Halo2学习笔记——设计之Protocol Description（2）

1. 引言

security parameter以$\lambda$表示，除非明确说明，所有算法和adversaries都是probabilistic (interactive) Turing machines that run in polynomial time in this security parameter。
$negl(\lambda )$ 表示a function that is negligible in $\lambda$。

1.1 Cryptographic Groups

• $\mathbb{G}$：表示a cyclic group of prime order $p$。

• $\mathcal{O}$：表示the identity of a group。

• $\mathbb{G}$中的scalars of elements 为 scalar field $\mathbb{F}$ of size $p$ 中 的元素。

• 以大写字母来表示group element，以小写或希腊字母来表示scalar。

• 以粗体字来表示向量，即$\mathbf{a}\in {\mathbb{F}}^n$ and $\mathbf{G}\in {\mathbb{G}}^n$。

• group operation为加法运算。

• scalar $a$与group element $G$的乘积表示为$[a]G$。

• $⟨\mathbf{a},\mathbf{b}⟩$表示2个相同长度scalar向量$\mathbf{a},\mathbf{b}\in {\mathbb{F}}^n$的inner product。

• $⟨\mathbf{a},\mathbf{G}⟩$ with $\mathbf{a}\in {\mathbb{F}}^n,\mathbf{G}\in {\mathbb{G}}^n$表示multiscalar multiplication。

• $0^n$表示a vector of length $n$ that only contains zeroes in $\mathbb{F}$。

  扫描二维码关注公众号，回复： 13196792 查看本文章

• Discrete Log Relation Problem：

The advantage metric
$${\text{Adv}}_{\mathbb{G},n}^{\text{dl-rel}}(\mathcal{A},\lambda )=\text{Pr}\left[{\mathsf{G}}_{\mathbb{G},n}^{\text{dl-rel}}(\mathcal{A},\lambda )\right]$$
is defined with respect the following game.
$$\begin{array}{ll}& \underline{\mathbf{G}\mathbf{a}\mathbf{m}\mathbf{e}{\mathsf{G}}_{\mathbb{G},n}^{\text{dl-rel}}(\mathcal{A},\lambda ):}\\ & \mathbf{G}\leftarrow {\mathbb{G}}_{\lambda }^n\\ & \mathbf{a}\leftarrow \mathcal{A}(\mathbf{G})\\ & \text{Return}\left(⟨\mathbf{a},\mathbf{G}⟩=\mathcal{O}\wedge \mathbf{a}\ne 0^n\right)\end{array}$$

即已知$n$-length vector $\mathbf{G}\in {\mathbb{G}}^n$ group elements，discrete log relation problem 会ask for $\mathbf{g}\in {\mathbb{F}}^n$，使得$\mathbf{g}\ne 0^n$ 且 $⟨\mathbf{a},\mathbf{G}⟩=\mathcal{O}$，可将其称为 non-trivial discrete log relation。
该problem的hardness与 JT20 Lemma3中的 hardness of the discrete log problem in the group 紧密相连。可使用game ${\mathsf{G}}_{\mathbb{G},n}^{\text{dl-rel}}$ 来定义该problem。

1.2 Interactive Proofs

interactive proof由3个算法组成 $\text{IP}=(\text{Setup},\mathcal{P},\mathcal{V})$：

• $\text{Setup}(1^{\lambda })$：输出为$\mathbf{p}\mathbf{p}$，为public parameters。

Prover $\mathcal{P}$ 和 Verifier $\mathcal{V}$ 为interactive machines (with access to $\mathbf{p}\mathbf{p}$)，以$⟨\mathcal{P}(x),\mathcal{V}(y)⟩$来表示execute a two-party protocol between Prover $\mathcal{P}$ 和 Verifier $\mathcal{V}$ on inputs $x,y$ 的算法。在协议的最后，Verifier输出a decision bit。

1.3 Zero knowledge Arguments of Knowledge

Proofs of knowledge为：interactive proofs，Prover致力于令Verifier相信，针对某statement $x$，其知道某witness $\omega$，使得$(x,\omega )\in \mathcal{R}$，其中$\mathcal{R}$为polynomial-time decidable relation $\mathcal{R}$。

Halo2中主要关注具有computationally-bounded prover的argument of knowledge。

argument of knowledge主要有以下4个安全视角：

• Completeness：若Prover基于valid witness运算，则其总是可使Verifier信服。
• Soundness：cheating Prover无法在不知道valid witness的情况下，使Verifier信服错误的proof。cheating Prover成功的概率为soundness error。
• Knowledge soundness：若Verifier信服该statement是正确的，Prover是否实际处理的（”知道“）就是相应的valid witness。cheating Prover成功的概率为knowledge error。
• Zero knowledge：即Verifier是否可从proof中知道相应的valid witness。

