Linear Algebra with Sub-linear Zero-Knowledge Arguments学习笔记

1. 引言

Groth 2009年论文《Linear Algebra with Sub-linear Zero-Knowledge Arguments》。

已知2个matrices $\mathbf{A},\mathbf{B}$ 的commitments $C_{\mathbf{A}},C_{\mathbf{B}}$ 和 1个matrix $\mathbf{C}$ 的commitment $C_{\mathbf{C}}$，本文构建了：

• sub-linear size的零知识证明，用于证明 product of two matrices $\mathbf{C}=\mathbf{A}\ast \mathbf{B}$。
• sub-linear size的零知识证明，用于证明 Hadamard product of two matrices $\mathbf{C}=\mathbf{A}\circ \mathbf{B}$。

基于以上两种证明方案，可以构建其它sub-linear 零知识证明，用于证明，如：（用于证明 a set of committed vectors and matrices satisfying a set of linear algebra relations。）

• a committed matrix being upper or lower triangular；
• a committed matrix being the inverse of another committed matrix；
• a committed matrix being a permutation of another committed matrix （using either a public or a hidden permutation）；
• a committed field element being the dot product of two committed vectors；
• a committed matrix being the product of two other committed matrices；
• a committed vector being the Hadamard product (the entry-wise product) of two other vectors；
• a committed matrix has a particular trace；
• compute the sums of the rows or columns of a committed matrix；

同时，可将本文技术用于证明 the satisfiability of an arithmetic circuit with $N$ gates，本文所构建的arithmetic circuit 零知识证明算法具有的communication complexity 为 $O(\sqrt{N})$ 个group elements。本文提供了2种实现方式：

• 1）constant round 的零知识证明算法；
• 2）$O({\log }_{2}N)$ round 的零知识证明算法，Prover的computation complexity 为$O(N/{\log }_{2}N)$个exponentiations，Verifier的computation complexity为$O(N)$个multiplications。

对于只有与非门的binary circuit来说，本文基于Pedersen commitment的变体，提供了一种circuit satisfiability的public-coin 零知识证明算法：

• communication complexity为$O(\sqrt{N})$ 个group elements；
• Prover和Verifier的computation complexity 均为$O(N)$个multiplications。

在构建零知识证明算法时，需要同时关注communication complexity和computation complexity。本文所构建的零知识证明算法，具有sub-linear communication的同时，也具有 low computational complexity。

对于$n\times n$矩阵$\mathbf{A}$，以行向量表示为$\mathbf{A}=[a_1,\cdots ,a_n{]}^T$，对每个行向量进行Pedersen commitment为 a single group element。$Com(\mathbf{A})=[Com(a_1),\cdots ,Com(a_n){]}^T$。

本文所涉及的各证明算法性能对比：

1.1 一些定义

• Argument定义：
  

• Public coin argument定义：
  

• Perfect special honest verifier zero-knowledge定义：
  

• Witness-extended emulation定义：
  

• Full Zero-Knowledge定义：
  

1.2 Homomorphic Commitments

本文采用的是generalized Pedersen commitment scheme。
key generation algorithm $K$ 用于生成commitment key $ck=(G,g_1,\cdots ,g_n,h)$，其中 $g_1,\cdots ,g_n,h$ 为随机选择的generators of a group $G$ of prime order $p$ with $|p|=k$。对应的message space 为 ${\mathbb{Z}}_p^n$，randomizer space 为 ${\mathbb{Z}}_p$，commitment space 为 $G$。

选择随机数 $r\leftarrow {\mathbb{Z}}_p$，对vector $(x_1,\cdots ,x_n)\in {\mathbb{Z}}_p^n$ 的commitment 为：
$c=co{m}_{ck}(x;r)=h^r{\prod }_{i=1}^n{g}_i^{x_i}$
以上commitment具有perfect hiding属性，同时具有computationally binding属性under the discrete logarithm assumption。

本文的SHVZK arguments中的common reference string 就是 commitment key $ck$。对于一些经典的group $G$，commitment key可 easily sampled from a common random string 同时可 easily verify that $ck$ is a valid commitment key。commitment key $ck$ 甚至可由Verifier来选择。

