基于cycle of curves的Nova证明系统

1. 引言

主要见斯坦福大学Wilson Nguyen、Dan Boneh和微软研究中心Srinath Setty 2023年论文《Revisiting the Nova Proof System on a Cycle of Curves》。

前序博客有：

• Nova: Recursive Zero-Knowledge Arguments from Folding Schemes学习笔记

在2021年Nova 论文中，基于relaxed R1CS statements的folding scheme，构建了针对IVC（Incrementally Verifiable Computation）的高效简洁证明系统——Nova证明系统。不过在该论文中，Nova的描述和分析都限制为single chain of incremental computation（$z_n=F^n(z_0)$，称为single IVC chain），即每个计算步骤完全相同，当前步骤的输出作为下一步的输入，每一步都运行某函数$F$，并将 关于之前步骤有效性的statement fold入 an ongoing statement中。在Nova论文中所展示的Nova证明系统使用的是order为$p$的单一椭圆曲线。

但实际实现时，为提升效率，在https://github.com/Microsoft/Nova代码中，采用的是 2-cycle of elliptic curves。在代码中对应的2条并行的IVC链，且二者必须连接在一起。但迄今为止，该修改方案仅在代码中体现了，并无任何公开的安全性证明。

本文将揭示在https://github.com/Microsoft/Nova的2-cycle Nova系统实现中存在的soundness vulnerability——见附录B。该漏洞使得攻击者可为false statement生成proof——如，在笔记本上仅需1.46秒就可生成 “$2^{75}$轮Minroot VDF的正确执行”的让人信服的Nova proof。该攻击的核心问题在于原始的2-cycle Nova系统生成的IVC proof中包含了一个额外的R1CS instance-witness pair——Verifier未对其做足够约束。

修改了该可靠性漏洞之后的系统效率更高。特别是修改后，从recursive proof中移除了一个R1CS instance-witness pair——使得修订后的Nova具有更短的IVC proof。目前https://github.com/Microsoft/Nova中为修复了该漏洞的安全、优化好的代码。

同时，本文将展示Nova proof是可延展的，在某些应用中存在安全漏洞，并讨论了几个缓解措施。

1.1 IVC（Incrementally Verifiable Computation）

IVC（Incrementally Verifiable Computation）首次由Valiant在其2008年论文《Incrementally verifiable computation or proofs of knowledge imply time/space efficiency》中提出。

对于某函数$F:\{0,1{\}}^a\times \{0,1{\}}^b\to \{0,1{\}}^a$，有公开值$z_0,z_i\in \{0,1{\}}^a$，IVC方案是指Prover $\mathcal{P}$ 声称其知道辅助值${\text{aux}}_0,\cdots ,{\text{aux}}_{i-1}\in \{0,1{\}}^b$，使得：

，并生成相应的简洁证明。

IVC方案定义为：

以上定义具有完备性和knowledge soundness属性：【其中knowledge soundness属性，是指可full extraction——提取execution chain中的所有辅助值。本文重点关注IVC方案的knowledge soundness属性。】

上述定义中，Verifier的输入中包含函数$F$的描述，即意味着Verifier running time 必须至少为linear in the size of $F$。可额外引入Keygen算法——输出专门针对$F$的prover-verifier key pair (pk, vk)，其中vk size为sub-linear in the size of $F$。这样就将处理函数$F$描述的工作 转移给了 预处理阶段。Verifier代替$F$以vk为输入，从而可由更快的线上Verifier。事实上在nova中包含了Keygen算法来实现succinct Verifier。

1.2 Committed Relaxed R1CS over a Ring

基于cycle of curves的Nova证明系统同时使用了2个有限域${\mathbb{F}}_1,{\mathbb{F}}_2$。因此可将Nova中的原语看成是基于有限交换ring $R:={\mathbb{F}}_1\times {\mathbb{F}}_2$，其中的加法和乘法运算是按元素进行的。即对于$R$中的$a=(a_1,a_2,),b=(b_1,b_2)$，有$a+b=(a_1+b_1,a_2+b_2),a\cdot b=(a_1{b}_1,a_2{b}_2)$。

承诺方案定义为：

承诺方案应满足：binding属性、加法同态属性，以及succinct属性。

限交换ring $R$，对Relaxed R1CS的承诺表示为：

注意，当$s=1$且$E$为零向量时，Relaxed R1CS对应为R1CS，即R1CS为Relaxed R1CS的特例情况。

Trivially Satisfiable Instance-Witness Pair定义：

• 以committed instance-witness pair $({\mathbb{U}}_{\perp },{\mathbb{W}}_{\perp })$表示某R1CS约束系统R1CS over $R$的trivially satisfying pair。
• 在Nova论文中，改建Trivially Satisfiable Instance-Witness Pair的方法为：【使得$0=0$恒成立。用作IVC的初始instance-witness pair。】
  • 设置$E,W,x$均为合适长度的零向量
  • $\bar{E},\bar{W}$均为对零向量的承诺值
  • $s=0$

