Efficient Zero-Knowledge Arguments from Two-Tiered Homomorphic Commitments 学习笔记

1. 引言

Groth 2011年论文《Efficient Zero-Knowledge Arguments from Two-Tiered Homomorphic Commitments》，发表于Asia crypto 2011。

本文：

• 基于double pairing assumption构建了two-tiered homomorphic commitments scheme 。

• 基于本文的two-tiered homomorphic commitments scheme狗啊见的zero-knowledge argument，具有：
  – sublinear communication complexity
  – perfect completeness
  – perfect special honest verifier zero-knowledge
  – computational soundness

• 将本文的zero-knowledge argument用于实现range proof时，如证明a committed value belongs to a specific $N$-bit integer interval，相应的communication cost为$O(N^{\frac{1}{3}})$ 个 group elements。

• 构建的circuit satisfiability argument的communication complexity为$O(N^{\frac{1}{3}})$个group elements，其中$N$为gate数量。
  该argument具有quasi-linear computational complexity for the prover，同时具有very efficient verification。
  相关的对比见 如下表1和表2 ：（其中Prover的computation保守估计为$O(N{\log }^{2}N)$，若借助FFT，可进一步reduce为$O(N\log N)$。）
  
  其中：
  – [8] Cramer等人1994年论文《Proofs of partial knowledge and simplified design of witness hiding protocols》，基于的是DLOG assumption。
  – [22] Groth 2019年论文《Linear algebra with sub-linear zero-knowledge arguments》，基于的是DLOG assumption。

• 本文的zero-knowledge argument可实例化为in asymmetric bilinear group，在该group下computational double pairing assumption成立。而[6,7] 论文中的range proof是基于$q$-SDH assumption in bilinear group。

• 主要技术贡献是：batch product argument。已知$3N$个committed elements $u_i,v_i,w_i\in {\mathbb{Z}}_p$，构建了zk argument 证明 $u_i{v}_i=w_i$。
  借助commitment 的同态属性，同时支持对committed elements的加法和乘法运算，从而允许the prover to commit to the wires in a circuit and prove that they respect the $NAND$-gate。
  而对于range proof，将数值以$N$个bit位表示$w_1,\cdots ,w_N$，则可转为证明$w_i{w}_i=w_i$， which can only be true if w i ∈ { 0 , 1 } w_i\in\{0,1\} wi​∈{ 0,1}。然后利用commitment的同态属性计算$w={\sum }_{i=1}^N{w}_i{2}^{i-1}$，即可证明$w\in [0;2^N)$。也可扩展为证明$w\in [A,B)$。

2. 相关定义

2.1 two-tiered homomorphic commitment

本文涉及的commitment scheme 有：

• Pedersen commitment
• commitment scheme for group elements
• Pedersen commitment + commitment scheme for group elements

(1) Pedersen commitment：
public key中包含the description of a group of prime order $p$和group elements $g,h$。
commitment to $a\in {\mathbb{Z}}_p$表示为：
$c=g^a{h}^r$，其中$r$为随机值。
具有加法同态属性，即$c\cdot c^{\prime }=(g^a{h}^r)(g^b{h}^s)=g^{a+b}{h}^{r+s}$ 为a commitment to $a+b$。
commitment to vector $(a_1,a_2,\cdots ,a_n)\in {\mathbb{Z}}_p^n$可表示为：
$c=h^r{\prod }_{k=1}^n{g}_k^{a_k}$