1.3.1 Completeness

1.3.2 Soundness

• Public coin是指：all of the messages sent by the verifier are each sampled with fresh randomness。

• Fiat-Shamir transformation是指：In this transformation an interactive, public coin argument can be made non-interactive in the random oracle model by replacing the verifier algorithm with a cryptographically strong hash function that produces sufficiently random looking output。

• State-Restoration Soundness：
  详细参见论文 GT20- Tight State-Restoration Soundness in the Algebraic Group Model：
  

• Knowledge Soundness：又名 witness extended emulation，是指：any successful prover algorithm there exists an efficient emulator that can extract a witness from it by rewinding it and supplying it with fresh randomness。
  Halo2中对 witness extended emulation 的定义做了小调整，即Halo2中的provers为state restoration provers，定义为可rewind the verifier。此外，为了避免在witness extraction过程中对state restoration prover的rewind，Halo2中将协议定义在了algebraic group model：
  
  algebraic group支持所谓的“online” extraction：即the extractor can obtain the witness from the representations themselves for a single (accepting) transcript。

• State Restoration Witness Extended Emulation：
  

1.3.3 Zero Knowledge

通常zero-knowledge定义中，要求Verifier act “honestly”，并send challenges that correspond only with their internal randomness，Verifier不可adaptively respond to the prover based on the prover’s messages。Halo2中使用了增强版定义：即强制要求the simulator to output a transcript with the same (adversarially provided) challenges that the verifier algorithm sends to the prover

2. Protocol

令$\omega \in \mathbb{F}$为a $n=2^k$ primitive root of unity，形成domain $D=({\omega }^0,{\omega }^1,\cdots ,{\omega }^{n-1})$ with vanishing polynomial $t(X)=X^n-1$ over 该domain。
令$k,n_g,n_a$为正整数。
接下来展现的是 interactive argument $\text{halo}=(\text{Setup},\mathcal{P},\mathcal{V})$ for the relation：
$$\mathcal{R}=\left\{\begin{array}{ll}& \left(\begin{array}{l}\left(g(X,C_0,C_1,...,C_{n_a-1})\right);\\ \left(a_0(X),a_1(X,C_0),...,a_{n_a-1}(X,C_0,C_1,...,C_{n_a-1})\right)\end{array}\right):\\ & \\ & g({\omega }^i,C_0,C_1,...,C_{n_a-1})=0\forall i\in [0,2^k)\end{array}\right\}$$
其中 $a_0,a_1,\cdots ,a_{n_a-1}$ 为（multivariate）polynomials with degree $n-1$ in $X$ and $g$ has degree $n_g(n-1)$ in $X$。

$\text{Setup}(\lambda )$：输出$\mathsf{p}\mathsf{p}=(\mathbb{G},\mathbb{F},\mathbf{G}\in {\mathbb{G}}^n,U,W\in \mathbb{G})$。

对于所有的$i\in [0,n_a)$：

• 令${\mathbf{p}}_{\mathbf{i}}$为exhaustive set of integers $j$ (modulo $n$) 使得 $a_i({\omega }^{j}X,\cdots )$ appears as a term in $g(X,\cdots )$。
• 令$\mathbf{q}$为a list of distinct sets of integers containing ${\mathbf{p}}_{\mathbf{i}}$ and the set q 0 = { 0 } \mathbf{q_0}=\{0\} q0​={ 0}。
• 当${\mathbf{q}}_j={\mathbf{p}}_{\mathbf{i}}$时，令$\sigma (i)={\mathbf{q}}_j$

令$n_q$表示$\mathbf{q}$的size，$n_e$表示每个${\mathbf{p}}_{\mathbf{i}}$的size。

接下来，协议证明对于每个多项式$a_i(X,\cdots )$，有$n_e+1$个blinding factors，且存在an evaluation of $a_i(X,\cdots )$ over the domain $D$：

