零知识证明 - Groth16算法介绍

看zk-SNARK的文章或者资料的时候，经常会碰到一些算法名称，比如Groth16，GGPR13等等。这些名称是由算法提出的作者名称或者名称首字母以及相应的年份组成。Groth16，是由Jens Groth在2016年提出的算法。GGPR13，是由Rosario Gennaro，Craig Gentry，Bryan Parno，Mariana Raykova在2013年提出的算法。

零知识证明（zk-SNARK )，从QSP/QAP到Groth16，期间也有很多学者专家，提出各种优化（优化计算时间，优化证明的大小，优化电路的尺寸等等）。Groth16提出的算法，具有非常少的证明数据（2/3个证明数据）以及一个表达式验证。

Groth16论文（On the Size of Pairing-based Non-interactive Arguments）的下载地址：

https://eprint.iacr.org/2016/260.pdf

本文主要从工程应用理解的角度介绍Groth16算法的证明和验证过程。文章中所用的中文字眼可能和行业中不一样，欢迎批评指出。

术语介绍

Proofs - 在零知识证明的场景下，Proofs指具有完美的完备性（Completeness）以及完美的可靠性（Soundness）。也就是，具有无限计算资源也无法攻破。

Arguments - 在零知识证明的场景下，Arguments是指具有完美的完备性以及多项式计算的可靠性。也就是，在多项式计算能力下，是可靠的。

Schwartz-Zippel 定理 - 假设$f(x_1,x_2,...,x_n)$是个n元多项式，多项式总的阶为d。如果$r_1,r_2,...,r_n$是从有限集合S中随机选取，则$f(r_1,r_2,...,r_n)=0$的概率是小于等于$\frac{d}{|s|}$。简单的说，如果多元多项式，在很大的集合中随机选取参数，恰好函数f等于0的概率几乎为0。

https://brilliant.org/wiki/schwartz-zippel-lemma/

线性（Linear）函数 - 假设函数f满足两个条件：1. $f(x+y)=f(x)+f(y)$ 2. $f(\alpha x)=\alpha f(x)$，则称函数f为线性函数。

Affine 函数 - 假设函数g，能找到一个线性函数f，满足$g(x)=f(x)+b$，则称函数g为Affine函数。也就是，Affine函数是由一个线性函数和偏移构成。

Trapdoor函数 - 假设一个Trapdoor函数f，$x\to f(x)$ 很容易，但是$f(x)\to x$非常难。但是，如果提供一个secret，$f(x)\to x$也非常容易。

Jens Groth是谁？

Groth是英国伦敦UCL大学的计算机系的教授。伦敦大学学院 (University College London），简称UCL，建校于1826年，位于英国伦敦，是一所世界著名的顶尖高等学府，为享有顶级声誉的综合研究型大学，伦敦大学联盟创始院校，英国金三角名校，与剑桥大学、牛津大学、帝国理工、伦敦政经学院并称G5超级精英大学。

http://www0.cs.ucl.ac.uk/staff/j.groth/

Groth从2009年开始，每年发表一篇或者多篇密码学或者零知识证明的文章，所以你经常会听到Groth09，Groth10等等算法。

简言之，牛人～。

NILP

Groth16的论文先引出NILP（non-interactive linear proofs）的定义：

1. $(\sigma ,\tau )\leftarrow Setup(R)$ ：设置过程，生成$\sigma \in F^m$, $\tau \in F^n$。

2. $\pi \leftarrow Prove(R,\sigma ,\varphi ,\omega )$ ：证明过程，证明过程又分成两步：a. 生成线性关系$\Pi \leftarrow ProofMatrix(R,\varphi ,\omega )$，其中ProofMatrix是个多项式算法。b. 生成证明：$\pi =\Pi \sigma$。

3. $0/1\leftarrow Vfy(R,\sigma ,\varphi ,\pi )$ ：验证过程，验证者使用$(R,\varphi )$生成电路t，并验证$t(\sigma ,\pi )$是否成立。