Pedersen commitment的具有加法同态属性：
$co{m}_{ck}(x;r)\cdot co{m}_{ck}(x^{\prime };r^{\prime })=co{m}_{ck}(x+x^{\prime };r+r^{\prime })$
$co{m}_{ck}(ax+a^{\prime }{x}^{\prime };ar+a^{\prime }{r}^{\prime })=co{m}_{ck}(x;r{)}^a\cdot co{m}_{ck}(x^{\prime };r^{\prime }{)}^{a^{\prime }}$

1.3 multi-exponentiation技术

采用multi-exponentiation技术，相比于单独计算 $n$ 个single exponentiations，直接计算 ${\prod }_{i=1}^n{g}_i^{x_i}$会更快，这将有助于快速计算Pedersen commitment。

常用的multi-exponentiation技术主要有：

• Pippenger 1980年论文《On the evaluation of powers and monomials》中提出了一种general theory of multi-exponentiations；
• Lim 2000年论文《Efficient multi-exponentiation and application to batch verification of digital signatures》中提出了一种 concrete multi-exponentiation 技术，当 $n$ 很大时，其complexity低于 $2nk/{\log }_{2}n$ multiplications in $G$。

本文推荐使用Lim的multi-exponentiation算法。

1.4 一些假设

• Schwartz-Zippel Lemma：
  

2. Argument of Knowledge of Commitment Openings

基本信息为：
Public info：commitment key $ck$ 和 a set of commitments $c_1,\cdots ,c_m$。
Private info：a set of vectors $x_1,\cdots ,x_m\in {\mathbb{Z}}_p^n$。
Relation：for $i\in [1,m]$ 有 $c_i=com(x_i;r_i)$。

Knowledge of content of commitments的证明算法为：（含3 rounds）

• 1）Prover：选择随机数 $x_0\leftarrow {\mathbb{Z}}_p^n,r_0\leftarrow {\mathbb{Z}}_p$，计算$c_0=co{m}_{ck}(x_0;r_0)$，并将$c_0$值发送给Verifier。
• 2）Verifier：发送random challenge $e\leftarrow {\mathbb{Z}}_p$。
• 3）Prover：计算$z={\sum }_{i=0}^m{e}^i{x}_i=(x_{01}+e{x}_{11}+\cdots +e^m{x}_{m1},x_{02}+e{x}_{12}+\cdots +e^m{x}_{m2},\cdots ,m{x}_{0n}+e^m{x}_{1n}+\cdots +e^m{x}_{mn})$ 和 $s={\sum }_{i=0}^m{e}^i{r}_i$。将$z\in {\mathbb{Z}}_p^n$和$s\in {\mathbb{Z}}_p$发送给Verifier。
• 4）Verifier验证 ${\prod }_{i=0}^m{c}_i^{e^i}=co{m}_{ck}(z;s)$ 是否成立即可。

整个证明算法中，communication cost包含：1个commitment和 $n+2$ 个field elements。Prover计算了1个commitment、a linear combination of the vectors $x_i$ 和 a linear combination of the randomizer $r_i$。采用multi-exponentiation 技术，Prover需要计算大约 $2nk/{\log }_{2}n$ 次 multiplications of group elements以及 $mn$ 次 multiplications of field elements。Verifier采用multi-exponentiations技术来计算commitment和 multi-exponentiation of $m$ commitments，需要大约 $2mk/{\log }_{2}m+2nk/{\log }_{2}n$次multiplications in the group。整个证明算法的comminication和computation开销都比较低。

以上证明算法为3-move public coin argument with witness extended emulation for knowledge of the openings of a set of commitments，该argument具有perfect completeness和perfect SHVZK。（详细内容参见论文中Theorem 4 证明。）

