Efficient Zero-Knowledge Argument for Correctness of a Shuffle学习笔记（1）

Stephanie Bayer和Jens Groth 2012年论文《Efficient Zero-Knowledge Argument for Correctness of a Shuffle》。
该论文中主要针对e-voting mix-net构建中用到的shuffle homomorphic encryption场景，提出了an honest verifier zero-knowledge argument for the correctness of a shuffle of homomorphic encryptions 算法，该算法在prove和verify the correctness of a shuffle of 100,000 ElGamal ciphertexts用时均在2分钟左右。

1. 背景知识

• 本论文的argument具有sublinear communication complexity，当shuffle $N(=m\times n)$ ciphertexts时，需要传送$O(m+n)$ group elements 且若$m=n$则最小的communication complexity 为 $O(\sqrt{N})$。
• prover的computational complexity为$O(N\log m)$ exponentiations for constant round arguments或者 若允许logarithmic number of rounds的话， prover的computational complexity可为$O(N)$ exponentiations。
• verifier的计算比较轻量。
• 构建full shuffle argument的基础为：Neff’s approach [Nef01] is based on the invariance of polynomials under permutation of the roots，即Nef01的shuffle算法基于的是：多项式的根permutation的话，其最终形成的多项式是不变的——$f(x)=(x-r_1)(x-r_2)...(x-r_n)$。
• 引入了multi-exponentiation argument，用于hide committed values。
• 基于hidden committed values的shuffle argument。与[Gro09]类似，做了些微改进。
• 主要是利用了EIGamal encryption的乘法同态性和Pedersen commitment的加法同态性。所以需要构建相应的common reference string $\sigma =(pk,ck)$，$pk$为EIGamal encryption的public keys，$ck$为Pedersen commitment的commitment key，两者可以基于不同的group实现，但是要求具有相同的prime order $q$。

其中EIGamal的知识详见：博客 EIGamal encryption VS Pairing encryption。

1. EIGamal具有乘法同态性：
   
2. Pedersen commitment具有加法同态性：
   
   
   

2. Shuffle argument

需要an argument of knowledge of permutation $\pi \in {\sum }_N$ and randomness { ρ i } i = 1 N \{\rho_i\}_{i=1}^N {ρi​}i=1N​ such that for given ciphertexts { C i } i = 1 N \{C_i\}_{i=1}^N {Ci​}i=1N​, { C i ′ } i = 1 N \{C_i^{'}\}_{i=1}^N {Ci′​}i=1N​ we have $C_i^{{}^{\prime }}=C_{\pi (i)}{\epsilon }_{pk}(1;{\rho }_i)$。
Shuffle argument由multi-exponentiation argument和product argument组成：

• multi-exponentiation argument：用于证明the product of a set of ciphertexts raised to a set of committed exponents yields a particular ciphertext。
• product argument：用于证明a set of committed values has a particular product。

主要的实现步骤为：

1. Prover对permutation进行commit，即commit to $\pi (1),\dots ,\pi (N)$。【第一组commitment】
2. Verifier给Prover challenge $x$。
3. Prover commit to $x^{\pi (1)},\dots ,x^{\pi (N)}$。【第二组commitment】
4. Prover提供argument，证明其知道相应的openings of the commitments to permutations of respectively $1,\dots ,N$和$x^1,\dots ,x^N$，同时证明这两组commitment采用的是相同的permutation。【即第二组commitment是对$x^1,\dots ,x^N$ permuted in an order that was fixed before the prover saw $x$】。

• 4.1 为了证明两组commitment采用的是相同的permutation，Verifier给Prover random challenges $y$和$z$。
• 4.2 Prover commit to 一系列 $d_1-z=y\pi (1)+x^{\pi (1)}-z,\dots ,d_N-z=y\pi (N)+x^{\pi (N)}-z$。使用product argument，即可证明${\prod }_{i=1}^N(d_i-z)={\prod }_{i=1}^N(yi+x^i-z)$等式成立。【想象其为$z$的N阶多项式，$d_i$是对其root根$yi+x^i$的permute，基于Schwartz-Zippel lemma可知，针对特定的$z$值Prover伪造找到相应$d_i$值使该等式成立的概率不高于$\frac{N}{q-1}$，可忽略。同理，针对$y$值，Prover伪造两组commitment使等式成立的概率也可忽略。】

5. Prover使用multi-exponentiation argument来证明存在$\rho$值，使得$${\prod }_{i=1}^N{C}_i^{x^i}={\epsilon }_{pk}(1;\rho ){\prod }_{i=1}^N(C_i^{’}{)}^{x^{\pi (i)}}$等式成立。即可实现基于密文$C_i，C_i^{’}$的shuffle证明，而Verifier不知道具体的permutation规则。
   

详细的shuffle argument算法流程为：

3. Multi-exponentiation Argument

将第二节shuffle argument算法流程中的$\vec{a},\vec{b}$向量表示为N=n*m矩阵。
其中的multi-exponentiation argument可表示为：

