【译】SNARKs讲解「第三部分」：关于系数知识的测试和假设

原文链接

<<< 第二部分

在本系列文章的第二部分中，我们看到Alice如何能够对自己的$d$次多项式$P$在属于Bob的点$s$上的隐藏 $E(P(s))$ 做盲求值。我们把这个称为“盲”求值的原因是，Alice在整个过程中不知道$s$是多少。

然而，这个协议里还缺了点什么。事实上Alice能够计算出 $E(P(s))$ ，并不保证她会真的把 $E(P(s))$ 送给Bob，而不送一个完全无关的值。

于是我们需要一个方法来“迫使”Alice正确地遵循协议。我们将在第四部分准确地讲解我们如何做到这一点。在本文中，我们专注讲解为达到这个目标而需要的基本工具。我们称这个工具为系数知识(KC)测试。

之前我们用$g$表示一个群$G$的生成器。这个群的阶数为$|G|=p$，并且该群的离散对数解很难。从本文往后，用加法而不是用乘法来表示我们的群会更方便。也就是，对于$a\in {\text{F}}_p$，$a\cdot g$ 表示把$a$份$g$相加的结果。

KC测试

对于 $\alpha \in {\text{F}}_p^{\ast }$ ¹，我们把 $G$中的一对元素$(a,b)$称为一个$\alpha$-对，如果$a,b̸=0$ 并且 $b=\alpha \cdot a$。

KC测试过程如下：

1. Bob挑选随机数$\alpha \in {\text{F}}_p^{\ast }$ 和 $a\in G$。然后它计算 $b=\alpha \cdot a$。
2. 他把“挑战”对 $(a,b)$ 发送给Alice。注意这个 $(a,b)$ 是一个 $\alpha$-对。
3. Alice现在必须用一个不同的对 $(a^{\prime },b^{\prime })$ 来响应。这个对也是一个 $\alpha$-对。
4. 仅当 $(a^{\prime },b^{\prime })$ 真的是一个 $\alpha$-对时，Bob才接受Alice的响应（因为他知道 $\alpha$， 他可以计算是否 $b^{\prime }=\alpha \cdot a^{\prime }$)。

现在我们想一下Alice如何才能成功地响应这个挑战。让我们假设她知道 $\alpha$ 。在这个情况下，她可以简单地在 $G$ 中选择任何$a^{\prime }$，计算 $b^{\prime }=\alpha \cdot a^{\prime }$，然后把 $(a^{\prime },b^{\prime })$作为她的新$\alpha$-对返回。

然而Alice拥有的关于 $\alpha$ 的唯一信息就是 $\alpha \cdot a$ 以及G有一个困难的离散对数问题。我们预期Alice无法找到 $\alpha$。

那么她如何才能在不知道 $\alpha$ 的情况下成功地响应挑战呢 ？

下面是做这件事的自然方式：Alice简单地挑选某个 $\gamma \in {\text{F}}_p^{\ast }$，然后用 $(a^{\prime },b^{\prime })=(\gamma \cdot a,\gamma \cdot b)$ 来响应。这里我们有 $b^{\prime }=\gamma \cdot b=\gamma \alpha \cdot a=\alpha (\gamma \cdot a)=\alpha \cdot a^{\prime }$，如此 $(a^{\prime },b^{\prime })$ 就是所要求的一个 $\alpha$-对。

注意，如果Alice用这个策略来响应，她就知道 $a$ 和 $a^{\prime }$ 之间的比例，也就是系数 $\gamma$，使得 $a^{\prime }=\gamma \cdot a$。

系数知识假设²（KCA）规定了这个情况总是发生，也就是说：

KCA：如果Alice能以一个不小的概率返回一个针对从Bob来的挑战 $(a,b)$ 的有效响应 $(a^{\prime },b^{\prime })$，那么 她知道 $\gamma$ ，使得 $a^{\prime }=\gamma \cdot a$。

KC测试和假设将会是第四部分中的重要工具。

“Alice知道”具体是什么意思呢？

你可能想知道我们如何能够用精准的数学术语来表达KCA，具体地说，我们如何把“Alice知道 $\gamma$“这个概念用数学定义来正式表达？

可以粗略地这样做：除开Alice，我们还有另一方，称作Alice的提取器。Alice的提取器可以访问Alice的内部状态。

我们然后这样规划KCA：当Alice用一个 $\alpha$-对 $(a^{\prime },b^{\prime })$ 来成功响应挑战的时候，Alice的提取器输出 $\gamma$，使得 $a^{\prime }=\gamma \cdot a$。³

>>> 第四部分

---

1. ${\text{F}}_p^{\ast }$ 表示 ${\text{F}}_p$ 的非零元素集。这跟第一部分中 ${\text{F}}_p^{\ast }$ 的描述相同。 ↩︎

2. 在文献中，这被典型地称为指数知识假设，因为传统上这被用在用乘法表达的群中。 ↩︎

3. 完整的正式定义需要给提取器“一点点松弛"，它规定Alice成功响应而提取器不输出 $\gamma$ 的概率可忽略不计。 ↩︎