Efficient polynomial commitment schemes for multiple points and polynomials学习笔记

1. 引言

Boneh等人2020年论文《Efficient polynomial commitment schemes for multiple points and polynomials》，暂无收录信息。

---

要点：

• 基于Q-DLOG assumption实现2种不同的polynomial commitment，支持batch open multiple polynomials at multiple distinct evaluation points。
• 主要基于的思想为：（2个Claim）
  1）对于evaluation point $z\in S$，其$g_{z\in S}(z)=0$，从而有：若$g(X)$可整除$Z_S(X)$，当且仅当$Z_{T\setminus S}(X)\cdot g(X)$可整除$Z_T(X)$。
  2）若$F_1,\cdots ,F_k\in {\mathbb{F}}_{<n}[X]$，$Z\in {\mathbb{F}}_{<n}[X]$可分解为不同的linear factors over $\mathbb{F}$。假设存在某$i\in [k]$，使得$Z\nmid F_i$，则对于uniform选择的$\gamma \in \mathbb{F}$，$G={\sum }_{j=1}^k{\gamma }^{j-1}\cdot F_j$不能整除$Z$的概率高于$1-k/|\mathbb{F}|$。

---

在Kate等人2010年论文[KZG10]《Constant-size commitments to polynomials and their applications》中polynomial commitment scheme的基础上，进行了改进：

• 仅需a single group element即可作为an opening proof for multiple polynomials each evaluated at a different arbitrary subset of points。
  已将本文的研究成果植入进了PLONK 的proving system中，实现了improved proof size和prover run time at the expense of additional verifier ${\mathbb{G}}_2$ operations and pairings, and additional ${\mathbb{G}}_2$ SRS elements。（Gabizon等人2019年论文《PLONK: permutations over lagrange-bases for oecumenical noninteractive arguments of knowledge》）
• 实现了另一种scheme，其proof包含了2个group elements，相应的verifier complexity要优于[KZG10]种的batch verification method。

当需要a “universal and updatable” setup procedure时，Kate等人2010年论文[KZG10]《Constant-size commitments to polynomials and their applications》中提出的polynomial commitment scheme (PCS) 已成为近期构建的succinct arguments的核心组成要素：[MBKM19, Gab19, CHM+19, GWC19, BFS19]

• Maller等人2019年论文《Sonic: Zero-knowledge snarks from linear-size universal and updateable structured reference strings》
• Gabizon等人2019年论文《Auroralight: improved prover efficiency and SRS size in a sonic-like system》
• Chiesa等人2019年论文《Marlin: Preprocessing zksnarks with universal and updatable SRS》
• Gabizon等人2019年论文《PLONK: permutations over lagrange-bases for oecumenical noninteractive arguments of knowledge》
• B¨unz等人2019年论文《Supersonic: Transparent snarks from DARK compilers》

以上polynomial commitment scheme中都“force” a prover to answer verifier queries according to a fixed polynomial of bounded degree。

PCS通常由Prover message $com(f)$ 开始—— 表示the commitment to a polynomial $f$；当Prover声称$s=f(z)$（其中$z$对Verifier亦已知），将$s\in \mathbb{F}$发送给Verifier的同时，也发送相应的“opening proof” $\pi$。当协议中需要运行PCS for 多个多项式和多个evaluation points时，Prover run time 和 communication 将increase with each of these opening proofs。
因此需要构建a PCS，使得the prover overhead doesn’t grow 或者至少grow more slowly with the number of openings。

1.1 相关研究

• Kate等人2010年论文[KZG10]《Constant-size commitments to polynomials and their applications》中的polynomial commitment scheme为：
  基于pairing-based scheme进行构建，其opening proof $\pi$包含了a single ${\mathbb{G}}_1$ group element。

• Maller等人2019年论文《Sonic: Zero-knowledge snarks from linear-size universal and updateable structured reference strings》中，对[KZG10]中的PCS进行了改进 in the random oracle model，使得an opening proof for several polynomials at the same point $z\in \mathbb{F}$ 为a single ${\mathbb{G}}_1$ group element，以适于universal and updatable SNARKs。
  [Gab19, CHM+19, GWC19] Gabizon等人2019年论文《Auroralight: improved prover efficiency and SRS size in a sonic-like system》、Chiesa等人2019年论文《Marlin: Preprocessing zksnarks with universal and updatable SRS》 和 Gabizon等人2019年论文《PLONK: permutations over lagrange-bases for oecumenical noninteractive arguments of knowledge》 中，均用到了类似的single-point multi-polynomial batch protocols。