3. matric、vector和element的线性代数关系表示

本文中 $\circ$ 表示 Hadamard product (entry-wise product)。

• private info（committed info）有：矩阵 ${\mathbf{X}}_i,{\mathbf{Y}}_i,\mathbf{Z}\in Ma{t}_{n\times n}({\mathbb{Z}}_p)$，行向量 $x_i,y_i,z\in {\mathbb{Z}}_p^n$ 和 element $z\in {\mathbb{Z}}_p$。
• public info 有：$a_i\in {\mathbb{Z}}_p$。
  本文主要关注6种类型的关系等式为：
• （1）$z^T={\sum }_{i=1}^m{a}_i{\mathbf{X}}_i{y}_i^T$
• （2）$\mathbf{Z}={\sum }_{i=1}^m{a}_i{\mathbf{X}}_i{\mathbf{Y}}_i$
• （3）$\mathbf{Z}={\sum }_{i=1}^m{\mathbf{X}}_i\circ {\mathbf{Y}}_i$
• （4）$z={\sum }_{i=1}^m{a}_i{x}_i{y}_i^T$
• （5）$z={\sum }_{i=1}^m{a}_i{x}_i{\mathbf{Y}}_i$
• （6）$z={\sum }_{i=1}^m{a}_i{x}_i\circ y_i$

对于以上6种关系等式，均可转换为一系列形式如下的方程式：
$z={\sum }_{i=1}^m{x}_i\ast y_i$
其中 $\ast :{\mathbb{Z}}_p^n\ast {\mathbb{Z}}_p^n\to {\mathbb{Z}}_p$ 为bilinear map。
本文中的bilinear map选择有两种：

• 用于表示标准的dot product of vectors：$x\ast y=x{y}^T$；
• 用于表示：$x\ast y=x(y\circ t{)}^T$，其中$t\in {\mathbb{Z}}_p^n$为由Verifier选择的public vector。

由于矩阵可以以$n$个行向量表示，以上6种类型的前三种关系等式分别对应为$n$个后三种关系等式。（即关系式1对应$n$个关系式4，关系式2对应$n$个关系式5，关系式3对应$n$个关系式6。）
因此，将重点关注将关系式4、5、6转换为一系列形如 $z={\sum }_{i=1}^m{x}_i\ast y_i$ 的方程式。

3.1 将大量$z={\sum }_{i=1}^m{a}_i{x}_i{y}_i^T$ reduce为一个方程式

利用Randomization，可将$Q$个形如$z_q={\sum }_{i=1}^{m_q}{a}_{qi}{x}_{qi}{y}_{qi}^T$的方程式reduce为一个形如$z={\sum }_{i=1}^m{z}_i{y}_i^T,其中m={\sum }_{q=1}^Q{m}_q$的单一的方程式。

• Verifier选择随机数 $r\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $r=(r_1,\cdots ,r_Q)=(1,r,\cdots ,r^{Q-1})$。
• 1）接下来，需要Prover证明 ${\sum }_{q=1}^Q{r}_q{z}_q={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}(r_q{a}_{qi}{x}_{qi})y_{qi}^T$成立。【以向量形式表示$z=(z_1,\cdots ,z_Q)$，即相当于需证明$z{r}^T={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}(r_q{a}_{qi}{x}_{qi})y_{qi}^T$】
  该等式左右两侧均为以challenge $r$为变量的多项式，多项式的阶均为 $Q-1$，根据Schwartz-Zippel lemma，以上等式伪造成立的概率不高于 $\frac{Q-1}{p}$。
  可直接设置$z={\sum }_{q=1}^Q{r}_q{z}_q,x_{qi}^{\prime }=r_q{a}_{qi}{x}_{qi}$【因为相应的commitment可直接计算：$com(z)={\prod }_{q=1}^Q(com(z_q){)}^{r_q},com(x_{qi}^{\prime })=(com(x_{qi}){)}^{r_q{a}_{qi}}$】，则有：
  $z={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}{x}_{qi}^{\prime }{y}_{qi}^T$

3.2 将$z={\sum }_{i=1}^m{a}_i{x}_i{\mathbf{Y}}_i$ reduce为形如$z={\sum }_{i=1}^m{a}_i{x}_i{y}_i^T$