在NILP定义的基础上，Groth16进一步定义了split NILP，也就是说，CRS分成两部分$(\sigma 1,\sigma 2)$，证明者提交的证明也分成两部分$(\pi 1,\pi 2)$。

总的来说，核心在“Linear”上，证明者生成的证明和CRS成线性关系。

QAP的NILP

QAP的定义为"Relation"：$R=(F,aux,\ell ,\{u_i(X),v_i(X),w_i(X){\}}_{i=0}^m,t(X))$。也就是说，statements为$(a_1,...,a_{\ell })\in F^{\ell }$， witness为$(a_{l+1},...,a_m)\in F^{m-\ell }$，并且$a_0=1$的情况下，满足如下的等式：

${\sum }_{i=0}^m{a}_i{u}_i(X)\cdot {\sum }_{i=0}^m{a}_i{v}_i(X)={\sum }_{i=0}^m{a}_i{w}_i(X)+h(X)t(X)$

$t(X)$的阶为n。

1. 设置过程：随机选取$\alpha ,\beta ,\gamma ,\delta ,x\leftarrow F^{\ast }$，生成$\sigma ,\tau$。

   $\tau =(\alpha ,\beta ,\gamma ,\delta ,x)$

   $\sigma =(\alpha ,\beta ,\gamma ,\delta ,\{x^i{\}}_{i=0}^{n-1},\{\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }{\}}_{i=0}^{\ell },\{\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\delta }{\}}_{i=\ell +1}^m,\{\frac{x^{i}t(x)}{\delta }{\}}_{i=0}^{n-2})$

2. 证明过程：随机选择两个参数$r和s$，计算$\pi =\Pi \sigma =(A,B,C)$

   $A=\alpha +{\sum }_{i=0}^m{a}_i{u}_i(x)+r\delta$

   $B=\beta +{\sum }_{i=0}^m{a}_i{v}_i(x)+s\delta$

   $C=\frac{{\sum }_{i=\ell +1}^m{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+h(x)t(x)}{\delta }+As+rB-rs\delta$

3. 验证过程：

   验证过程，计算如下的等式是否成立：

   $A\cdot B=\alpha \cdot \beta +\frac{{\sum }_{i=0}^{\ell }{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))}{\gamma }\cdot \gamma +C\cdot \delta$

注意，设置过程中的x是一个值，不是代表多项式。在理解证明/验证过程的时候，必须要明确，A/B/C的计算是和CRS中的参数成线性关系（NILP的定义）。在明确这一点的基础上，可以看出$\alpha 和\beta$的参数能保证A/B/C的计算采用统一的$a_0,a_1,...,a_m$参数。因为$A\cdot B$会包含${\sum }_{i=0}^{\ell }{a}_i(\beta u_i(x)+\alpha v_i(x))$子项，要保证$A\cdot B$和C相等，必须采用统一的$a_0,a_1,...,a_m$参数。参数$r和s$增加随机因子，保证零知识（验证者无法从证明中获取有用信息）。参数$\gamma 和\delta$保证了验证等式的最后两个乘积独立于$\alpha 和\beta$的参数。

完备性证明（Completeness)：
完备性证明，也就是验证等式成立。

$A\cdot B=(\alpha +{\sum }_{i=0}^m{a}_i{u}_i(x)+r\delta )\cdot (\beta +{\sum }_{i=0}^m{a}_i{v}_i(x)+s\delta )$

$=\alpha \cdot \beta +\alpha \cdot {\sum }_{i=0}^m{a}_i{v}_i(x)+\alpha s\delta$
$+\beta \cdot {\sum }_{i=0}^m{a}_i{u}_i(x)+{\sum }_{i=0}^m{a}_i{u}_i(x)\cdot {\sum }_{i=0}^m{a}_i{v}_i(x)+s\delta \cdot {\sum }_{i=0}^m{a}_i{u}_i(x)$
$+r\delta \beta +r\delta {\sum }_{i=0}^m{a}_i{v}_i(x)+rs{\delta }^2$

