对角线上元素的乘积，$E_k$为其它对角线上的元素乘积。
• Verifier：发送 challenge $x\leftarrow {\mathbb{Z}}_q^{\ast }$。
• Prover：采用batch方式证明所有对角线上的元素乘积分别对应$E_k$，方式为：
  设置$\vec{x}=(x,x^2,\cdots ,x^m{)}^T$
  Prover opens ${\vec{c}}_A^{\vec{x}}$ to $\vec{a}={\sum }_{j=1}^m{x}^j{\vec{a}}_j$，即Prover将$\vec{a}$发送给Verifier。
  有：$x^{m-i}\vec{a}=x^m{\vec{a}}_i+{\sum }_{j=1,j\ne i}^m{x}^{m-i+j}{\vec{a}}_j=x^m{\vec{a}}_i+{\sum }_{j=1,j\ne i,k=m-i+j}^m{x}^k{\vec{a}}_j$
• Verifier：验证 ${\vec{c}}_A^{\vec{x}}=Co{m}_{ck}(\vec{a};r)$ 和 $C^{x^m}{\prod }_{k=1,k\ne m}^{2m-1}{E}_k^{x^k}={\prod }_{i=1}^m{\vec{c}}_i^{(x^{m-i}\vec{a})}$ 即可。

zero-knowledge属性实现：

• 为了避免泄露information about the exponent vectors ${\vec{a}}_1,\cdots ,{\vec{a}}_m$，Prover引入了随机vector ${\vec{a}}_0\leftarrow {\mathbb{Z}}_q^n$，首先commit to ${\vec{a}}_0$ 有 $c_{A0}=Co{m}_{ck}({\vec{a}}_0;r_0)$，收到challenge $x$后，发送$\vec{a}={\vec{a}}_0+{\sum }_{j=1}^m{x}^j{\vec{a}}_j$ 给Verifier，Verifier验证：$c_{A0}{\vec{c}}_A^{\vec{x}}=Co{m}_{ck}(\vec{a};r)$。
• Prvoer传输 $E_k={\prod }_{1\le i,j\le m;j=(k-m)+i}{\vec{c}}_i^{{\vec{a}}_j}$ 时，也可能造成witness ${\vec{a}}_1,\cdots ,{\vec{a}}_m$ 的泄露，因此，可对每个$E_k$乘以随机ciphertext ${\epsilon }_{pk}(G^{b_k};{\tau }_k)$，其中$b_m=0$。Prover需先对$b_k$进行commit。

详细的zero-knowledge multi-exponentiation argument实现为：

zero-knowledge multi-exponentiation argument的算法效率分析为：

相应的优化有：

• 1）优化Prover computation：
  以上算法具有efficient verification 和 low communication complexity，但是Prover 需计算 $E_0,\cdots ,E_{2m-1}$，不考虑zero-knowledge 实现引入的$E_0$，只考虑 $k=1,\cdots ,2m-1$时：
  $E_k={\prod }_{i=1,j=1;j=(k-m)+i}^{m,m}{\vec{c}}_i^{{\vec{a}}_j}$
  为了计算$E_k$，Prover需计算 $m^2$ 个product ${\overrightarrow{c_i}}^{{\vec{a}}_j}$，而每一个${\vec{c}}_i^{{\vec{a}}_j}$的形式为：
  ${\prod }_{l=1}^n{C}_{il}^{a_{jl}}$
  因此，最终计算$E_k$ 需要 $m^{2}n$个exponentiations in $\mathbb{H}$。当$m$很大时，计算量将很大。
  可以借助multiplication of integers and polynomials的相关技术，如 Karatsuba [KO63]、Toom-Cook [Too00, Coo66] 以及 Fast Fourier Transform [CT65]。即：
  为了计算两个$m-1$阶多项式的乘积$p(x)q(x)$对应的系数，可evaluate $p(x)q(x)$ in $2m-1$ points $w_0,\cdots ,w_{2m-2}$ ，然后借助多项式插值来恢复 the coefficients of $p(x)q(x)$ from $p(w_0)q(w_0),\cdots ,p(w_{2m-2})q(w_{2m-2})$。
  
  但是FFT不适于与multi-exponentiation结合使用，当$m$较小时，可借助Toom-Cook method for integer multiplication技术，选择$w_0,w_1,\cdots ,w_{2m-2}$为small integers。当$m$较小时，及时$w_k^{2m-2}$的也脚下。

• 2）trading computation for interaction：
  借鉴Groth和Ishai 2008年论文[GI08]《Sub-linear zero-knowledge argument for correctness of a shuffle》 中的思路，不再计算矩阵中所有对角线的元素乘积，而只取主对角线上关联矩阵的对角线元素乘积进行证明。
  
  
  trading computation for interaction的zero-knowledge multi-exponentiation argument算法实现为：
  
  
  trading computation for interaction的zero-knowledge multi-exponentiation argument算法的效率分析为：
  

4. 证明矩阵$M$可逆