技术干货 | 理解零知识证明算法之Bulletproofs:Range Proof I_区块链:ROO

前言

Bulletproofs,又一个有意思的零知识证明算法,相信读者已经很熟悉它了。和zk-snark相比,它不需要可信设置;和zk-stark算法相比,它具有较小的proofsize。根据论文,它有两个方面的应用:1.用于rangeproof;2.用于一般算术电路的零知识证明。下面,让我们先看一下Bulletproofs是如何高效的实现第一点。

Rangeproof

1.?预备知识

aL:表示向量{a1,a2……an}

2n:表示向量{20,21…2n-1}

<a,b>:表示向量内积∑ai*bi,结果是一个值

aob:向量对应位相乘,{a1*b1……an*bn},结果是一个向量

2.?证明

Alice想要证明

v?

=>则,需要证明一个relation得成立,如下所示:

{:V=grhv^v?}

public-x??????????witness-wrelation-R

即,对于公开信息x,Alice有隐私信息w,使得关系R成立。

令aL为金额v的在范围内的二进制形式,则aL={a1,a2……an}?{0,1}n,且满足<aL,2n>=v。因此,证明者需要证明以下几个等式相等:

北京市西城区:围绕、区块链等核心数字技术领域,支持建立国家和市级重点实验室等创新平台:1月3日消息,《北京市西城区加快推进数字经济发展若干措施(试行)》发布,其中包括积极承接国家及市级重点任务。围绕5G、大数据、人工智能、区块链等核心数字技术领域,支持建立国家和市级重点实验室、工程研究中心、技术创新中心等创新平台。

加快新一代信息技术产业发展。鼓励5G、网络安全、大数据、区块链等重点领域快速发展,支持关键技术研发和行业应用,支持在智慧城市建设、民生服务等领域率先形成应用示范,培育一批优势企业,打造协同共生的产业生态。[2021/1/3 16:19:48]

V=grhv????(1)

<aL,2n>=v???(2)

aLoaR=0n??(3)

aR=aL-1n???(4)

等式(1)确保了承诺V和金额v的绑定关系,等式(2)确保了v的范围,等式(3)(4)确保了a

L元素只属于{0,1}。等式(2)/(3)/(4)总共包含了2n+1个约束,其中公式(2)1个,公式(3)(4)各n个。接下来,为了效率,我们需要把2n+1个约束转换成1个约束。

3.?2n+1个约束转换成1个约束

=>预备:从Zp中任意选择一个数y,则b=0n是等式<b,yn>=0成立的充分条件;因为当b!=0n,等式成立的概率仅有n/p,p是有限域,远大于n。因此,如果有<b,yn>=0,那么验证者愿意相信b!=0n。

声音 | 工行原行长杨凯生:目前一些银行借助区块链等新技术提供个性化服务:据第一财经消息,近日,在神州信息2019Fintech高峰论坛上,中国工商银行原行长杨凯生表示,目前一些银行借助云计算、大数据、区块链、人工智能等新技术,依托云计算技术能力和银行相对比较完善的管理制度及社会公信力,为一些优质客户提供云承载,进而对各类客户进行细分行业和细分服务需求,努力提供定制化个性化的服务。在一定程度上可以说商业银行“金融生态云”体系已经诞生并正在迅速发展。可以预料,这将成为银行转型的一个新方向。[2019/7/25]

利用这个理论,我们把等式(2)/(3)/(4)做以下转换:

1.验证者随机选取一个数y发送给证明者;

2.证明者要证明:

<aL,2n>=v(5)

<aL,aRoyn>=0???????(6)

<aL-1n-aR,yn>=0???(7)

同理,等式(5)确保了v的范围,等式(6)(7)确保了a

L元素只属于{0,1}。此时2n+1个约束转换成3个约束,接下来,还需要做进一步的处理:

1.验证者随机选取一个数z发送给证明者:

2.证明者利用z对公式(5)(6)(7)进行线性组合,得到如下公式:

声音 | 工信部总经济师王新哲:努力攻克区块链等前沿技术:2018中国“互联网+”峰会今日在中国科技会堂召开。工信部总经济师王新哲强调,持续推进国家制造业创新中心建设,加快构建产学研用融合协同的技术创新体系,努力攻克高端芯片、工业操作系统、工业软件等基础技术以及下一代网络、人工智能、区块链等前沿技术。[2018/12/4]

z2*<aL,2n>+z*<aL-1n-aR,yn>+<aL,aRoyn>=z2*v???(8)

至此,我们已经把2n+1个约束转换成1个约束。下面我们对公式(8)做进一步的优化,把三个点积优化成1个点积

4.?三个点积优化成1个点积

=>z2*<aL,2n>+z*?<aL-1n-aR,yn>+<aL,aRoyn>=z2*v

=><aL,z2*2n>+<aL,z*yn>-<z*1n,yn>-<z*aR,yn>+<aL,aRoyn>=z2*v

=><aL,aRoyn+z*yn+z2*2n>-<z*1n,yn>+<z*1n,ynoaR>=z2*v

=><aL,aRoyn+z*1noyn+z2*2n>-<z*1n,yn+ynoaR>=z2*v

动态 | 陕西利用区块链等技术助力苹果产业发展:据人民网消息,近日,《陕西国家级苹果产业大数据中心建设方案》通过专家评审,根据方案,陕西省将坚持“大平台、大数据、大系统”的建设原则,重点利用区块链等数字科技,解决品牌认证的数据可信问题,让大数据服务苹果品牌,快速提升品牌价值[2018/11/20]