• 1）$\mathcal{P}$和$\mathcal{V}$将进行$n_a$轮以下交互，对于其中第$j$轮（从$0$开始）有：
  • $\mathcal{P}$ 设置$a_j^{\prime }(X)=a_j(X,c_0,c_1,\cdots ,c_{j-1})$
  • $\mathcal{P}$ 发送hiding commitment $A_j=⟨{\mathbf{a}}^{\prime },\mathbf{G}⟩+[\cdot ]W$，其中${\mathbf{a}}^{\prime }$为单变量多项式$a_j^{\prime }(X)$的系数，$\cdot$为某随机值。
  • $\mathcal{V}$ respond with a challenge $c_j$。
• 2）$\mathcal{P}$和$\mathcal{V}$ 均设置$g^{\prime }(X)=g(X,c_0,c_1,\cdots ,c_{n_a-1})$。
• 3）$\mathcal{P}$ 发送commitment $R=⟨\mathbf{r},\mathbf{G}⟩+[\cdot ]W$，其中$\mathbf{r}\in {\mathbb{F}}^n$ 为degree $n-1$ 随机单变量多项式$r(X)$的系数。
• 4）$\mathcal{P}$计算单变量多项式$h(X)=\frac{g^{\prime }(X)}{t(X)}$ of degree $n_g(n-1)-n$。
• 5）$\mathcal{P}$ 最多计算 $n-1$ degree polynomials $h_0(X),h_1(X),\cdots ,h_{n_g-2}(X)$，使得：
  $h(X)={\sum }_{i=0}^{n_g-2}{X}^{ni}{h}_i(X)$。
• 6）对于所有的$i$，$\mathcal{P}$发送commitments $H_i=⟨{\mathbf{h}}_{\mathbf{i}},\mathbf{G}⟩+[\cdot ]W$，其中${\mathbf{h}}_{\mathbf{i}}$表示$h_i(X)$的系数向量。
• 7）$\mathcal{V}$ responds with challenge $x$ 并计算 $H^{\prime }={\sum }_{i=0}^{n_g-2}[x^{ni}]H_i$。
• 8）$\mathcal{P}$ 设置$h^{\prime }(X)={\sum }_{i=0}^{n_g-2}{X}^{ni}{h}_i(X)$。
• 9）$\mathcal{P}$ 发送$r=r(x)$，对于所有的$i\in [0,n_a)$，发送${\mathbf{a}}_{\mathbf{i}}$使得$({\mathbf{a}}_{\mathbf{i}}{)}_j=a_i^{\prime }({\omega }^{({\mathbf{p}}_{\mathbf{i}}{)}_j}x)$ for all $j\in [0,n_e]$。
• 10）对于所有的$i\in [0,n_a)$，$\mathcal{P}$和$\mathcal{V}$ 设置$s_i(X)$为the lowest degree univariate polynomial ，满足$s_i({\omega }^{({\mathbf{p}}_{\mathbf{i}}{)}_j}x)=({\mathbf{a}}_{\mathbf{i}}{)}_j$ for all $j\in [0,n_e)$。
• 11）$\mathcal{V}$ responds with challenges $x_1,x_2$，并初始化$Q_0,Q_1,\cdots ,Q_{n_q-1}=\mathcal{O}$。
  • 从$i=0$开始到$n_a-1$，$\mathcal{V}$ 设置$Q_{\sigma (i)}=[x_1]Q_{\sigma (i)}+A_i$。
  • $\mathcal{V}$ 最终设置$Q_0=[x_1^2]Q_i+[x_1]H^{\prime }+R$。
• 12）$\mathcal{P}$ 初始化$q_0(X),q_1(X),\cdots ,q_{n_q-1}=0$。
  • 从$i=0$开始到$n_a-1$，$\mathcal{P}$设置$q_{\sigma (i)}=x_1{q}_{\sigma (i)}+a^{\prime }(X)$。
  • $\mathcal{P}$最终设置$q_0(X)=x_1^2{q}_0(X)+x_1{h}^{\prime }(X)+r(X)$。
• 13）$\mathcal{P}$和$\mathcal{V}$设置 $r_0(X),r_1(X),\cdots ,r_{n_q-1}(X)=0$。
  • 从$i=0$开始到$n_a-1$，$\mathcal{P}$和$\mathcal{V}$ 设置 $r_{\sigma (i)}=x_1{r}_{\sigma (i)}+s_i(X)$。
  • 最终$\mathcal{P}$和$\mathcal{V}$ 设置 $r_0(X)=x_1^2{r}_0+x_{1}h+r$。其中，$\mathcal{V}$是使用$\mathcal{P}$提供的$r,\mathbf{a}$根据$\frac{g^{\prime }(x)}{t(x)}$来计算出$h$的。