简化描述，假设$\rho =0$，public info: $\overrightarrow{C_1},...,\overrightarrow{C_m},C$，witness: $\overrightarrow{a_1},...,\overrightarrow{a_m}$，需要证明：$C={\prod }_{i=1}^m{\overrightarrow{C_i}}^{\overrightarrow{a_i}}$。
基本流程为：

1. Prover依次对 $\overrightarrow{a_1},...,\overrightarrow{a_m}$进行commit，将相应的$\overrightarrow{c_A}=(co{m}_{ck}(\overrightarrow{a_1};r_1),...,co{m}_{ck}(\overrightarrow{a_m};r_m))$发送给verfier
2. Prover计算$E_k={\prod }_{1\le i,j\le m;j=(k-m)+i}{\overrightarrow{C_i}}^{\overrightarrow{a_j}}$，将相应的$E_1,E_2,...,E_{2m-1}$发送给Verifier【其中$E_m=C$】。
3. Verifier给Prover challenge $x$。
4. Prover计算$\vec{a}={\sum }_{j=1}^m{x}^j\overrightarrow{a_j}$，将相应的向量$\vec{a}$发送给verifier。
5. Verifier验证$C^{x^m}{\prod }_{k=1;k\ne m}^{2m-1}{E}_k^{x^k}={\prod }_{i=1}^m{\overrightarrow{C_i}}^{(x^{m-i}\vec{a})}$成立，则可证明$C={\prod }_{i=1}^m{\overrightarrow{C_i}}^{\overrightarrow{a_i}}$成立。相应的理论依据为：${\prod }_{i=1}^{2m-1}{E}_k^{x^k}={\prod }_{i=1}^m{\overrightarrow{C_i}}^{(x^{m-i}{\sum }_{j=1}^m{x}^j\overrightarrow{a_j})}={\prod }_{i=1}^m{\overrightarrow{C_i}}^{(x^{m-i}\vec{a})}=C^{x^m}{\prod }_{k=1;k\ne m}^{2m-1}{E}_k^{x^k}=C^{x^m}{\prod }_{k=1;k\ne m}^{2m-1}{\prod }_{1\le i,j\le m;j=(k-m)+i}{\overrightarrow{C_i}}^{\overrightarrow{a_j}{x}^k}=C^{x^m}{\prod }_{i=1}^m{\overrightarrow{C_i}}^{{\sum }_{1\le j\le m;k=m-i+j;k\ne m}\overrightarrow{a_j}{x}^k}$，于是有：$C^{x^m}={\prod }_{i=1}^m{\overrightarrow{C_i}}^{(x^{m-i}{\sum }_{j=1}^m{x}^j\overrightarrow{a_j}-{\sum }_{1\le j\le m;k=m-i+j;k\ne m}\overrightarrow{a_j}{x}^k)}={\prod }_{i=1}^m{\overrightarrow{C_i}}^{\overrightarrow{a_i}{x}^m}=({\prod }_{i=1}^m{\overrightarrow{C_i}}^{\overrightarrow{a_i}}{)}^{x^m}$，从而有：$C={\prod }_{i=1}^m{\overrightarrow{C_i}}^{\overrightarrow{a_i}}$成立。【注意，原论文有的公式有点typo。】

以上流程，可能存在witness泄露的来源点有：
1）为了防止在rewind 第3和第4步时，Verifier用不同的challenge $x$从Prover那获取不同的$\vec{a}={\sum }_{j=1}^m{x}^j\overrightarrow{a_j}$，从而造成witness $\overrightarrow{a_1},...,\overrightarrow{a_m}$的泄露，因此需要引入random vector $\overrightarrow{a_0}\leftarrow {\mathbb{Z}}_q^n$，Prover先commit to $\overrightarrow{a_0}$，然后收到challeng $x$后，直接reveal $\vec{a}=\overrightarrow{a_0}+{\sum }_{j=1}^m{x}^j\overrightarrow{a_j}$，从而能保证witness不被泄露。
2）在第2步给Verifier传输的$E_k={\prod }_{1\le i,j\le m;j=(k-m)+i}{\overrightarrow{C_i}}^{\overrightarrow{a_j}}$值，可能也会造成witness $\overrightarrow{a_1},...,\overrightarrow{a_m}$的泄露。可在此基础上乘以randomn ciphertext ${\epsilon }_{pk}(G^{b_k};{\tau }_k)$【相应地，Prover需在收到challeng $x$前，对$b_k$进行commit $c_{B_k}=co{m}_{ck}(b_k;s_k)$】，为了仍然保证$E_m=C$成立，则要求$b_m=0,s_m=0$。
若考虑$\rho \ne 0$的正常情况，为了仍然保证$E_m=C$成立，相应的要求${\tau }_m=\rho$。
$\begin{array}{ccc}& \left(\begin{array}{ccccc}\overrightarrow{a_0}& \overrightarrow{a_1}& \cdots & \overrightarrow{a_{m-1}}& \overrightarrow{a_m}\end{array}\right)& \\ \left(\begin{array}{c}\overrightarrow{C_1}\\ \overrightarrow{C_2}\\ ⋮\\ \overrightarrow{C_m}\end{array}\right)& \left(\begin{array}{ccccc}{\overrightarrow{C_1}}^{\overrightarrow{a_0}}& {\overrightarrow{C_1}}^{\overrightarrow{a_1}}& \ddots & {\overrightarrow{C_1}}^{\overrightarrow{a_{m-1}}}& {\overrightarrow{C_1}}^{\overrightarrow{a_m}}\\ {\overrightarrow{C_2}}^{\overrightarrow{a_0}}& {\overrightarrow{C_2}}^{\overrightarrow{a_1}}& \ddots & {\overrightarrow{C_2}}^{\overrightarrow{a_{m-1}}}& {\overrightarrow{C_2}}^{\overrightarrow{a_m}}\\ \ddots & \ddots & \ddots & \ddots & \ddots \\ {\overrightarrow{C_m}}^{\overrightarrow{a_0}}& {\overrightarrow{C_m}}^{\overrightarrow{a_1}}& \ddots & {\overrightarrow{C_m}}^{\overrightarrow{a_{m-1}}}& {\overrightarrow{C_m}}^{\overrightarrow{a_m}}\end{array}\right)& \begin{array}{c}\\ {\epsilon }_{pk}(G^{b_{2m-1}};{\tau }_{2m-1})E_{2m-1}\\ ⋮\\ {\epsilon }_{pk}(G^{b_{m+1}};{\tau }_{m+1})E_{m+1}\\ {\epsilon }_{pk}(1;\rho )E_m\end{array}\\ & \begin{array}{cccc}{\epsilon }_{pk}(G^{b_0};{\tau }_0)E_0& {\epsilon }_{pk}(G^{b_1};{\tau }_1)E_1& \cdots & {\epsilon }_{pk}(G^{b_{m-1}};{\tau }_{m-1})E_{m-1}\end{array}& \end{array}$
详细算法如下图所示：