=><aL,(aR+z*1n)oyn+z2*2n>-?<z*1n,yn+ynoaR>=z2*v

=><aL,(aR+z*1n)oyn+z2*2n>-?<z*1n,(aR+z*1n)oyn+z2*2n-z*1n*yn+yn-z2*2n>?=?z2*v

=>?<aL-z*1n,(aR+z*1n)oyn+z2*2n>-<z*1n,-z*1n*yn+yn-z2*2n>=?z2*v

=>?<aL-z*1n,(aR+z*1n)oyn+z2*2n>=z2*v+<z*1n,-z*1n*yn+yn-z2*2n>

=>?<aL-z*1n,(aR+z*1n)oyn+z2*2n>=z2*v+<z*1n,(-z*1n+1n)*yn>-<z*1n,?z2*2n>

=>?<aL-z*1n,(aR+z*1n)oyn+z2*2n>=z2*v+(z–z2)*<1n,yn>-z3*<1n,2n>???(9)

医疗保健公司TrustedHealth希望利用区块链技术为患者服务:据cointelegraph报道,医疗保健公司TrustedHealth准备推出基于区块链的生态系统,旨在为患有慢性疾病的患者提供服务。在TrustedHealth的平台上,患者可以快速咨询擅长其病症的医生,区块链技术会显著改善患者敏感数据的存储,并使患者与医疗保健提供商能够快速交换信息。[2018/3/19]

=>?令

L=?aL-z*1n

R=?(aR+z*1n)oyn+z2*2n

δ=?(z–z2)*<1n,yn>-z3*<1n,2n>

5.验证:

1.证明者把L/R/V发送给验证者;

2.验证者事先算好δ

3.验证者根据L算出来aL,根据<aL,2n>=v算出v

4.验证者根据L,R,v,δ验证等式<L,R>=z2*v+δ

因为y,z都是验证者提供,因此如果验证者如果能验证公式(9)成立,则相信等式(5)(6)(7)成立,则相信等式(2)(3)(4)成立,则相信v满足关系v?。

但是,可以看到上述过程,泄露了v的信息,因此需要一个零知识证明协议。

6.?一个零知识证明协议

由于L,R包含了v的相关信息,因此,我们需要添加两个盲因子s

L

、s

R来隐藏a

L,a

R。如公式(10)(11)所示:

l(X)=(aL-z*1n)+sL*X)??(10)

r(X)=(aR+z*1n+sR*X)oyn+z2*2n???(11)

此时,定义公式(12)

t(X)=<l(X),r(X)>=t0+t1*X+t2*X2???(12)

可以看出系数t

0是l(x)和r(x)常数项的乘积,即满足:

t0=<L,R>=z2*v+δ

因此,问题由证明:

<L,R>=z2*v+δ

转化成了,在任意一点x,验证者验证多项式值l(x),r(x),t(x)满足关系:

<l(x),r(x)>=t(x)

多项式值l(x),r(x),t(x)由证明者提供,为了保证l(x),r(x)well-formed,即:

l(x)=(aL-z*1n)+sL*x)

r(x)=(aR+z*1n+sR*x)oyn+z2*2n

需要校验:

P=A*Sx*g(-z)*(h`)z*yn+z^2*2^n

=hαgaLhaR*(hρgsLhsR)x*g(-z)*(h`)z*y^n+z^2*2^n

=hαgaLhaR*?hρxgsL*xhsR*x*g(-z)*(h`)z*y^n+z^2*2^n

=hα+ρx*gaL+sL*x–z*1^n*haR+sR*x*(h`)z*y^n+z^2*2^n

=hα+ρx*gaL+sL*x–z*1^n*(h`)y^no(aR+sR*x)*(h`)z*y^n+z^2*2^n

=hα+ρx*gaL+sL*x–z*1^n*(h`)y^no(aR+sR*x)+z*y^n+z^2*2^n

=hα+ρx*gaL+sL*x–z*1^n*(h`)y^no(aR+sR*x+z*1^n)+z^2*2^n

=?hμgl(h`)r

=>当且仅当l/rwell-formed,等式成立

为了保证t(x)well-fromed,即:

t=t0+t1x+t2x2

需要校验:

=>gthτx=?Vz^2*gδ*T1x*T2x^2

=>gthτx=?(hrgv)z^2*gδ*(gt1)x*(hτ1)x*(gt2)x^2*(hτ2)x^2

=>gthτx=?hz^2*r+τ1*x+τ2*x^2*gz^2*v+δ+t1*x+t2*x^2

=>gthτx=?hz^2*r+τ1*x+τ2*x^2*gt0+t1*x+t2*x^2

=>t=?t0+t1*x+t2*x2&&τx=?z2*r+τ1*x+τ2*x2

=>当且仅当t和τxwelle-formed,等式成立

具体的协议流程图如下图所示:

总结

从上述流程可以看出,一次rangeproof,证明者需要发送总共{

l/r/t/

τ

x

/

μ

/T1/T2/A/S}个元素给验证者,总共2n+3个Z

p元素,4个G元素。下一篇文章将细讲,Bulletproofs如何将交互复杂度降低到对数级O(log(n))

附录

1.Bulletproofs论文:

chrome-extension://cdonnmffkdaoajfknoeeecmchibpmkmg/assets/pdf/web/viewer.html?file=https%3A%2F%2Feprint.iacr.org%2F2017%2F1066.pdf

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

[0:15ms0-7:830ms