• Verifier：选择随机数 $t\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $t=(1,t,\cdots ,t^{n-1})$。
• 1）接下来，需要Prover证明 $z{t}^T=({\sum }_{i=1}^m{a}_i{x}_i{\mathbf{Y}}_i)t^T={\sum }_{i=1}^m{a}_i{x}_i({\mathbf{Y}}_i{t}^T)$成立。
  该等式左右两侧均为以challenge $t$为变量的多项式，多项式的阶均为 $n-1$，根据Schwartz-Zippel lemma，以上等式伪造成立的概率不高于 $\frac{n-1}{p}$。
  存在的问题是：已知矩阵${\mathbf{Y}}_i$的每行向量的commitment，无法直接计算${\mathbf{Y}}_i{t}^T$的commitment。为证明the linear combination of the columns，需要额外再引入2个round：【矩阵转置运算有$(\mathbf{A}\mathbf{B}{)}^T={\mathbf{B}}^T{\mathbf{A}}^T$，因此有$({\mathbf{Y}}_i{t}^T{)}^T=t{\mathbf{Y}}_i^T$】
• 2）Prover 针对向量 $y_i=t{\mathbf{Y}}_i^T$ 计算commitment $C_{y_i}=com(y_i)$，并将 $C_{y_i}$ 发送给Verifier。
  由步骤1）中的等式证明改为证明$z{t}^T-{\sum }_{i=1}^m{a}_i{x}_i{y}_i^T=0$成立且证明$y_i=t{\mathbf{Y}}_i^T$。
• Verifier：选择随机数 $s\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $s=(1,s,\cdots ,s^{n-1})$。【对于向量的dot product表示，有$a{b}^T=b{a}^T$，于是有 $y_i{s}^T=s{y}_i^T=s{\mathbf{Y}}_i{t}^T=(s{\mathbf{Y}}_i)t^T$】
• Prover：
  – (a) 对于 $y_i=t{\mathbf{Y}}_i^T$ 改为证明 $y_i{s}^T=(s{\mathbf{Y}}_i)t^T$ 成立。
  注意此时，$(s{\mathbf{Y}}_i)$为矩阵${\mathbf{Y}}_i$行向量的线性组合，所以相应的commitment可直接基于矩阵${\mathbf{Y}}_i$行向量${Y_i}_j$的commitment计算—— $com(s{\mathbf{Y}}_i)={\prod }_{j=1}^n(com({Y_i}_j){)}^{s_j}$。此处可实现$y_i=t{\mathbf{Y}}_i^T$证明。【？？相当于3.1节中，$Q=1,m=1$ 的特例情况，可转换为3.1节中的证明。】
  – (b) 对于$z{t}^T-{\sum }_{i=1}^m{a}_i{x}_i{y}_i^T=0$的证明，相当于3.1中 $Q=1$ 的特例情况，可转换为3.1节中的证明。
  【？？注意此处不再是对整个$z$向量的commitment，而应该是对其中每个元素进行commitment，这样才能计算$com(z{t}^T)={\prod }_{i=1}^n(com(z_i){)}^{t_i}$】

以上整个reduction中的主要开销在于：

• 计算$y_i$；
• 计算$s{\mathbf{Y}}_i$；
• 计算$y_i$的commitments。

3.3 将大量$z={\sum }_{i=1}^m{a}_i{x}_i\circ y_i$ Hadamard Products reduce为a single Equation with a Bilinear Map

利用Randomization，可将$Q$个形如$z_q={\sum }_{i=1}^{m_q}{a}_{qi}{x}_{qi}\circ y_{qi}$的方程式reduce为一个单一的具有Bilinear Map的方程式。

• Verifier选择随机数 $r\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $r=(r_1,\cdots ,r_Q)=(1,r,\cdots ,r^{Q-1})$。
• 1）接下来，需要Prover证明 ${\sum }_{q=1}^Q{r}_q{z}_q={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}(r_q{a}_{qi}{x}_{qi})\circ y_{qi}$成立。
  该等式左右两侧均为以challenge $r$为变量的多项式，多项式的阶均为 $Q-1$，根据Schwartz-Zippel lemma，以上等式伪造成立的概率不高于 $\frac{Q-1}{p}$。
  可直接设置$z^{\prime }={\sum }_{q=1}^Q{r}_q{z}_q,x_{qi}^{\prime }=r_q{a}_{qi}{x}_{qi}$【因为相应的commitment可直接计算：$com(z^{\prime })={\prod }_{q=1}^Q(com(z_q){)}^{r_q},com(x_{qi}^{\prime })=(com(x_{qi}){)}^{r_q{a}_{qi}}$】，则有a Hadamard equation：
  $z^{\prime }={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}{x}_{qi}^{\prime }\circ y_{qi}^T$

