IPA多项式承诺方案(3)--完整框架

在阅读本节之前建议先阅读前序文章(1)和 (2)。

当掌握了以上知识点后，我们进入IPA方案的具体流程，验证者拥有一个IPA方案包含三个算法$(Setup,Commit,Open)$。

IPA多项式承诺方案采用Pedersden向量承诺来承诺多项式。因此，IPA的$Setup$算法与Pedersden向量承诺一致。

• $Setup:$验证者生成参数$pp=(G,G\in G^n,H\in G,F_p)$，其中，$G$是指$(G_0,G_1,\dots ,G_{n-1})$，$G,H$是随机选取的群元素。

• $Commit:$证明方拥有多项式$f(X)=a_0+a_{1}X+\cdots +a_{n-1}{X}^{n-1}$，系数表示为$a=(a_0,a_1,\cdots ,a_{n-1})$，采用Pedersden向量承诺对多项式进行承诺，计算如下：
  $$\begin{gathered} cm=a_0{G}_0+a_1{G}_1+\cdots +m_{n-1}{G}_{n-1}+rH \\ =<\mathbf{a},\mathbf{G}>+rH \end{gathered}$$

• $Open:$

  1. 验证方选择一个随机评估点$z$，发送给证明者。
  2. 证明方计算多项式值$f(z)=<a,b>$，其中$b$为$(1,z,z^2,\cdots ,z^{n-1})$。发送证明$a,r$和评估$f(z)$给验证者。
  3. 验证者将验证以下等式来确保$f(z)$是证明者承诺的多项式在$z$点的值。
     $$\begin{gathered} cm=<\mathbf{a},\mathbf{G}>+rH \\ f(z)=<\mathbf{a},\mathbf{b}> \end{gathered}$$

此时方案流程如下图所示。

注意，此时并未考虑零知识，既先不考虑多项式承诺方案的hiding属性。

若验证者选择一个随机数$U\in G$，采用随机线性化组合将两个验证等式合并成一个等式。即

$$cm+f(z)U=<\mathbf{a},\mathbf{G}>+rH+<\mathbf{a},\mathbf{b}>U$$

若设置$P=cm+f(z)U$，验证等式为$P=<a,G>+rH+<a,b>U$，考虑采用分配律来合并缩小证明$a$的大小。此时证明方需要计算辅助验证等式的值。

$$\begin{gathered} K_1=<{\mathbf{a}}_{\mathbf{L}},{\mathbf{G}}_{\mathbf{R}}>+<{\mathbf{a}}_{\mathbf{L}},{\mathbf{b}}_{\mathbf{R}}>U \\ {K}_2=<{\mathbf{a}}_{\mathbf{R}},{\mathbf{G}}_{\mathbf{L}}>+<{\mathbf{a}}_{\mathbf{R}},{\mathbf{b}}_{\mathbf{L}}>U \end{gathered}$$

验证者的验证等式为

$$\begin{gathered} P=<\mathbf{a},\mathbf{G}>+rH+<\mathbf{a},\mathbf{b}>U \\ {K}_1=<{\mathbf{a}}_{\mathbf{L}},{\mathbf{G}}_{\mathbf{R}}>+<{\mathbf{a}}_{\mathbf{L}},{\mathbf{b}}_{\mathbf{R}}>U \\ {K}_2=<{\mathbf{a}}_{\mathbf{R}},{\mathbf{G}}_{\mathbf{L}}>+<{\mathbf{a}}_{\mathbf{R}},{\mathbf{b}}_{\mathbf{L}}>U \end{gathered}$$
流程如下。

选择随机数$x\in F_q$，合并验证等式为

$$P+x{K}_2+x^{-1}{K}_1=<x^{-1}{\mathbf{a}}_{\mathbf{L}}+{\mathbf{a}}_{\mathbf{R}},x{\mathbf{G}}_{\mathbf{L}}+{\mathbf{G}}_{\mathbf{R}}>+rH+<x^{-1}{\mathbf{a}}_{\mathbf{L}}+{\mathbf{a}}_{\mathbf{R}},x{\mathbf{b}}_{\mathbf{L}}+{\mathbf{b}}_{\mathbf{R}}>U$$

此时，验证者仅需验证以上等式成立则可证明$P=<a,G>+rH+<a,b>U$成立。此时证明为$x^{-1}{a}_L+a_R$和$r$，证明$a$的大小仅为原本的一半。如下图所示。

若设置$P=P+x{K}_2+x^{-1}{K}_1,a=x^{-1}{a}_L+a_R，G=x{G}_L+G_R,b=x{b}_L+b_R$，此时验证等式形式依然是$P=<a,G>+rH+<a,b>U$，可以重复以上缩减证明的操作，直达证明$a$的大小仅为一个元素。

此时的$Open$具体步骤如下：

1. 验证方选择一个随机评估点$z$，发送给证明者。

2. 证明方计算多项式值$f(z)=<a,b>$，其中$b$为$(1,z,z^2,\cdots ,z^{n-1})$。发送评估$f(z)$给验证者。

3. 验证者选择选择一个随机群元素$U\in G$，并发送给证明者。

4. 证明者计算并发送辅助验证等式的值给验证者

   $$\begin{gathered} K_1=<{\mathbf{a}}_{\mathbf{L}},{\mathbf{G}}_{\mathbf{R}}>+<{\mathbf{a}}_{\mathbf{L}},{\mathbf{b}}_{\mathbf{R}}>U \\ {K}_2=<{\mathbf{a}}_{\mathbf{R}},{\mathbf{G}}_{\mathbf{L}}>+<{\mathbf{a}}_{\mathbf{R}},{\mathbf{b}}_{\mathbf{L}}>U \end{gathered}$$

