Jolt-b：改进了Jolt递归友好性的zkVM

mutourend

已于 2024-09-02 18:20:23 修改

阅读量564

点赞数 19

分类专栏： zkVM 文章标签： zkVM

于 2024-08-30 18:10:52 首次发布

本文链接：https://blog.csdn.net/mutourend/article/details/141724314

版权

135 篇文章 23 订阅

订阅专栏

1. 引言

前序博客：

Jolt的作者提出了用一种独特的方法来构建zkVM——lookup singularity。

该技术大量使用查找表来创建虚拟机电路
使得其性能为同类竞品的2倍+，详情见a16z crypto 2024年4月9日博客 Building Jolt: A fast, easy-to-use zkVM

早期https://github.com/a16z/jolt代码中，使用Spartan和Hyrax作为后端，从而有2大限制：
1）Hyrax使用Pedersen commitment来构建inner product argument，需要椭圆曲线运算。
2）Hyrax承诺的验证使用为平方根关系 $O(\sqrt{N})$ ，其中 $N$ 为电路size。

这2大限制会导致Jolt proof的递归验证不切实际，因为在该验证电路内，需执行所有的Hyrax验证逻辑。

通过转至Goldilocks的扩域，解决了以上问题
所用的Basefold承诺方案，verifier time为 $O(\log^2(N))$
该方式类似于Plonky2加强了原始的Plonk方案。
- Plonky2中将EC域迁移至了Goldilocks域
- Plonky2中将基于EC的承诺方案，替换为了基于encoding的承诺方案。
借助优化版本的Basefold方案，所实现的Jolt-b：
- 以“prover减慢2.47倍”为代价，来实现原始Jolt的递归友好性。
- 比Zeromorph的Jolt变种，prover time快1.24倍。
- 比HyperKZG的Jolt变种，prover time快1.52倍。

开源代码实现见：

zkVM可执行任意大小的程序，并为证明该执行生成一个ZK proof。
支持任意大小程序的关键在于：

Jolt-b：

致力于改进a16z crypto所开发的Jolt zkVM的递归友好性，使其效率更高
与Jolt不同，采用了名为Basefold的多项式承诺方案。
- 因为Hyrax是recursion-unfriendly（递归不友好）的
- 通过使用Basefold变种，可转向更小的域
- 从而不仅带来更高效的IOP，还可加强递归友好性。

在这里插入图片描述
此外，Cysic团队认为：

以Binius作为proof后端来构建zkVM并不是一种好策略，但认为Binius有利于pre-compiles预编译。
Binius的整个价值主张是，可为witnesses使用最小的power-of-two域，因此只需所需来选择域大小。为了支持u16或u32结构上的运算，需要将tower向上移动或使用lookup。这需要interpreter（解释器）仔细考虑，以决定在哪个域上工作，并为proof recursion增加了额外的复杂性。
最后，用Binius编写的Keccak电路，与Poseidon电路相比，仍然需要至少多两个数量级的门。