Zcash中的zk-SNARK statements

1. 引言

zero-knowledge proving system为a cryptographic protocol，用于证明：

• a particular statement，dependent on primary and auxiliary inputs, in zero knowledge —— 即，不需要reveal auxiliary inputs信息的情况下，可证明该statement。

Zcash中使用的zero-knowledge proving system类型为：

• preprocessing zk-SNARK [BCCGLRT2014-Zerocash: Decentralized Anonymous Payments from Bitcoin (extended vesion)]

preprocessing zk-SNARK instance中定义了如下类型：

• $ZK.ProvingKey$
• $ZK.VerifyingKey$
• $ZK.PrimaryInput$
• $ZK.AuxiliaryInput$
• $ZK.Proof$
• $ZK.Satisfyinginputs\subseteq ZK.PrimaryInput\times ZK.AuxiliaryInput$
• $ZK.Gen:(){\to }_{R}ZK.ProvingKey\times ZK.VerifyingKey$
• $ZK.Prove:ZK.ProvingKey\times ZK.SatisfyingInputs\to ZK.Proof$
• $ZK.Verify:ZK.VerifyingKey\times ZK.PrimaryInput\times ZK.Proof\to \mathbb{B}$

zk-SNARK应满足如下安全属性：

• completeness
• knowledge soundness
• statistical zero knowledge

Zcash中采用了2种proving system：

• BCTV14，采用BN-254 pairing来prove and verify Sprout JoinSplit statement。
• Groth16，采用BLS12-381 pairing来prove and verify Sapling Spend Statement和Output Statement。

Zcash中涉及的zk-SNARK statements主要有：

• JoinSplit Statement (Sprout)——ZKJoinSplit
• Spend Statement (Sapling)——ZKSpend
• Output Statement (Sapling)——ZKOutput

2. Spend Statement (Sapling)

Spend Statement ${\pi }_{ZKSpend}$ 中的primary input 有：【即public input】

• $r{t}^{Sapling}:{\mathbb{B}}^{[l_{Merkle}^{Sapling}]}$：为anchor。
• $c{v}^{old}$：为$ValueCommi{t}^{Sapling}.Output$，为$\mathbb{J}$类型。
• $n{f}^{old}$：为${\mathbb{B}}^{{\mathbb{Y}}^{[l_{PRFnfSapling}/8]}}$。
• $rk$：为$SpendAuthSi{g}^{Sapling}.Public$，为$\mathbb{J}$类型。

仅Prover知道的auxiliary input有：【即witness】

• $path$：为${\mathbb{B}}^{[l_{Merkle}^{Sapling}][MerkleDept{h}^{Sapling}]}$
• $pos$：取值范围为 { 0.. 2 M e r k l e D e p t h S a p l i n g − 1 } \{0..2^{MerkleDepth^{Sapling}}-1\} {0..2MerkleDepthSapling−1}
• $g_d$：$\mathbb{J}$
• $p{k}_d$：$\mathbb{J}$
• $v^{old}$：取值范围为 { 0.. 2 l v a l u e − 1 } \{0..2^{l_{value}}-1\} {0..2lvalue​−1}
• $rc{v}^{old}$：取值范围为 { 0.. 2 l s c a l a r S a p l i n g − 1 } \{0..2^{l_{scalar}^{Sapling}}-1\} {0..2lscalarSapling​−1}
• $c{m}^{old}$：$\mathbb{J}$
• $rc{m}^{old}$：取值范围为 { 0.. 2 l s c a l a r S a p l i n g − 1 } \{0..2^{l_{scalar}^{Sapling}}-1\} {0..2lscalarSapling​−1}
• $\alpha$：取值范围为 { 0.. 2 l s c a l a r S a p l i n g − 1 } \{0..2^{l_{scalar}^{Sapling}}-1\} {0..2lscalarSapling​−1}
• $ak$：为$SpendAuthSi{g}^{Sapling}.Public$，为$\mathbb{J}$类型。
• $nsk$：取值范围为 { 0.. 2 l s c a l a r S a p l i n g − 1 } \{0..2^{l_{scalar}^{Sapling}}-1\} {0..2lscalarSapling​−1}

${\pi }_{ZKSpend}$ 需证明以下关系：

• 1）Note commitment integrity，即：$c{m}^{old}=NoteCommi{t}_{rc{m}^{old}}^{Sapling}(rep{r}_{\mathbb{J}}(g_d),rep{r}_{\mathbb{J}}(p{k}_d),v^{old})$。【注意，不会check that $rc{m}^{old}<r_{\mathbb{J}}$。】
• 2）Merkle path validity，即：要么$v^{old}=0$；要么，$(pos,path)$为 由 $c{m}_u=Extrac{t}_{{\mathbb{J}}^{(r)}}(c{m}^{old})$ 到 anchor（即merkle root）$r{t}^{Sapling}$ 的valid Merkle path of depth $MerkleDept{h}^{Sapling}$。【在Merkle path vvalidity check中，每一层都不会check that its input bit sequence is a cannonical encoding (in { 0.. q J − 1 } \{0..q_{\mathbb{J}}-1\} {0..qJ​−1}) of the integer from the previous layer。】
• 3）Value commitment integerity，即：$c{v}^{old}=ValueCommi{t}_{rc{v}^{old}}^{Sapling}(v^{old})$。【注意，不会check that $rc{v}^{old}<r_{\mathbb{J}}$。】
• 4）Small order checks，即：$g_d和ak$ 不是small order的，即 $[h_{\mathbb{J}}]g_d\ne {\mathcal{O}}_{\mathbb{J}}$ 且 $[h_{\mathbb{J}}]ak\ne {\mathcal{O}}_{\mathbb{J}}$。
• 5）Nullifier integrity，即：$n{f}^{old}=PR{F}_{nk\star }^{nfSapling}(\rho \star )$，其中$nk\star =rep{r}_{\mathbb{J}}([nsk]{\mathcal{H}}^{Sapling}),\rho \star =rep{r}_{\mathbb{J}}(MixingPedersenHash(c{m}^{old},pos))$。
• 6）Spend authority，即：$rk=SpendAuthSi{g}^{Sapling}.RandomizePublic(\alpha ,ak)=ak+[\alpha ]{\mathcal{G}}^{Sapling}$。【注意，在Spend statement中不会check that $rk$ is not of small order，但是在Spend statement之外会check。】
• 7）Diversified address integrity，即：$p{k}_d=[ivk]g_d$，其中$ivk=CR{H}^{ivk}(ak\star ,nk\star ),ak\star =rep{r}_{\mathbb{J}}(ak)$。