5. 验证者选择随机数$x\in F_q$，并发送给证明者。

6. 证明者计算下一轮的$a,G,b$

   $$\begin{gathered} \mathbf{a}=x^{-1}{\mathbf{a}}_{\mathbf{L}}+{\mathbf{a}}_{\mathbf{R}} \\ \mathbf{G}=x{\mathbf{G}}_{\mathbf{L}}+{\mathbf{G}}_{\mathbf{R}} \\ \mathbf{b}=x{\mathbf{b}}_{\mathbf{L}}+{\mathbf{b}}_{\mathbf{R}} \end{gathered}$$

   重复以上步骤（重复$lo{g}_{2}n$轮），直至$a$的元素个数为1，停止，并发送$a,r$给验证者。

7. 假设第$j$轮的$K_1,K_2,x,a,G,b$表示为$K_1^j,K_2^j,x_j,a_j,G_j,b_j$，验证者首先计算$P=P+{\sum }_{i=1}^{lo{g}_{2}n}{x}_i{K}_1^i+{\sum }_{i=1}^{lo{g}_{2}n}{x}_i^{-1}{K}_2^i$，然后计算最后的$G_{lo{g}_{2}n},b_{lo{g}_{2}n}$，验证等式$P=<a_{lo{g}_{2}n},G_{lo{g}_{2}n}>+rH+<a_{lo{g}_{2}n},b_{lo{g}_{2}n}>U$，注意此时$a_{lo{g}_{2}n},G_{lo{g}_{2}n},b_{lo{g}_{2}n}$的长度均为1。

但本方案目前未考虑零知识性，思考那些元素会泄漏与隐私$a,r$相关的信息。

首先考虑到每轮辅助验证等式的值$K_1,K_2$，其次还有最后发送的信息$a_{lo{g}_{2}n},r$。因为Pedersen向量承诺增加了随机项$rH$具有隐藏属性，因此$P$不会泄漏信息。

• 对于第$j$轮$K_1^j,K_2^j$，可以增加两项随机项$l_{j}H,r_{j}H$，使其变为Pedersen向量承诺形式，具有隐藏属性，则$K_1^j,K_2^j$的计算过程如下:

  $$\begin{gathered} K_1^j=<{\mathbf{a}}_{\mathbf{L}}^{\mathbf{j}},{\mathbf{G}}_{\mathbf{R}}^{\mathbf{j}}>+l_{j}H+<{\mathbf{a}}_{\mathbf{L}}^{\mathbf{j}},{\mathbf{b}}_{\mathbf{R}}^{\mathbf{j}}>U \\ {K}_2^j=<{\mathbf{a}}_{\mathbf{R}}^{\mathbf{j}},{\mathbf{G}}_{\mathbf{L}}^{\mathbf{j}}>+r_{j}H+<{\mathbf{a}}_{\mathbf{R}}^{\mathbf{j}},{\mathbf{b}}_{\mathbf{L}}^{\mathbf{j}}>U \end{gathered}$$

  最后证明者发送$r^{\prime }=r+{\sum }_{i=1}^{lo{g}_{2}n}{x}_i{l}_i+{\sum }_{i=1}^{lo{g}_{2}n}{x}_i^{-1}{r}_i$和$a_{lo{g}_{2}n}$。验证者验证等式为$P=<a_{lo{g}_{2}n},G_{lo{g}_{2}n}>+r^{\prime }H+<a_{lo{g}_{2}n},b_{lo{g}_{2}n}>U$。

• 对于最后发送的信息$a_{lo{g}_{2}n},r^{\prime }$，采用$\Sigma$ 协议实现零知识。此时的论证是$P=<a_{lo{g}_{2}n},G_{lo{g}_{2}n}>+r^{\prime }H+<a_{lo{g}_{2}n},b_{lo{g}_{2}n}>U$。

  首先生成同形式的随机项，此时有两个隐私信息，选择随机数$s,d$，计算如下。

  $$R=<s,G_{lo{g}_{2}n}>+dH+<s,b_{lo{g}_{2}n}>U$$

  发送R给验证方，验证方返回一个随机挑战值$c$，证明者计算并返回证明$z_1,z_2$，其中

  $$\begin{gathered} z_1=s+c{a}_{lo{g}_{2}n} \\ {z}_2=d+c{r}^{\prime } \end{gathered}$$

  验证者验证如下等式。

  $$R+cP=<z_1,G_{lo{g}_{2}n}>+z_{2}H+<z_1,b_{lo{g}_{2}n}>U$$

  以上措施实现IPA方案的零知识性。

  思考：$r^{\prime }$并不泄漏$r$的相关信息，为何也需要零知识？

恭喜你，你已经掌握了IPA多项式承诺了。

思考：怎么构建一个多项式在多个点打开、多个多项式在一个点打开、多个多项式在多个点打开的情况下的IPA多项式承诺方案，即批量IPA多项式承诺方案，其证明的有什么变化，验证等式有什么变化？

如果有笔误或者叙述错误，欢迎留言指正。