• 14）$\mathcal{P}$发送$Q^{\prime }=⟨{\mathbf{q}}^{\prime },\mathbf{G}⟩+[\cdot ]W$，其中${\mathbf{q}}^{\prime }$为如下多项式的系数：
  $q^{\prime }(X)={\sum }_{i=0}^{n_q-1}{x}_2^i\left(\frac{q_i(X)-r_i(X)}{\prod _{j=0}^{n_e-1}\left(X-{\omega }^{{\left({\mathbf{q}}_{\mathbf{i}}\right)}_j}x\right)}\right)$
• 15）$\mathcal{V}$ responds with challenge $x_3$。
• 16）$\mathcal{P}$ 发送$\mathbf{u}\in {\mathbb{F}}^{n_q}$，使得对于所有的$i\in [0,n_q)$，有${\mathbf{u}}_i=q_i(x_3)$。
• 17）$\mathcal{V}$ responds with challenge $x_4$。
• 18）$\mathcal{P}$和$\mathcal{V}$ 设置$P=Q^{\prime }+x_4\sum _{i=0}^{n_q-1}[x_4^i]Q_i$ and $v=$
  $$\sum _{i=0}^{n_q-1}\left(x_2^i\left(\frac{{\mathbf{u}}_i-r_i(x_3)}{\prod _{j=0}^{n_e-1}\left(x_3-{\omega }^{{\left({\mathbf{q}}_{\mathbf{i}}\right)}_j}x\right)}\right)\right)+x_4\sum _{i=0}^{n_q-1}{x}_4{\mathbf{u}}_i$$
• 19）$\mathcal{P}$设置$p(X)=q^{\prime }(X)+[x_4]\sum _{i=0}^{n_q-1}{x}_4^i{q}_i(X)$。
• 20）$\mathcal{P}$ samples a random polynomial $s(X)$ of degree $n-1$ with a root at $x_3$ and sends a commitment $S=⟨\mathbf{s},\mathbf{G}⟩+[\cdot ]W$ 其中$\mathbf{s}$为$s(X)$的系数。
• 21）$\mathcal{V}$ responds with challenge $\xi ,z$。
• 22）$\mathcal{P}$和$\mathcal{V}$设置$P^{\prime }=P-[v]{\mathbf{G}}_0+[\xi ]S$。
• 23）$\mathcal{P}$设置$p^{\prime }(X)=p(X)-v+\xi s(X)$。
• 24）初始化${\mathbf{p}}^{\prime }$为$p^{\prime }(X)$的系数，${\mathbf{G}}^{\prime }=\mathbf{G}$ 且 $\mathbf{b}=(x_3^0,x_3^1,\cdots ,x_3^{n-1})$。$\mathcal{P}$和$\mathcal{V}$将进行$k$轮以下交互，从$j=0$开始到$j=k-1$，对于其中的第$j$轮，有：
  • $\mathcal{P}$发送 $L_j=⟨{\mathbf{p}}_{hi}^{\prime },{\mathbf{G}}_{lo}^{\prime }⟩+[z⟨{\mathbf{p}}_{hi}^{\prime },{\mathbf{b}}_{lo}⟩]U+[\cdot ]W$ 和 $R_j=⟨{\mathbf{p}}_{lo}^{\prime },{\mathbf{G}}_{hi}^{\prime }⟩+[z⟨{\mathbf{p}}_{lo}^{\prime },{\mathbf{b}}_{hi}⟩]U+[\cdot ]W$。
  • $\mathcal{V}$ responds with challenge $u_j$。
  • $\mathcal{P}$和$\mathcal{V}$设置${\mathbf{G}}^{\prime }={\mathbf{G}}_{lo}^{\prime }+u_j{\mathbf{G}}_{hi}^{\prime }$ 和 $\mathbf{b}={\mathbf{b}}_{lo}+u_j{\mathbf{b}}_{hi}$。
  • $\mathcal{P}$设置${\mathbf{p}}^{\prime }={\mathbf{p}}_{lo}^{\prime }+u_j^{-1}{\mathbf{p}}_{hi}^{\prime }$。
• 25）$\mathcal{P}$发送$c={\mathbf{p}}_0^{\prime }$以及合成的blinding factor $f$。
• 26）$\mathcal{V}$ accepts only if ${\sum }_{j=0}^{k-1}[u_j^{-1}]L_j+P^{\prime }+{\sum }_{j=0}^{k-1}[u_j]R_j=[c]{{\mathbf{G}}^{\prime }}_0+[c{\mathbf{b}}_{0}z]U+[f]W$。

参考资料

[1] Halo2 至 Protocol Description