(2) commitment scheme for group elements：
Abe等人2010年论文《Structure-preserving signatures and commitments to group elements》
和
Groth 2009年论文《Homomorphic trapdoor commitments to group elements》
中均提出了commitment scheme for group elements。
其中的一种commitment scheme是使用a bilinear with a pairing $e:\mathbb{G}\times \hat{\mathbb{G}}\to \mathbb{T}$
其中$\mathbb{G},\hat{\mathbb{G}},\mathbb{T}$均为cyclic groups of prime order $p$，将$\mathbb{G}$和$\hat{\mathbb{G}}$ 称为base group，$\mathbb{T}$称为target group。
该pairing应为efficiently computable, non-trivial and bilinear，即：
$\forall x,y,a,b$均有$e(x^a,y^b)=e(x,y{)}^{ab}$
对于specific non-trivial group elements $v,u_1,\cdots ,u_m\in \hat{\mathbb{G}}$，a commitment to vector $(c_1,\cdots ,c_m)\in \mathbb{G}$ 可表示为：
$C=e(t,v){\prod }_{j=1}^{m}e(c_j,u_j)$，其中$t$为random point $t\in \mathbb{G}$。
以上commitment具有computationally binding under the computational double pairing assumption，即已知$u,v\in \hat{\mathbb{G}}$，很难找到$s,t\in \mathbb{G}$，使得$e(s,u)=e(t,v)$ 成立。
同时在Abe和Groth论文中证明了，the hardness of the computational double pairing assumption 与 the hardness of decision Diffie-Hellman assumption in $\hat{\mathbb{G}}$ 相当。
根据pairing的bilinearity属性有：
$C\cdot C^{\prime }=(e(t,v){\prod }_{j=1}^{m}e(c_j,u_j))(e(t^{\prime },v){\prod }_{j=1}^{m}e(c_j^{\prime },u_j))=e(t{t}^{\prime },v){\prod }_{j=1}^{m}e(c_j{c}_j^{\prime },u_j)$
即为a commitment to the entry-wise product of the messages。

(3) Pedersen commitment + commitment scheme for group elements：
将Pedersen commitment scheme 和 commitment scheme for group elements结合，可实现commit to commitments。
即若$c_j=h^{r_j}{\prod }_{k=1}^n{g}_k^{a_{jk}}$，$C=e(t,v){\prod }_{j=1}^{m}e(c_j,u_j)$，最终可获得 a single target group element that is a commitment to $mn$ values { a j k } j = 1 , k = 1 m , n \{a_{jk}\}_{j=1,k=1}^{m,n} { ajk​}j=1,k=1m,n​。
因两种commitment scheme都是homomorphic the product of two commitments $C\cdot C^{\prime }$ 为 a commitment to the sums of the messages $a_{jk}+a_{jk}^{\prime }$。

two-tiered commitment scheme包含3个算法$(\mathcal{K},com,co{m}^{(2)})$，其中：
1）$\mathcal{K}$为key generator 输入为security parameter $\lambda$，数字$m,n$，输出为public key $ck$。the commitment key specifies cyclic groups ${\mathbb{Z}}_p,\mathbb{G}$和$\mathbb{T}$ of prime order $p$。【一共有$m+n+2$个group elements in $\mathbb{G}$ and $\hat{\mathbb{G}}$】
2）$co{m}_{ck}:{\mathbb{Z}}_p^n\times {\mathbb{Z}}_p\to \mathbb{G}$，即对应本文的Pedersen commitment。
3）$co{m}_{ck}^2:{\mathbb{G}}^m\to \mathbb{T}$，即对应本文的commitment scheme for group elements.

具有如下特性：

• 同态属性：当the maps $co{m}_{ck}$ and $co{m}_{ck}^2$ 为${\mathbb{Z}}_p$-linear时，该two-tiered commitment scheme具有同态属性。
• computationally binding 属性
• perfectly hiding属性

2.2 Special honest verifier zero-knowledge arguments of knowledge

3. batch product argument (相当于Hadamard product argument)