3.1 Prover的计算压力

在上述Multi-exponentiation Argument中，Prover需要计算$E_0,\cdots ,E_{2m-1}$，即对于$k=1,\cdots ,2m-1$，有：
$E_k={\prod }_{1\le i,j\le m;j=(k-m)+i}{\overrightarrow{C_i}}^{\overrightarrow{a_j}}={\prod }_{i=1,j=1;j=(k-m)+i}^{m,m}{\overrightarrow{C_i}}^{\overrightarrow{a_j}}$
对应的计算量有：
1）需有$m^2$次${\overrightarrow{C_i}}^{\overrightarrow{a_j}}$次product运算；
2）${\overrightarrow{C_i}}^{\overrightarrow{a_j}}={\prod }_{l=1}^n{C}_{il}^{a_{il}}$有$n$次exponentiation运算in $\mathbb{H}$。
从而$E_k$有$m{n}^2$次exponentiation运算in $\mathbb{H}$。

当$m$较大时，Prover的计算压力很大，可通过多项式插值（FFT）或Toom-Cook或增加Verifier与Prover交互次数等方式来优化：

• FFT：
  
  
• Toom-Cook：
  
• 增加Verifier与Prover交互次数：基本思路为：$m\times m$矩阵内元素真正有效的仅为对角线上的元素，不需要计算所有$m^2$个元素，转为将$m\times m$矩阵切分为小的block矩阵$\mu \times \mu$（其中$m=\mu m^{\prime }$），只需要关注对角线上的block，并使用递归证明对角线block上的内容即可。
  $\left(\begin{array}{cccc}{\overrightarrow{C_1}}^{\overrightarrow{a_1}}& \ddots & {\overrightarrow{C_1}}^{\overrightarrow{a_{m-1}}}& {\overrightarrow{C_1}}^{\overrightarrow{a_m}}\\ {\overrightarrow{C_2}}^{\overrightarrow{a_1}}& \ddots & {\overrightarrow{C_2}}^{\overrightarrow{a_{m-1}}}& {\overrightarrow{C_2}}^{\overrightarrow{a_m}}\\ \ddots & \ddots & \ddots & \ddots \\ {\overrightarrow{C_m}}^{\overrightarrow{a_1}}& \ddots & {\overrightarrow{C_m}}^{\overrightarrow{a_{m-1}}}& {\overrightarrow{C_m}}^{\overrightarrow{a_m}}\end{array}\right)$
  
  

3.2 Prover的计算优化实现

针对3.1中的计算压力，在https://github.com/3for/verifiable-shuffle中分别做了相应的优化实现：

# This parameter determine which version of the program is executed.
# 0 stands for no optimization inside of the code
# 1 uses multi-exponentiation techniques
# 2 uses multi-exponentiation techniques and FFT to find values E_i
# 3 uses multi-exponentiation techniques, extra interaction and Toom-Cook 4 to find values E_i, in this case m =16 or 64\n
3

参考资料：
[1] 2012年论文《Efficient Zero-Knowledge Argument for Correctness of a Shuffle》
[2] PPT 《Efficient Zero-Knowledge Argument for Correctness of a Shuffle》
[3] 博客 向量的Hadamard product VS Inner product
[4] 博客 EIGamal encryption VS Pairing encryption