• Kate等人2010年论文[KZG10]《Constant-size commitments to polynomials and their applications》中还包含了一个不太有名的scheme，实现了 one ${\mathbb{G}}_1$ element opening proof for one polynomial at several evaluation points。[GWC19] Gabizon等人2019年论文《PLONK: permutations over lagrange-bases for oecumenical noninteractive arguments of knowledge》 中有更直观的batched version of the [KZG10] scheme。

• 对于multiple polynomials和multiple evaluation points的情况，[CHM+19, GWC19] Chiesa等人2019年论文《Marlin: Preprocessing zksnarks with universal and updatable SRS》 和 Gabizon等人2019年论文《PLONK: permutations over lagrange-bases for oecumenical noninteractive arguments of knowledge》 中 使用了randomized techniques for batching pairing equations 来改进verification efficiency，但是opening proof size和prover computation仍然grow linearly with the number of distinct points。

本文构建了2种PCS for multiple evaluation points and polynomials：

• version 1：opening proof 仅为a single ${\mathbb{G}}_1$ element，但是当distinct evaluation points的数量很大时，verifier operation比 [KZG10]的方案（KZG as in [GWC19]）中的要重很多。
• version 2：opening proof 为 2个${\mathbb{G}}_1$ elements，verifier complexity要优于KZG as in [GWC19] 方案。

当针对open $t$ polynomials all with the same degree bound $n$, each at on distinct point时，各方案的性能对比如下图所示：

[GWC19] Gabizon等人2019年论文《PLONK: permutations over lagrange-bases for oecumenical noninteractive arguments of knowledge》 中的PLONK proving system 允许generating proofs of knowledge for assignments to fan-in two arithmetic circuits with a universal and updatable SRS。其中Prover的主要算力集中在：

• commit to several polynomials
• open them at two distinct evaluation points

将本文的version 1 PCS 嵌入到PLONK中，从而可节约proof length和prover work related to the opening proof of the second evaluation point（repeat the transformation of Lemma 4.7 in [GWC19] using the PCS of Lemma 3.3 instead of the PCS used there to obtain the new result）。替换前后的性能对比如下图所示：（PLONK论文中做了两个版本的实现，一个optimizes fast proving，另一个关注small proof length。）

本文的version 2 PCS does not give interesting tradeoffs for PLONK as two evaluation points are not enough for its advantages to “kick in”。但是如 SLONK—a simple universal SNARK 中的讨论，当针对有需要多于2个evaluation points的场景时，本文的2种PCS scheme优势将更明显。
因此本文提倡 design constraint systems using multiple Shifts and Permutations over Lagrange bases for Oecumenical Noninteractive arguments of Knowledge。

2. 相关定义

2.1 相关定义

• $\mathbb{F}$：prime order field。

• ${\mathbb{F}}_{<d}[X]$：为the set of 单变量polynomials over $\mathbb{F}$ of degree smaller than $d$。

• $\mathcal{O}$：为object generator，输入为security parameter $\lambda$，输出为all fields and groups used。如本文，$\mathcal{O}(\lambda )=(\mathbb{F},{\mathbb{G}}_1,{\mathbb{G}}_2,{\mathbb{G}}_t,e,g_1,g_2,g_t)$，其中：
  – 1）$\mathbb{F}$为a prime field of super-polynomial size $r={\lambda }^{w(1)}$。
  – 2）${\mathbb{G}}_1,{\mathbb{G}}_2,{\mathbb{G}}_t$ 为 groups of size $r$，$e$为an efficiently computable non-degenerate pairing $e:{\mathbb{G}}_1\times {\mathbb{G}}_2\to {\mathbb{G}}_t$。
  – 3）$g_1,g_2$ 为uniformly chosen generators such that $e(g_1,g_2)=g_t$。

• $[x{]}_1=x\cdot g_1,[x{]}_2=x\cdot g_2$

• $[n]$：表示整数$\{1,\cdots ,n\}$

• e.w.p：全称为”except with probability”，如e.w.p $\gamma$ 表示 probability at least $1-\gamma$。