$=\alpha \cdot \beta +{\sum }_{i=0}^{\ell }{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+{\sum }_{i=\ell +1}^m{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+h(t)\cdot t(x)$

$+\alpha s\delta +s\delta \cdot {\sum }_{i=0}^m{a}_i{u}_i(x)+rs{\delta }^2$

$+r\delta \beta +r\delta {\sum }_{i=0}^m{a}_i{v}_i(x)+rs{\delta }^2$

$-rs{\delta }^2$

$=\alpha \cdot \beta +{\sum }_{i=0}^{\ell }{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+{\sum }_{i=\ell +1}^m{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+h(t)\cdot t(x)$

$+As\delta +rB\delta -rs{\delta }^2$

$=\alpha \cdot \beta +\frac{{\sum }_{i=0}^{\ell }{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))}{\gamma }\cdot \gamma +C\cdot \delta$

可靠性证明 (Soundness):

Groth16算法证明的是statistical knowledge soundness，假设证明者提供的证明和CRS成线性关系。也就是说，证明A可以用如下的表达式表达(A和CRS的各个参数成线性关系）：

$A=A_{\alpha }\alpha +A_{\beta }\beta +A_{\gamma }\gamma +A_{\delta }\delta +A(x)+{\sum }_{i=0}^{\ell }{A}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }+{\sum }_{i=\ell +1}^m{A}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\delta }+A_h(x)\frac{t(x)}{\delta }$

同理，B/C都可以写成类似的表达：

$B=B_{\alpha }\alpha +B_{\beta }\beta +B_{\gamma }\gamma +B_{\delta }\delta +B(x)+{\sum }_{i=0}^{\ell }{B}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }+{\sum }_{i=\ell +1}^m{B}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\delta }+B_h(x)\frac{t(x)}{\delta }$

$C=C_{\alpha }\alpha +C_{\beta }\beta +C_{\gamma }\gamma +C_{\delta }\delta +C(x)+{\sum }_{i=0}^{\ell }{C}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }+{\sum }_{i=\ell +1}^m{C}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\delta }+C_h(x)\frac{t(x)}{\delta }$

从Schwartz-Zippel 定理，我们可以把A/B/C看作是$\alpha ,\beta ,\gamma ,\delta ,x$的多项式。观察$A\cdot B=\alpha \cdot \beta +\frac{{\sum }_{i=0}^{\ell }{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))}{\gamma }\cdot \gamma +C\cdot \delta$ 这个验证等式，发现一些变量的限制条件：

1）$A_{\alpha }{B}_{\alpha }{\alpha }^2=0$ (等式的右边没有${\alpha }^2因子$)

不失一般性，可以假设$B_{\alpha }=0$。

2）$A_{\alpha }{B}_{\beta }+A_{\beta }{B}_{\alpha }=A_{\alpha }{B}_{\beta }=1$ （等式右边$\alpha \beta =1$）

不失一般性，可以假设$A_{\alpha }=B_{\beta }=1$。

3）$A_{\beta }{B}_{\beta }=A_{\beta }=0$(等式的右边没有${\beta }^2$因子)

也就是$A_{\beta }=0$。

在上述三个约束下，A/B的表达式变成：

$A=\alpha +A_{\gamma }\gamma +A_{\delta }\delta +A(x)+{\sum }_{i=0}^{\ell }{A}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }+{\sum }_{i=\ell +1}^m{A}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\delta }+A_h(x)\frac{t(x)}{\delta }$

$B=\beta +B_{\gamma }\gamma +B_{\delta }\delta +B(x)+{\sum }_{i=0}^{\ell }{B}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }+{\sum }_{i=\ell +1}^m{B}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\delta }+B_h(x)\frac{t(x)}{\delta }$

