BulletProof的工作原理

最新推荐文章于 2024-06-16 09:27:01 发布

karry_ming

最新推荐文章于 2024-06-16 09:27:01 发布

阅读量221

点赞数

文章标签：零知识证明区块链

本文链接：https://blog.csdn.net/qq_44722300/article/details/134156866

版权

BulletProof的工作原理

Building on BulletProof

Range Proof

我们要证明一个 statement（论述）： $\le v < 2^n$

我们知道如果这个论述是真的话，那么 $v$ 必须是一个 $n$ 长度的二进制数。例如，如果 $n = 4$ 并且 $v = 3$ ，那么 $v$ 可以被分解为一个二进制数即 4 位长度。

在这里插入图片描述

我们想以内积的形式展示这个声明（claim），这是由于 BulletProof 推出的高效率的内积证明（inner product proof）。

首先，让我们定义 v 的比特形式为： $V_{bits}$
在这里插入图片描述
如果 $v_{bits}$ 的确是 $v$ 的比特形式， $v$ 必须与 $v_{bits}$ 和向量 $2^n$ 的内积相等， $2^n$ 向量的展开为长度为 $n$ 的 $2^0, 2^1,...,2^{n-1})$

此外，我们必须要确保 $v_{bits}$ 的确是由 ${0,1\}$ 构成，不能出现其他数字：
在这里插入图片描述

$V_{bits} \circ(V_{bits}-1^n)=0^n$ 这个等式为什么能够检测其是否是由 0,1 组成？

例如 $V_{bits} = (0,0,1,1)$ ，那么 $V_{bits} - 1^n) = (-1,-1,0,0)$ ，那么这两个向量的内积必须是 0，如果 $V_{bits}$ 出现了 0,1 以外的元素，那么内积结果肯定不为 0。

之后，我们使用挑战标量结合这两个 statements，并且增加盲因子（blinding factors）。

Inner Product Proof

一个 Inner Product Proof 证明 $c$ 是向量 $\mathbf{a}$ 和 $\mathbf{b}$ 的内积，即： $c=<\mathbf{a,b}>$ 。那么一个向量内积表示为：

在这里插入图片描述

简单的版本：Prover 可以通过向 Verifier 发送 $\mathbf{a}$ , $\mathbf{b}$ 和 c，那么 Verifier 就可以通过计算 $<\mathbf{a},\mathbf{b}>$ 来验证。然而，这会有 $o (n)$ 的空间复杂度和 $o (n)$ 的时间复杂度。 $n$ 是 $\mathbf{a}$ , $\mathbf{b}$ 的长度。但是，bulletproofs inner pruduct 为我们提供了 o(log n）的空间复杂度。

bullet proof innner product 要求在向 Verifier 之前有 log(n) 的步骤，最后发送给 Verifier 的 $\mathbf{a}$ 和 $\mathbf{b}$ 的长度都是 1。

在我们开始之前，我们可以将原始向量 $\mathbf{a}$ 和 $\mathbf{b}$ 分为 hi 和 lo 两部分：

在这里插入图片描述

之后，我们得到一个挑战标量 $x$ ，并结合 hi 和 lo 来创建 $\mathbf{a'}$ 和 $\mathbf{b'}$ ，有 $c'=<\mathbf{a'},\mathbf{b'}>$ 。

在这里插入图片描述
我们对 $\mathbf{c'}$ 进行数学扩展，注意： $\mathbf{c'}$ 的两个元素 $\mathbf{a'}$ 和 $\mathbf{b'}$ ，也可以划分为 hi 和 lo 两部分，因此我们可以简化 $\mathbf{c'}$ 表达式，并将其称为 L 和 R：

在这里插入图片描述
在每一轮中， Prover 发送 L 和 R 给 Verifier，并且使用 $\mathbf{a'},\mathbf{b'},\mathbf{c'}$ 作为 $\mathbf{a},\mathbf{b},\mathbf{c}$ 。log n 轮过后，我们得到了我们最开始的假设， $\mathbf{a'}$ 和 $\mathbf{b'}$ 的长度都为 1。然后，无需再进行任何压缩，Prover 可以将 $\mathbf{a'},\mathbf{b'},\mathbf{c'}$ 发送给 Verifier。

在这里插入图片描述

Verifier 现在拥有标量 $\mathbf{a'},\mathbf{b'},\mathbf{c'}$ 和每一步产生的 L 和 R，Verifier 可以反转整个过程，他可以通过验证 $c^{'} = a^{'} * b^{'}$ 。Verifier 可以通过每一步产生的 $\mathbf{c'}$ , L, R 来验证 $\mathbf{c}$ ，直到完成所有步骤的检查。