• Universal SRS-based public coin protocols：
  可借助Fiat-Shamir transform来将interactive protocol转换为non-interactive protocol。整个proof length是指由Prover发送给Verifier的总的communication length。
  本文的protocol允许接触a structured reference string (SRS)，其可derived in $poly(\lambda )$-time form an “SRS of monomials” of the form $\{[x^i{]}_1{\}}_{a\le i\le b},\{[x^i{]}_2{\}}_{c\le i\le d}$, for uniform $x\in \mathbb{F}$ and some integers $a,b,c,d$ with absolute value bounded by $poly(\lambda )$。Bowe等人2017年论文《Scalable multi-party computation for zksnark parameters in the random beacon model》中指出，the required SRS can be derived in a universal and updatable setup requiring only one honest participant，即an adversary controlling all but one of the participants in the setup does not gain more than a $negl(\lambda )$ advantage in its probability of producing a proof of any statement。

2.2 Analysis in the AGM model

本文的安全分析是基于Fuchsbauer等人2018年论文《The algebraic group model and its applications》中的Algebraic Group Model (AGM) 来进行的。by an algebraic adversary $\mathcal{A}$ in an SRS-based protocol, we mean a $poly(\lambda )$-time algorithm 满足如下要求：

• For $i\in \{1,2\}$，whenever $\mathcal{A}$ outputs an element $A\in {\mathbb{G}}_i$，it also outputs a vector $v$ over $\mathbb{F}$ 使得$A=<v,sr{s}_i>$成立。

若all elements of $sr{s}_i$ 都具有form $[f(x){]}_i$ for $f\in {\mathbb{F}}_{<Q}[X]$ and uniform $x\in \mathbb{F}$，则称$srs$具有degree $Q$。接下来考虑的都是具有degree $Q$的SRS。
$f_{i,j}$ 表示the corresponding polynomial for the $j$-th element of $sr{s}_i$。

• $a,b$：为the vectors of $\mathbb{F}$-elements，其encodings in ${\mathbb{G}}_1,{\mathbb{G}}_2$，如the $j$-th ${\mathbb{G}}_1$ element output by $\mathcal{A}$为$[a_j{]}_1$。

• 形如 $(a\cdot {\mathbf{T}}_1)\cdot ({\mathbf{T}}_2\cdot b)=0$ 的check form可称为“real pairing check”。其中矩阵${\mathbf{T}}_1,{\mathbf{T}}_2$ over $\mathbb{F}$。
  若已知the encoded elements 和 the pairing function $e:{\mathbb{G}}_1\times {\mathbb{G}}_2\to {\mathbb{G}}_t$，以上check可高效执行。

• 若已知 a “real pairing check”、the adversary $\mathcal{A}$、procotol execution during which the elements were output，可定义相应的“ideal check”：
  由于$\mathcal{A}$为algebraic的，其输出$[a_j{]}_i$的同时也输出a vector $v$，使得，from linearity，$a_j=\sum v_l{f}_{i,l}(x)=R_{i,j}(x)$ for $R_{i,j}(X)=\sum v_l{f}_{i,l}(X)$。
  for $i\in \{1,2\}$, the vector of polynomials $R_i=(R_{i,j}{)}_j$。
  相应的ideal check为，验证 $(R_1\cdot {\mathbf{T}}_1)\cdot ({\mathbf{T}}_2\cdot R_2)\equiv 0$

• Q-DLOG assumption：
  

• knowledge soundness in the Algebraic Group Model定义为：
  

2.3 Polynomial commitment scheme

本文的polynomial commitment scheme与 [GWC19] Gabizon等人2019年论文《PLONK: permutations over lagrange-bases for oecumenical noninteractive arguments of knowledge》中的类似，只是将其中的Open算法定义为a batched setting having multiple polynomials and evaluation points。
针对multiple points时，可将evaluations of a polynomial $f$ on a set $S\subset \mathbb{F}$ 看成是 given as a polynomial $r\in {\mathbb{F}}_{<|S|}[X]$ with $r(z)=f(z)$ for each $z\in S$。此时：$r(z)=f(z)$ for each $z\in S$，等价为，$f(X)-r(X)$ 可被$Z_S(X)$整除，其中$Z_S(X)={\prod }_{z\in S}(X-z)$。