针对的场景为：

• public info：commitments $C_{U_1},C_{V_1},C_{W_1},\cdots ,C_{U_M},C_{V_M},C_{W_M}$
• private info： { u i j k ∈ Z p , v i j k ∈ Z p , w i j k ∈ Z p } i = 1 , j = 1 , k = 1 M , m , n \{u_{ijk}\in\mathbb{Z}_p, v_{ijk}\in\mathbb{Z}_p,w_{ijk}\in\mathbb{Z}_p \}_{i=1,j=1,k=1}^{M,m,n} { uijk​∈Zp​,vijk​∈Zp​,wijk​∈Zp​}i=1,j=1,k=1M,m,n​ 以及 相应的随机值$r_{i,j},s_{i,j},t_{i,j}\in {\mathbb{Z}}_p$。
• relation：
  $u_{ijk}{v}_{ijk}=w_{ijk}$ 且
  $c_{u_{i,j}}=co{m}_{ck}(u_{ij1},\cdots ,u_{ijn};r_{ij})$ 且 $C_{U_i}=co{m}_{ck}^2(c_{u_{i1}},\cdots ,c_{u_{im}})$ 且
  $c_{v_{i,j}}=co{m}_{ck}(v_{ij1},\cdots ,v_{ijn};s_{ij})$ 且 $C_{V_i}=co{m}_{ck}^2(c_{v_{i1}},\cdots ,c_{v_{im}})$ 且
  $c_{w_{i,j}}=co{m}_{ck}(w_{ij1},\cdots ,w_{ijn};t_{ij})$ 且 $C_{W_i}=co{m}_{ck}^2(c_{w_{i1}},\cdots ,c_{w_{im}})$

基本思路为：

• 若引入challenge $x\in {\mathbb{Z}}_p^{\ast }$，则可转换为证明：
  ${\sum }_{i=1}^M{\sum }_{j=1}^m{\sum }_{k=1}^n(u_{ijk}{v}_{ijk}-w_{ijk})x^{i(m+1)n+jn+k}=0$ …… （1）
  除非$u_{ijk}{v}_{ijk}=w_{ijk}$ for all choices of $i,j,k$，否则对于randomly chosen challenge $x\in {\mathbb{Z}}_p^{\ast }$，以上等式成立的概率可忽略。
  接下来的难点在于构建this polynomial 并convince the verifier that 方程式（1） 成立，我们实现了communication cost仅为$O(M+m+n)$。

• 利用$co{m}_{cK}^2$的同态属性有：
  

• 利用$co{m}_{ck}$的同态属性有：
  

• 从而有：
  
  构建多项式${\sum }_{k=1}^n(u_k{v}_k-w_k)x^k$展开为：
  
  里面包含了我们需要证明的方程式（1），同时也包含了一些cross-terms corresponding to $i\ne i^{\prime }$ or $j\ne j^{\prime }$，使得以上多项式值可能为非零值。
  因此需要引入$a_{\alpha }$和$b_{\beta }$值，用于cancel out the cross-terms，需要额外再引入变量$y,z$，使得：【本文实现的最终communication cost为$O(M+m+n)$。】
  
  从而有：
  
  
  可以将以上的求和情况拆解为3个部分：
  1）$j=j^{\prime },i=i^{\prime }$
  2）$j=j^{\prime },i\ne i^{\prime }$
  3）$j\ne j^{\prime }$
  从而有：
  
  此时，Prover仅需证明其知道：
  
  1）Prover先发送commitment { c a α } α ∈ { − M , ⋯   , − 1 , 1 , ⋯   , M } \{c_{a_{\alpha}}\}_{\alpha\in\{-M,\cdots,-1,1,\cdots,M\}} { caα​​}α∈{ −M,⋯,−1,1,⋯,M}​给Verifier。
  2）Verifier 发送challenge $y\in {\mathbb{Z}}_p^{\ast }$
  3）Prover发送commitment { c b β } β ∈ { − m , ⋯   , − 1 , 1 , ⋯   , m } \{c_{b_{\beta}}\}_{\beta\in\{-m,\cdots,-1,1,\cdots,m\}} { cbβ​​}β∈{ −m,⋯,−1,1,⋯,m}​ 给Verifier。
  4）Verifier 发送challenge $z\in {\mathbb{Z}}_p^{\ast }$
  5）Prover发送相应的evaluation值 { u k , v k , w k } k = 1 n \{u_k,v_k,w_k\}_{k=1}^{n} { uk​,vk​,wk​}k=1n​和其它randomness $R$值发送给Verifier。
  6）Verifier 仅需验证：
  

以下为详细的zero knowledge batch Hadamard product argument协议：【引入随机commitments { c d k } k = 1 n \{c_{d_k}\}_{k=1}^{n} { cdk​​}k=1n​ 来实现hiding】
【
整个batch product argument ：