对于形如$z={\sum }_{i=1}^m{x}_i\circ y_i$的Hadamard 方程式的证明：

• Verifier选择随机数 $t\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $t=(t_1,\cdots ,t_Q)=(1,t,\cdots ,t^{Q-1})$。
• 2）接下来，需要Prover 证明 $z{t}^T=({\sum }_{i=1}^m{x}_i\circ y_i)t^T={\sum }_{i=1}^m{x}_i(y_i\circ t{)}^T$
  定义bilinear map为：
  $\ast :{\mathbb{Z}}_p^n\times {\mathbb{Z}}_p^n\to {\mathbb{Z}}_p(x,y)\to x(y\circ t{)}^T$
  于是转为证明 $0={\sum }_{i=1}^m{x}_i\ast y_i-z\ast 1$，其中$1=(1,1,\cdots ,1)$。

4. Vector Product Equation的零知识证明

第3节中提到的6种方程式，均可以转换为形如$z={\sum }_{i=1}^m{x}_i\ast y_i$的方程式，其中$\ast$代表2种bilinear map：

• 用于表示标准的dot product of vectors：$x\ast y=x{y}^T$；
• 用于表示：$x\ast y=x(y\circ t{)}^T$，其中$t=(1,t,\cdots ,t^{n-1})\in {\mathbb{Z}}_p^n$为由Verifier选择的public vector。

基本信息：

• public info：commitment key $ck$及其他commitments。
• private info：$z\in {\mathbb{Z}}_p,x_1,y_1,\cdots ,\cdots ,x_m,y_m\in {\mathbb{Z}}_p^n$。
• relation：$z={\sum }_{i=1}^m{x}_i\ast y_i$。

接下来，将针对以上场景构建的零知识证明算法。

4.1 $m=1$的最小化情况

首先，考虑$m=1$的最小化情况下，基本信息为：

• public info：commitment key $ck$ 及 commitments $a=co{m}_{ck}(x;r),b=co{m}_{ck}(y;s),c=co{m}_{ck}(z;t)$。
• private info：$r,s,t,z\in {\mathbb{Z}}_p,x,y\in {\mathbb{Z}}_p^n$。
• relation：$z=x\ast y$。

【证明算法主要构建基础为：$(ex+d_x)\ast (ey+d_y)=e^{2}x\ast y+e(x\ast d_x+y\ast d_y)+d_x\ast d_y$。】

针对$m=1$的最小化情况的证明为：

• Prover：选择随机数$d_x,d_y\leftarrow {\mathbb{Z}}_p^n,d_z\leftarrow {\mathbb{Z}}_p,r_d,s_d,t_1,t_0\leftarrow {\mathbb{Z}}_p$，计算如下commitments：
  $a_d=co{m}_{ck}(d_x;r_d),b_d=co{m}_{c}k(d_y;s_d),c_1=co{m}_{ck}(x\ast d_x+y\ast d_y;t_1),c_0=co{m}_{ck}(d_x\ast d_y;t_0)$
  将commitments $a_d,b_d,c_1,c_0$ 发送给Verifier。

• Verifier：选择随机challenge $e\leftarrow {\mathbb{Z}}_p$发送给Prover。

• Prover：计算：
  $f_x=ex+d_x,f_y=ey+d_y,r_x=er+r_d,s_y=es+s_d,t_z=e^{2}t+e{t}_1+t_0$
  将 $f_x,f_y,r_x,s_y,t_z$发送给Verifier。

• Verifier：验证以下方程式是否均成立：
  $a^e{a}_d=co{m}_{ck}(f_x;r_x)\wedge b^e{b}_d=co{m}_{ck}(f_y;s_y)\wedge c^{e^2}{c}_1^e{c}_0=co{m}_{ck}(f_x\ast f_y;t_z)$。