4）等式的右边没有$\frac{1}{{\delta }^2}$

$({\sum }_{i=\ell +1}^m{A}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+A_h(x)t(x))({\sum }_{i=\ell +1}^m{B}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+A_h(x)t(x))=0$

不失一般性，${\sum }_{i=\ell +1}^m{A}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+A_h(x)t(x)=0$

5）等式的右边没有$\frac{1}{{\gamma }^2}$

$({\sum }_{i=0}^{\ell }{A}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x)))({\sum }_{i=0}^{\ell }{B}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x)))=0$

不失一般性，${\sum }_{i=0}^{\ell }{A}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))=0$。

6）等式的右边没有$\frac{\alpha }{\gamma }$， $\frac{\alpha }{\delta }$

$\alpha \frac{{\sum }_{i=0}^{\ell }{B}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))}{\gamma }=0$

$\alpha \frac{{\sum }_{i=\ell +1}^m{B}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+B_h(x)t(x)}{\delta }=0$

所以，${\sum }_{i=0}^{\ell }{B}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))=0，{\sum }_{i=\ell +1}^m{B}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+B_h(x)t(x)$ 。

7）等式的右边没有$\beta \gamma$和$\alpha \gamma$

$A_{\gamma }\beta \gamma =0,B_{\gamma }\alpha \gamma =0$

所以，$A_{\gamma }=0,B_{\gamma }=0$。

在上述七个约束下，A/B的表达式变成：

$A = \alpha + A_\delta \delta + A(x) $

$B=\beta +B_{\delta }\delta +B(x)$

再看验证的等式：

$A\cdot B=\alpha \cdot \beta +\frac{{\sum }_{i=0}^{\ell }{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))}{\gamma }\cdot \gamma +C\cdot \delta$

$=\alpha \cdot \beta +{\sum }_{i=0}^{\ell }{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+C\cdot \delta$

观察$C\cdot \delta$，因为不存在 $\frac{\delta }{\gamma }$，所以，${\sum }_{i=0}^{\ell }{C}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }=0$。

也就是说，$C=C_{\alpha }\alpha +C_{\beta }\beta +C_{\gamma }\gamma +C_{\delta }\delta +C(x)+{\sum }_{i=\ell +1}^m{C}_i\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\delta }+C_h(x)\frac{t(x)}{\delta }$。

代入验证等式，所以可以推导出：

$\alpha B(x)={\sum }_{i=0}^{\ell }{a}_i\alpha v_i(x)+{\sum }_{i=\ell +1}^m{C}_i\alpha v_i(x)$，

$\beta A(x)={\sum }_{i=0}^{\ell }{a}_i\beta u_i(x)+{\sum }_{i=\ell +1}^m{C}_i\beta u_i(x)$

如果，假设，对于$i=\ell +1,...,m，a_i=C_i$，则

$A(x)={\sum }_{i=0}^m{a}_i{u}_i(x)$

$B(x)={\sum }_{i=0}^m{a}_i{v}_i(x)$

代入A/B，可以获取以下等式：

${\sum }_{i=0}^m{a}_i{u}_i(x)\cdot {\sum }_{i=0}^m{a}_i{v}_i(x)={\sum }_{i=0}^m{a}_i{w}_i(x)+C_h(x)t(x)$

在证明和CRS线性关系下，所有能使验证等式成立的情况下，$(a_{\ell +1},...,a_m)=(C_{\ell +1},...,C_m)$等式必须成立。也就说，能提供正确证明的，肯定知道witness。

QAP的NIZK Arguments
从QAP的NILP可以演化为QAP的NIZK Arguments。也就是说Groth16算法并不是完美的可靠，而是多项式计算情况下可靠。QAP的定义为"Relation"：$R=(p,G_1,G_2,G_T,e,g,h,\ell ,\{u_i(X),v_i(X),w_i(X){\}}_{i=0}^m,t(X))$。也就是说，在一个域$Z_p$中，statements为$(a_1,...,a_{\ell })\in Z_p^{\ell }$， witness为$(a_{l+1},...,a_m)\in Z_p^{m-\ell }$，并且$a_0=1$的情况下，满足如下的等式（$t(X)$的阶为n）：