相应的polynomial commitment scheme定义为：【针对的是$k$个polynomials $f_1,\cdots ,f_k\in {\mathbb{F}}_{<d}[X]$，open at $t$个points $z_1,\cdots ,z_t$——对应拆分到每个polynomial的set分别为$S_1,\cdots ,S_k$】

以上协议满足completeness和knowledge soundness in the algebraic group model：

3. polynomial commitment scheme——version 1

针对的场景是，对于evaluation point $z\in S$，其$g_{z\in S}(z)=0$，从而有：若$g(X)$可整除$Z_S(X)$，当且仅当$Z_{T\setminus S}(X)\cdot g(X)$可整除$Z_T(X)$。
即：

[GWC19] Gabizon等人2019年论文《PLONK: permutations over lagrange-bases for oecumenical noninteractive arguments of knowledge》 中 Claim 4.6指出：
若$F_1,\cdots ,F_k\in {\mathbb{F}}_{<n}[X]$，$Z\in {\mathbb{F}}_{<n}[X]$可分解为不同的linear factors over $\mathbb{F}$。假设存在某$i\in [k]$，使得$Z\nmid F_i$，则对于uniform选择的$\gamma \in \mathbb{F}$，$G={\sum }_{j=1}^k{\gamma }^{j-1}\cdot F_j$不能整除$Z$的概率高于$1-k/|\mathbb{F}|$。

【单polynomial 单point open的PCS细节可参考博客 polynomial commitment及实现方式对比 “3.1节 polynomial commitment定义”】
本文的version 1 polynomial commitment scheme（PCS）为：

• $gen(d)$：选择uniform $x\in \mathbb{F}$，输出$srs=([1{]}_1,[x{]}_1,\cdots ,[x^{d-1}{]}_1,[1{]}_2,[x{]}_2,\cdots ,[x^t{]}_2)$。【需要$d$个${\mathbb{G}}_1$ elements 和 $t+1$个${\mathbb{G}}_2$ elements。】
• $com(f,srs)=[f(x){]}_1$：$c{m}_1,\cdots ,c{m}_k$为the alleged commitments to $f_1,\cdots ,f_k$。【对于integer $n\le d$，计算$f\in {\mathbb{F}}_{<n}[X]$ 的polynomial commitment需要$n$个${\mathbb{G}}_1$-exponentiations 运算。】
• $open(d,t,\{c{m}_i{\}}_{i\in [k]},T=\{z_1,\cdots ,z_t\}\subset \mathbb{F},\{S_i\subset T{\}}_{i\in [k]},\{r_i{\}}_{i\in [k]})$：（其中$\{r_i\in {\mathbb{F}}_{<|S_i|}[X]{\}}_{i\in [k]}$ 为the polynomials describing the alleged correct openings，即for each $i\in [k],z\in S_i$ 有 $r_i(z)=f_i(z)$）
  （a）$V_{PC}$ 发送a random $\gamma \in \mathbb{F}$。
  （b）$P_{PC}$ 计算the polynomial：
  $h(X)={\sum }_{i\in [k]}{\gamma }^{i-1}\cdot \frac{f_i(X)-r_i(X)}{Z_{S_i}(X)}$
  使用 $srs$ 计算 polynomial commitment $W=[h(x){]}_1$，并将$W$发送给$V_{PC}$。【需要将1个${\mathbb{G}}_1$ element从$P_{PC}$发送给$V_{PC}$。$P_{PC}$计算commitment $W$ 时，最多需要$n$个${\mathbb{G}}_1$-exponentiations 运算。】
  （c）$V_{PC}$ 为每个$i\in [k]$均计算：$Z_i=[Z_{T\setminus S_i}(x){]}_2$。【$V_{PC}$需要${\sum }_{i\in [k]}(t-|S_i|)$ 次${\mathbb{G}}_2$-exponentiations 运算。？？？没懂论文中的$k^{\ast }$的具体含义？？？ 】
  （d）$V_{PC}$ 计算：$F={\prod }_{i\in [k]}e({\gamma }^{i-1}\cdot (c{m}_i-[r_i(x){]}_1),Z_i)$ 【$V_{PC}$需要$k$次pairing运算，同时在计算$[r_i(x){]}_1$时，需要${\sum }_{i\in [k]}(|S_i|)$ 次${\mathbb{G}}_1$-exponentiations 运算。】
  （e）$V_{PC}$ 验证 $F=e(W,[Z_T(x){]}_2)$ 是否成立即可。【$V_{PC}$需要1次pairing运算和$t$次${\mathbb{G}}_2$-exponentiations 运算。】