3. Output Statement (Sapling)

相关参数有：

• $l_{Merkle}^{Sapling}$：255
• $l_{scalar}^{Sapling}$：252

Output Statement ${\pi }_{ZKOutput}$ 中的primary input 有：【即public input】

• $c{v}^{new}$：$ValueCommi{t}^{Sapling}.Output$，为$\mathbb{J}$类型。
• $c{m}_u$：${\mathbb{B}}^{[l_{Merkle}^{Sapling}]}$。
• $epk$：为$\mathbb{J}$类型。

仅Prover知道的auxiliary input有：【即witness】

• $g_d$：$\mathbb{J}$
• $pk{\star }_d$：$\mathbb{J}$
• $v^{new}$：取值范围为 { 0.. 2 l v a l u e − 1 } \{0..2^{l_{value}}-1\} {0..2lvalue​−1}
• $rc{v}^{new}$：取值范围为 { 0.. 2 l s c a l a r S a p l i n g − 1 } \{0..2^{l_{scalar}^{Sapling}}-1\} {0..2lscalarSapling​−1}
• $rc{m}^{new}$：取值范围为 { 0.. 2 l s c a l a r S a p l i n g − 1 } \{0..2^{l_{scalar}^{Sapling}}-1\} {0..2lscalarSapling​−1}
• $esk$：取值范围为 { 0.. 2 l s c a l a r S a p l i n g − 1 } \{0..2^{l_{scalar}^{Sapling}}-1\} {0..2lscalarSapling​−1}

${\pi }_{ZKOutput}$ 需证明以下关系：

• 1）Note commitment integrity，即：$c{m}_u=Extrac{t}_{{\mathbb{J}}^{(r)}}(NoteCommi{t}_{rc{m}^{new}}^{Sapling}(g{\star }_d,pk{\star }_d,v^{new}))$，其中$g{\star }_d=rep{r}_{\mathbb{J}}(g_d)$。【注意，不会check that $rc{m}^{new}<r_{\mathbb{J}}$。】【注意，the validity of $pk{\star }_d$ is not checked in this circuit。】
• 2）Value commitment integerity，即：$c{v}^{new}=ValueCommi{t}_{rc{v}^{new}}^{Sapling}(v^{new})$。【注意，不会check that $rc{v}^{new}<r_{\mathbb{J}}$。】
• 3）Small order checks，即：$g_d$ 不是small order的，即 $[h_{\mathbb{J}}]g_d\ne {\mathcal{O}}_{\mathbb{J}}$。
• 4）Ephemeral public key integrity，即：$epk=[esk]g_d$。

4. Zcash中的Groth16 zk-SNARKs proving system

Zcash在Sapling中使用的zk-SNARKs proving system 为Groth16，对应的论文为：

• BGM2017-Scalable Multi-party Computation for zk-SNARK Parameters in the Random Beacon Model

该论文在 Groth16-On the Size of Pairing-based Non-interactive Arguments 的基础上进行了改进。
对应的独立的security proof和setup见 Maller2018-A Proof of Security for the Sapling Generation of zk-SNARK Parameters in the Generic Group Model。

Groth16 zk-SNARK proof 支持的是 version 4 transaction，可用于：

• Sprout JoinSplit descriptions
• Sapling Spend descriptions
• Sapling Output descriptions

Groth16 proof组成为：$({\pi }_A:{\mathbb{S}}_1^{(r)\ast },{\pi }_B:{\mathbb{S}}_2^{(r)\ast },{\pi }_C:{\mathbb{S}}_1^{(r)\ast })$

当采用BLS12-381 pairing时，整个proof可encode为：【共 192 bytes。】

除了采用Groth16方案验证以上proof是否正确之外，Verifier 还需额外做如下验证：

• encoding proof中的每个元素的leading bitfield为符合要求的form；
• encoding proof中每个元素 除leading bitfield之外的 remaining bits 以big-endian的形式表示了an integer，该integer的取值范围为 { 0 , q s − 1 } \{0,q_{\mathbb{s}}-1\} {0,qs​−1}。对于${\pi }_B$，则表示的是two integers，者两个integer的取值范围为 { 0 , q s − 1 } \{0,q_{\mathbb{s}}-1\} {0,qs​−1}。
• encoding proof中的每个元素表示的是point in ${\mathbb{S}}_1^{(r)\ast }$ 或者 ${\mathbb{S}}_2^{(r)\ast }$（${\pi }_B$），需验证该point的order为$r_{\mathbb{S}}$。

参考资料

[1] Zcash Protocol Specification