椭圆曲线形式下的Pedersen commitment——vector commitment和polynomial commitment

最新推荐文章于 2024-03-06 20:50:03 发布

mutourend

最新推荐文章于 2024-03-06 20:50:03 发布

阅读量2k

点赞数 3

分类专栏：零知识证明

本文链接：https://blog.csdn.net/mutourend/article/details/97012468

版权

零知识证明专栏收录该内容

343 篇文章 145 订阅

订阅专栏

1. 椭圆曲线下的Pedersen commitment

椭圆曲线下Pedersen commitment可用scalar multiplication of curve points来表示：
$C = r H + a G$
其中， $C$ 为椭圆曲线上的一个点curve point，作为commitment； $a$ 为commit to 的数值； $r$ 为随机数，可提供隐藏功能； $G$ 为所选择椭圆曲线广泛接受的generator； $H$ 为椭圆曲线上的另一个点，且保证无任何可推导 $q$ ，使得 $H = q G$ ，这个H与G直接无明确关系非常重要。

如需open commitment $C$ ，需要提供r值和a值。

Pedersen commitment具有加法同态性：
$C(r_1,a_1)+C(r_2,a_2)=r_1H+a_1G+r_2H+a_2G=(r_1+r_2)H+(a_1+a_2)G=C(r_1+r_2,a_1+a_2)$

2. Vector Pedersen Commitment 向量commitment

$C=rH+(v_1G_1+v_2G_2+....+v_nG_n)=rH+\vec v\vec G$
其中，各个 $G_i$ 可由 $H a s h (e n c o d e (G) ∣ ∣ i)$ 来获取。

如需open commitment $C$ ，需要提供随机数r值和向量值 $\vec v$ 。

向量值 $\vec v$ 中可以有大量元素，但最终的commitment只为椭圆曲线上的一个点 $C$ 。

也可以同时对多个Vector进行commitment，如对 $\vec v,\vec w$ 同时commitment：
$C=rH+\vec v\vec G+\vec w\vec H$
其中，各个 $H_i$ 可由 $H a s h (e n c o d e (H) ∣ ∣ i)$ 来获取，即curve point $H$ 不在vector $\vec H$ 中。

3. A zero knowledge argument of knowledge of a set of vectors——一系列向量的零知识证明

假设有m个向量 $\vec x_1,\vec x_2, ..., \vec x_m$ ，且每个向量都有N个元素（ $N! = m$ ）。已知各个向量的commitment为：
$C_1=r_1H+\vec x_1 \vec G$
$C_2=r_2H+\vec x_2 \vec G$
$. . .$
$C_m=r_mH+\vec x_m \vec G$

以下 $P$ 代表prover, $V$ 代表Verifier。
a) $\rightarrow V: C_0$ (a new commitment to a newly chosen random vector of dimension N)
b) $\rightarrow P: e$ (a random scalar，也可称为challenge值。)
c) $\rightarrow V: (\vec z, s)$ (a single vector of dimension N, and another scalar)
其中：
$\vec z=\sum_{i=0}^{m}e^i\vec x_i, \quad s=\sum_{i=0}^{m}e^ir_i$

通过随机数 $e$ ，可很好的隐藏向量 $\vec x$ ，如取 $\vec z$ 向量的第二个元素—— $z_2=x_{02}+ex_{12}+...+e^mx_{m2}$ 。
有1*m维矩阵：
$1,e,e^2,...,e^m)$
使得z值无法获取相应的x值。

对于Verifier，只需验证：
$\sum_{i=0}^{m}e^iC_i=?sH+\vec z\vec G$

证明过程如下：
$sH+\vec z\vec G=\sum_{i=0}^{m}e^i(r_iH)+\sum_{i=0}^{m}e^i\vec x_i\vec G=\sum_{i=0}^{m}e^i(r_iH+\vec x_i\vec G)=\sum_{i=0}^{m}e^iC_i$

由以上证明可知，Verifer可根据信息 $(C_0,e,(\vec z, s))$ ，可信服honest prover的proof $(\vec z, s)$ 。

但是对于不诚信的prover，他可以随机选择 $e,(\vec z, s)$ 值，并根据之前已生成的 $C_1,C_2,...,C_m$ 值，推导出 $C_0=(sH+\vec z\vec G)-(\sum_{i=1}^{m}e^{i}C_i)$ ，
使得 $\sum_{i=0}^{m}e^iC_i=C_0+\sum_{i=1}^{m}e^{i}C_i=(sH+\vec z\vec G)-(\sum_{i=1}^{m}e^{i}C_i)+\sum_{i=1}^{m}e^{i}C_i=sH+\vec z\vec G$ 恒成立，因此，对于此种情况，不诚信的prover可伪造相应的证明。