4. polynomial commitment scheme——version 2

polynomial commitment scheme——version 2 在 polynomial commitment scheme——version 1 的基础上，以proof size 换取verifier 的计算压力：

• proof 中增加了1个${\mathbb{G}}_1$ element，一共2个${\mathbb{G}}_1$ element。
• Verifier不再需要做${\mathbb{G}}_2$运算，同时将pairing运算降至仅需2次pairing运算。

polynomial commitment scheme——version 2的详细实现为：（）

• $gen(d)$：选择uniform $x\in \mathbb{F}$，输出$srs=([1{]}_1,[x{]}_1,\cdots ,[x^{d-1}{]}_1,[1{]}_2,[x{]}_2)$。【需要$d$个${\mathbb{G}}_1$ elements 和 $2$个${\mathbb{G}}_2$ elements。】
• $com(f,srs)=[f(x){]}_1$：$c{m}_1,\cdots ,c{m}_k$为the alleged commitments to $f_1,\cdots ,f_k$。【对于integer $n\le d$，计算$f\in {\mathbb{F}}_{<n}[X]$ 的polynomial commitment需要$n$个${\mathbb{G}}_1$-exponentiations 运算。】
• $open(d,t,\{c{m}_i{\}}_{i\in [k]},T=\{z_1,\cdots ,z_t\}\subset \mathbb{F},\{S_i\subset T{\}}_{i\in [k]},\{r_i{\}}_{i\in [k]})$：（其中$\{r_i\in {\mathbb{F}}_{<|S_i|}[X]{\}}_{i\in [k]}$ 为the polynomials describing the alleged correct openings，即for each $i\in [k],z\in S_i$ 有 $r_i(z)=f_i(z)$）
  （a）$V_{PC}$ 发送a random $\gamma \in \mathbb{F}$。
  （b）$P_{PC}$ 计算the polynomial：
  $f(X)={\sum }_{i\in [k]}{\gamma }^{i-1}\cdot Z_{T\setminus S_i}(X)\cdot (f_i(X)-r_i(X))$
  根据Claim 3.2可知，$f$可被$Z_T$整除，定义：
  $h(X)=f(X)/Z_T(X)$
  使用 $srs$ 计算 polynomial commitment $W=[h(x){]}_1$，并将$W$发送给$V_{PC}$。
  （c）$V_{PC}$ 发送a random $z\in \mathbb{F}$。
  （d）$P_{PC}$ 计算the polynomial：
  $L(X)=f_z(X)-Z_T(z)\cdot h(X)$，其中$f_z(X)={\sum }_{i\in [k]}{\gamma }^{i-1}\cdot Z_{T\setminus S_i}(z)\cdot (f_i(X)-r_i(z))$
  注意$L(z)=f(z)-Z_T(z)\cdot h(z)=0$，因此有$(X-z)$ divides $L$。
  使用 $srs$ 计算 polynomial commitment $W‘=[\frac{L(x)}{x-z}{]}_1$，并将$W’$发送给$V_{PC}$。
  （e）$V_{PC}$ 计算：$F={\sum }_{i\in [k]}{\gamma }^{i-1}\cdot Z_{T\setminus S_i}(z)\cdot (c{m}_i-[r_i(z){]}_1)-Z_T(z)\cdot W$ 【$V_{PC}$需要$2$次pairing运算，同时在计算$[r_i(x){]}_1$时，需要${\sum }_{i\in [k]}(|S_i|)$ 次${\mathbb{G}}_1$-exponentiations 运算。】
  （f）$V_{PC}$ 验证 $e(F,[1{]}_2)=e(W’,[x-z{]}_2)$ 是否成立即可。

注意，以上open算法中，$V_{PC}$需计算$[x-1{]}_2$，可做如下操作，move ${\mathbb{G}}_2$ operations into ${\mathbb{G}}_1$ operations：

整个polynomial commitment scheme——version 2 的计算量为：