以上算法的：

• communication cost为：4个commitment和$2n+3$ 个field elements，对于large $n$来说，对应大约 $2nk$ bits。
• Prover的computation cost 为：计算commitments $a_d,b_d$。可采用Lim的multi-exponentiation技术，对应为$4nk/{\log }_{2}n$个multiplications in $G$。
• Veriifer的computation cost为：计算$f_x,f_y$的commitments，可采用Lim的multi-exponentiation技术，对应也为$4nk/{\log }_{2}n$个multiplications in $G$。但是，可在此基础上再采用randomization技术，再次reduce为$2nk/{\log }_{2}n$个multiplications in $G$，具体实现方法为：Verifier引入随机数$\alpha \leftarrow {\mathbb{Z}}_p$，同时验证2个commitments的方程式 $(a^e{a}_d{)}^{\alpha }{b}^e{b}_d=co{m}_{ck}(\alpha f_x+f_y;\alpha r_x+s_y)$。

4.2 将$m>1$的情况通过2-round reduce为$m=1$的最小化情况

$m>1$时，基本信息为：

• public info：commitment key $ck$ 及 commitments $a_1=co{m}_{ck}(x_1;r_1),b_1=co{m}_{ck}(y_1;s_1),\cdots ,\cdots ,a_m=co{m}_{ck}(x_m;r_m),b_m=co{m}_{ck}(y_m;s_m),c=co{m}_{ck}(z;t)$。
• private info：$r_1,s_1,\cdots ,\cdots ,r_m,s_m,t,z\in {\mathbb{Z}}_p,x_1,y_1,\cdots ,\cdots ,x_m,y_m\in {\mathbb{Z}}_p^n$。
• relation：$z={\sum }_{i=1}^{m}x\ast y$。

证明思路为：
1）将以上$m>1$的情况通过2-round reduce为$m=1$的最小化情况；
2）reduce为$m=1$后，直接调用4.1节证明算法进行证明。

将以上$m>1$的情况通过2-round reduce为$m=1$的最小化情况，$z={\sum }_{i=1}^{m}x\ast y$主要构建思路为展开为如下矩阵表示，同时取所有对角线元素之和：（共有$2m-1$条对角线，其中$c_{m-1}=co{m}_{ck}(z;t)=c$）

详细的实现过程为：

• Prover：for $0\le l\le 2m-2$，选择随机数$t_l\leftarrow {\mathbb{Z}}_p$，为保证主对角线$c_{m-1}=co{m}_{ck}(z;t)=c$，需设置$t_{m-1}=t$。Prover计算除主对角线之外的其它对角线元素之和的commitment，对应为 for $0\le l\le 2m-2,l\ne m-1$，$c_l=co{m}_{ck}({\sum }_{i,j;l=m+i-j-1}{x}_i\ast y_j;t_l)$。将commitments $c_0,\cdots ,c_{2m-2}$ 发送给Verifier。

• Verifier： 发送random challenge $e\leftarrow {\mathbb{Z}}_p$。

• Prover：定义commitments $a^{\prime }=co{m}_{ck}(x^{\prime };r^{\prime })={\prod }_{i=1}^m{a}_i^{e^{i-1}},b^{\prime }=co{m}_{ck}(y^{\prime };s^{\prime })={\prod }_{j=1}^m{b}_j^{e^{m-j}},c^{\prime }=co{m}_{ck}(z^{\prime };t^{\prime })={\prod }_{l=0}^{2m-2}{c}_l^{e^l}$
  Prover计算与这些commitments对应的openings：
  $x^{\prime }={\sum }_{i=1}^m{e}^{i-1}{x}_i,r^{\prime }={\sum }_{i=1}^m{e}^{i-1}{r}_i,y^{\prime }={\sum }_{j=1}^m{e}^{m-j}{y}_j,s^{\prime }={\sum }_{j=1}^m{e}^{m-j}{s}_j$
  
  从而改为证明 $z^{\prime }=x^{\prime }\ast y^{\prime }={\sum }_{l=0}^{2m-2}{e}^l{\sum }_{i,j:l=m+i-j-1}{x}_i\ast y_j$，而$t^{\prime }={\sum }_{l=0}^{2m-2}{e}^l{t}_l$。
  基本信息为：
  – public info：commitments $a^{\prime }=co{m}_{ck}(x$