若需要open此种情况下的commitment，需要提供 $C_1,C_2,...C_m$ 对应的共m个scalar数 $r_1,r_2,...,r_m$ ，以及 $m * N$ 个向量元素 $x_{11},x_{12},...,x_{mN}$ 。

3.1 一系列向量的零知识证明的soundness验证

修改上面的流程，重复a)b)c)步骤m+1次，每次均为scalar e提供不同的随机值 $e_j$ ：
$(C_{0,0},e_0,(\vec z_0,s_0))$
$(C_{0,1},e_1,(\vec z_1,s_1))$
$(C_{0,2},e_2,(\vec z_2,s_2))$
$. . .$
$(C_{0,m},e_m,(\vec z_m,s_m))$

相应地：
$\vec z_j=\sum_{i=0}^{m}e_j^i\vec x_i, \quad s_j=\sum_{i=0}^{m}e_j^ir_i, \quad 其中j\in [0,m]$

则有(m+1)*(m+1)维矩阵：
$A^{-1}=\begin{pmatrix} 1& e_0& e_0^2 &... &e_0^m \\ 1& e_1& e_1^2 &... &e_1^m\\ 1& e_2& e_2^2 &... &e_2^m\\ ...& & & & \\ 1& e_m& e_m^2 &... &e_m^m \end{pmatrix}$
使得z值无法获取相应的x值。该矩阵为Vandermonde 矩阵。
若 $e_0,e_1,...,e_m$ 互异，则存在对应的逆矩阵为：
$A=\begin{pmatrix} a_{00}& a_{01}& a_{02}&... &a_{0m} \\ a_{10}& a_{11}& a_{12}&... &a_{1m} \\ a_{20}& a_{21}& a_{22}&... &a_{2m} \\ ...& & & & \\ a_{m0}& a_{m1}& a_{m2}&... &a_{mm} \end{pmatrix}$

相应的Z也为矩阵，满足：
$Z=A^{-1}X=\begin{pmatrix} 1& e_0& e_0^2 &... &e_0^m \\ 1& e_1& e_1^2 &... &e_1^m\\ 1& e_2& e_2^2 &... &e_2^m\\ ...& & & & \\ 1& e_m& e_m^2 &... &e_m^m \end{pmatrix}\begin{pmatrix} \vec x_0\\ \vec x_1\\ \vec x_2\\ ... \\ \vec x_m \end{pmatrix}=\begin{pmatrix} \sum_{i=0}^{m}e_0^i\vec x_i\\ \sum_{i=0}^{m}e_1^i\vec x_i\\ \sum_{i=0}^{m}e_2^i\vec x_i\\ ... \\ \sum_{i=0}^{m}e_m^i\vec x_i \end{pmatrix}=\begin{pmatrix} \vec z_0\\ \vec z_1\\ \vec z_2\\ ... \\ \vec z_m \end{pmatrix}$

即相当于求m+1个方程式，存在唯一解 $(\vec x_0, \vec x_1,..., \vec x_m)$ 。即可保证soundness。

若 $e_0,e_1,...,e_m$ 不互异，则可逆矩阵A不存在，也不能保证解的唯一性。

根据矩阵基础知识，矩阵B存在可逆矩阵的充分必要条件为B的判别式不为零，即det|B|!=0。
A的可逆矩阵A^-1之间的关系有： $AA^{-1}=I,I为单位矩阵$ ，即：
$AA^{-1}=\begin{pmatrix} a_{00}& a_{01}& a_{02}&... &a_{0m} \\ a_{10}& a_{11}& a_{12}&... &a_{1m} \\ a_{20}& a_{21}& a_{22}&... &a_{2m} \\ ...& & & & \\ a_{m0}& a_{m1}& a_{m2}&... &a_{mm} \end{pmatrix}\begin{pmatrix} 1& e_0& e_0^2 &... &e_0^m \\ 1& e_1& e_1^2 &... &e_1^m\\ 1& e_2& e_2^2 &... &e_2^m\\ ...& & & & \\ 1& e_m& e_m^2 &... &e_m^m \end{pmatrix}=\begin{pmatrix} 1& 0& 0 &... &0 \\ 0& 1& 0 &... &0 \\ 0& 0& 1 &... &0 \\ ...& & & & \\ 0& 0& 0 &... &1 \end{pmatrix}=\begin{pmatrix} \delta _{00}& \delta _{01}& \delta _{02} &... &\delta _{0m} \\ \delta _{10}& \delta _{11}& \delta _{12} &... &\delta _{1m} \\ \delta _{20}& \delta _{21}& \delta _{22} &... &\delta _{2m} \\ ...& & & & \\ \delta _{m0}& \delta _{m1}& \delta _{m2} &... &\delta _{mm} \end{pmatrix}$