• communication cost为：3个$\mathbb{T}$ elements，$2M+5m+n+1$个$\mathbb{G}$ elements和$3n+7$个${\mathbb{Z}}_p$ elements。
• Verifier的computation为：$3m$个pairings and exponenetiations in the target group $\mathbb{T}$ 和 $5M+2m+4n$个exponentiations in the base group $\mathbb{G}$，可借助multi-exponentiation技术将其reduce为$O(\frac{M+m+n}{\log (M+m+n)})$ 个exponentiations。
• Prover computation为：$3m$个pairings 和 $O(M+m+n)$ 个exponentiations，以及$O(N(M+m))$个multiplications in ${\mathbb{Z}}_p$，其中$N=Mmn$。可借助polynomial multiplication来reduce Prover的computation 压力。如以下协议第3步中：
  
• 若部分witness值为public known的话，协议性能可进一步优化：
  
  

】

4. Inner product argument

即为了证明：
${\sum }_{i=1}^M{\sum }_{j=1}^m{\sum }_{k=1}^n{u}_{ijk}{v}_{ijk}={\sum }_{i=1}^M{\sum }_{j=1}^m{\sum }_{k=1}^n{w}_{ijk}$

观察可发现，对于方程式（1）中的$x$值不再由Verifier random select，而是固定为$x=1$即可。

${\sum }_{i=1}^M{\sum }_{j=1}^m{\sum }_{k=1}^n(u_{ijk}{v}_{ijk}-w_{ijk})x^{i(m+1)n+jn+k}=0$ …… （1）

5. arguments for circuit satisfiability

借助第三节的batch hadamard product argument，可构建a $7$-move SHVZK argument for circuit satisfiability。
针对包含$N-1$个 与非门的 boolean circuit，使得Verifier相信存在a satisfying assignment making the circuit ouput $1$。

假设circuit具有$N=Mmn$个与非门，每个与非门的两个输入和一个输出分别为$u_{ijk},v_{ijk},w_{ijk}$，Prover需要证明：

• all the committed values are either $0$ or $1$ corresponding to truth values。
  可通过batch Hadamard product argument来证明$u_{ijk}{u}_{ijk}=u_{ijk},v_{ijk}{v}_{ijk}=v_{ijk}.w_{ijk}{w}_{ijk}=w_{ijk}$，which can only be true if u i j k , v i j k , w i j k ∈ { 0 , 1 } u_{ijk}, v_{ijk}, w_{ijk}\in\{0,1\} uijk​,vijk​,wijk​∈{ 0,1}。
• Prover可利用commitment的同态属性来计算commitments to $1-w_{ijk}$。
• 利用另一个batch Hadamard product argument来证明$u_{ijk}{v}_{ijk}=1-w_{ijk}$，表示the committed values respect the NAND-gates。
• 利用Groth 2009年论文《Linear algebra with sub-linear zero-knowledge arguments》中的inner product argument技术来证明all committed values $u_{ijk},v_{ijk}$和$w_{ijk}$ corresponding to the same wire $x_l$ are consistent with each other。【其中包含了permutation argument】

详细的arguments for circuit satisfiability实现为：

以上Boolean circuit 证明也可扩展至arithmetic circuit。

6. Range arguments

对应的场景为：

• public info：commitment $c$，和$A,B$
• private info：$w,t$
• relation：$c=co{m}_{ck}(w;t),w\in [A;B)$

基本思路为：

• 利用commitment的同态属性，可转为证明Prover knows an opening of $c\cdot co{m}_{ck}(-A;0)$ in the range $[0;B-A)$。
• 设$N=\lfloor \log (B-A)\rfloor$。
  Prover构建a commitment $c_{0/1}=co{m}_{ck}(b;s)$，并show that it contains $0$ or $1$ using standard techniques。
• 证明 KaTeX parse error: Undefined control sequence: \codt at position 22: … com_{ck}(-A;0)\̲c̲o̲d̲t̲ ̲c_{0/1}^{A-B+2^… 包含a value in the range $[0;2^N)$，即可使Verifier信服$w\in [A;B)$。

以$w\in [0;2^N)$为例，相应的range argument实现为：