${\sum }_{i=0}^m{a}_i{u}_i(X)\cdot {\sum }_{i=0}^m{a}_i{v}_i(X)={\sum }_{i=0}^m{a}_i{w}_i(X)+h(X)t(X)$

也就是说，三个有限群$G_1,G_2,G_T$, 对应的生成元分别是$g,h,e(g,h)$。为了方便起见，也为了和论文的表达方式一致，$G_1有限群$的计算用$[y{]}_1=g^y$表示，$G_2有限群$的计算用$[y{]}_2=h^y$表示。

1. 设置过程：随机选取$\alpha ,\beta ,\gamma ,\delta ,x\leftarrow Z_p^{\ast }$，生成$\sigma ,\tau$。

   $\tau =(\alpha ,\beta ,\gamma ,\delta ,x)$

   $\sigma =([{\sigma }_1{]}_1,[{\sigma }_2{]}_2)$

   ${\sigma }_1=(\alpha ,\beta ,\delta ,\{x^i{\}}_{i=0}^{n-1},\{\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }{\}}_{i=0}^{\ell },\{\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\delta }{\}}_{i=\ell +1}^m,\{\frac{x^{i}t(x)}{\delta }{\}}_{i=0}^{n-2})$

   ${\sigma }_2=(\beta ,\gamma ,\delta ,\{x^i{\}}_{i=0}^{n-1})$

2. 证明过程：随机选择两个参数$r和s$，计算$\pi =\Pi \sigma =([A{]}_1,[C{]}_1,[B{]}_2)$

   $A=\alpha +{\sum }_{i=0}^m{a}_i{u}_i(x)+r\delta$

   $B=\beta +{\sum }_{i=0}^m{a}_i{v}_i(x)+s\delta$

   $C=\frac{{\sum }_{i=\ell +1}^m{a}_i(\beta u_i(x)+\alpha v_i(x)+w_i(x))+h(x)t(x)}{\delta }+As+rB-rs\delta$

3. 验证过程：验证如下的等式是否成立。

   $[A{]}_1\cdot [B{]}_2=[\alpha {]}_1\cdot [\beta {]}_2+{\sum }_{i=0}^{\ell }{a}_i[\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }{]}_1\cdot [\gamma {]}_2+[C{]}_1\cdot [\delta {]}_2$

很容易发现，验证过程的等式也可以用4个配对函数表示:

​ $e([A{]}_1,[B{]}_2)=e([\alpha {]}_1,[\beta {]}_2)\cdot e({\sum }_{i=0}^{\ell }{a}_i[\frac{\beta u_i(x)+\alpha v_i(x)+w_i(x)}{\gamma }{]}_1,[\gamma {]}_2)\cdot e([C{]}_1,[\delta {]}_2)$

证明过程和QAP的NILP的证明过程类似，不再详细展开。

证明元素的最小个数

论文指出zk-SNARK的最少的证明元素是2个。上述的证明方式是需要提供3个证明元素（A/B/C）。论文进一步说明，如果将电路进行一定方式的改造，使用同样的理论，可以降低证明元素为2个，但是，电路的大小会变的很大。

总结：Groth16算法是Jens Groth在2016年发表的算法。该算法的优点是提供的证明元素个数少（只需要3个），验证等式简单，保证完整性和多项式计算能力下的可靠性。Groth16算法论文同时指出，zk-SNARK算法需要的最少的证明元素为2个。目前Groth16算法已经被ZCash，Filecoin等项目使用。

题外：

最近好多朋友表示对零知识证明的基础知识感兴趣，但是，zk-SNARK相关的技术涉及到比较多的数学公式的推导，比较难理解。我打算有空录个QSP/QAP/Groth16的介绍视频，方便工程开发人员快速的入门和理解。觉得有需要的小伙伴，请留言。