上面公式中， $e_j$ 为challenge值，有：
$\delta _{hi}=\sum_{j=0}^{m}a_{hj}e_j^i$

当 $h = = i$ 时，有 $\delta _{hi}=1$ ；当 $h! = i$ 时，有 $\delta _{hi}=0$ 。也可称 $\delta _{hi}$ 为Kronecker delta函数。

基于 $\delta _{hi}$ 的特性，有：
$C_h=\sum_{i=0}^{m}\delta _{hi}C_i$
$\Leftrightarrow C_h=\sum_{i=0}^{m}\delta _{hi}C_i=\sum_{i=0}^{m}(\sum_{j=0}^{m}a_{hj}e_j^i)C_i$
$\Leftrightarrow 根据加法交换律有: \quad C_h=\sum_{i=0}^{m}(\sum_{j=0}^{m}a_{hj}e_j^i)C_i=\sum_{j=0}^{m}a_{hj}(\sum_{i=0}^{m}e_j^iC_i)$
$\because C_i=r_iH+\vec x_i\vec G, \quad \vec z_j=\sum_{i=0}^{m}e_j^i\vec x_i, \quad s_j=\sum_{i=0}^{m}e_j^ir_i, \quad 以及加法结合律$
$\therefore C_h=\sum_{j=0}^{m}a_{hj}(\sum_{i=0}^{m}e_j^i(r_iH+\vec x_i\vec G))=\sum_{j=0}^{m}a_{hj}(\sum_{i=0}^{m}e_j^ir_iH)+\sum_{j=0}^{m}a_{hj}(\sum_{i=0}^{m}e_j^i\vec x_i\vec G)=\sum_{j=0}^{m}a_{hj}s_jH+\sum_{j=0}^{m}a_{hj}\vec z_j\vec G$
$\Rightarrow C_h$ is a commitment to $\sum_{j=0}^{m}a_{hj}\vec z_j$ with randomness $\sum_{j=0}^{m}a_{hj}s_j$
$\because C_h=r_hH+\vec x_h\vec G，\quad以及有且仅有一个值对应一个commitment$
$\Rightarrow \vec x_h=\sum_{j=0}^{m}a_{hj}\vec z_j$

以上公式推导可知，当有m+1个不同的方程式时，可以通过 $(\vec z_0, \vec z_1, \vec z_2,...,\vec z_m)$ 一一对应的提取出所有的witness向量值 $(\vec x_0, \vec x_1, \vec x_2,...,\vec x_m)$

通过本算法，根据proof信息，可提取witness信息，且为唯一解，即保证了“knowledge-soundness”。由于解的唯一性，当Prover不知道解的情况下，无法提供可验证通过的proof。

3.2 Polynomial Interpolation多项式插值

$Z=A^{-1}X=\begin{pmatrix} 1& e_0& e_0^2 &... &e_0^m \\ 1& e_1& e_1^2 &... &e_1^m\\ 1& e_2& e_2^2 &... &e_2^m\\ ...& & & & \\ 1& e_m& e_m^2 &... &e_m^m \end{pmatrix}\begin{pmatrix} \vec x_0\\ \vec x_1\\ \vec x_2\\ ... \\ \vec x_m \end{pmatrix}=\begin{pmatrix} \sum_{i=0}^{m}e_0^i\vec x_i\\ \sum_{i=0}^{m}e_1^i\vec x_i\\ \sum_{i=0}^{m}e_2^i\vec x_i\\ ... \\ \sum_{i=0}^{m}e_m^i\vec x_i \end{pmatrix}=\begin{pmatrix} \vec z_0\\ \vec z_1\\ \vec z_2\\ ... \\ \vec z_m \end{pmatrix}$
以上公式，可抽象为一个多项式，该多项式的变量为e，系数分别为 $\vec x_0, \vec x_1, \vec x_2,...,\vec x_m$ ：
$Z(e)=\vec x_0+\vec x_1e+\vec x_2e^2+...+\vec x_me^m$