1.3 针对Committed Relaxed R1CS over a Ring的Folding Scheme

Folding Schemes为IVC提供了高效方案。近期的一些研究成果[1,2,10-12,15]为不同的问题构建了高效folding方案。Nova论文则为2个committed relaxed R1CS的instance和witness 构建了优雅的folding方案。

Nova的folding scheme为public-coin、one-round交互协议，并可在random oracle model下使用Fiat-Shamir转换为来实现非交互式。此外，Nova启发式地将该random oracle实例化为具体的哈希函数，并假设该启发式生成的协议具有knowledge sound。类似的假设也用于[1,2,10]等其它递归系统中。

Committed Relaxed R1CS的非交互式folding scheme定义为：

该定义满足完备性和knowledge soundness属性：

Nova论文中采用了抗碰撞哈希函数。所谓抗碰撞哈希函数是指：

2. Nova证明系统实现预备知识

• cycle of elliptic curves：为减少与group运算相关的约束数，Nova实际实现时使用了满足DLP（discrete log problem）假设的cycle of elliptic curves。Nova实际实现时可采用实现了特定Rust trait（Nova为pasta cycle of two curves实现了相应trait）的任意cycle of elliptic curves。
  将椭圆曲线group表示为${\mathbb{G}}_1,{\mathbb{G}}_2$。将椭圆曲线group $\mathbb{G}$的order $|\mathbb{G}|$称为scalar域$\mathbb{F}$，该曲线基于的域${\mathbb{F}}^{\prime }$称为基域（即point形式为$(x,y)\in {\mathbb{F}}^{\prime }\times {\mathbb{F}}^{\prime }$）。
  cycle of elliptic curves是指：

  • group ${\mathbb{G}}_1$具有scalar域${\mathbb{F}}_1$和base域${\mathbb{F}}_2$。${\mathbb{G}}_2$具有scalar域${\mathbb{F}}_2$和base域${\mathbb{F}}_1$。
  • 对${\mathbb{G}}_1$的group运算，可高效表示为基于其base域${\mathbb{F}}_2$的约束。
  • 对${\mathbb{G}}_2$的group运算，可高效表示为基于其base域${\mathbb{F}}_1$的约束。
  • 基于${\mathbb{F}}_1$向量的vector commitment对应的承诺值空间为group ${\mathbb{G}}_1$。
  • 基于${\mathbb{F}}_2$向量的vector commitment对应的承诺值空间为group ${\mathbb{G}}_2$。

  定义ring $R:={\mathbb{F}}_1\times {\mathbb{F}}_2$为一组tuples，其中一个元素在${\mathbb{F}}_1$，另一个在${\mathbb{F}}_1$。域运算对应为每个元素的域运算。
  同理定义group $\mathbb{G}:={\mathbb{G}}_1\times {\mathbb{G}}_2$为一组tuples，其中一个元素在${\mathbb{G}}_1$，另一个在${\mathbb{G}}_1$。group运算对应为每个元素的group运算。

• commitments承诺值：Nova的folding流程中，要求（基于域$\mathbb{F}$的）向量承诺方案具有加法同态属性。在Nova论文中采用了Pedersen向量承诺方案，对应满足DLG假设的order为$|\mathbb{F}|$的group $\mathbb{G}$。不过在Nova代码实现中支持具有加法同态属性的通用承诺方案，可对向量采用不同的承诺方案，不过本文重点关注Pedersen向量承诺方案。
  对ring $R:={\mathbb{F}}_1\times {\mathbb{F}}_2$的承诺由 “基于${\mathbb{F}}_1$向量的Pedersen vector commitment对应的承诺值空间group ${\mathbb{G}}_1$” 和 “基于${\mathbb{F}}_2$向量的Pedersen vector commitment对应的承诺值空间group ${\mathbb{G}}_2$” 组成。对于某向量$x\in R^n$，分别以$x^{(1)}\in {\mathbb{F}}_1^n$ 和 $x^{(2)}\in {\mathbb{F}}_2^n$来表示其左右侧向量。对$x$的承诺对应为：对$x^{(1)}\in {\mathbb{F}}_1^n$的承诺 和 对$x^{(2)}\in {\mathbb{F}}_2^n$的承诺。即，对向量$x\in R^n$的承诺值为group $\mathbb{G}:={\mathbb{G}}_1\times {\mathbb{G}}_2$内元素。

• committed relaxed instance：有2个分别基于${\mathbb{F}}_1和{\mathbb{F}}_2$的R1CS约束系统：
  ${\text{R1CS}}^{(1)}:=(A_1,B_1,C_1\in {\mathbb{F}}_1^{n_1\times m_1})$ 和 ${\text{R1CS}}^{(2)}:=(A_2,B_2,C_2\in {\mathbb{F}}_2^{n_2\times m_2})$
  对${\text{R1CS}}^{(1)}$的committed relaxed instance为tuple：
  ${\mathbb{U}}^{(1)}:=({\bar{E}}^{(1)},s^{(1)},{\bar{W}}^{(1)},x^{(1)})$，其中${\bar{E}}^{(1)},{\bar{W}}^{(1)}\in {\mathbb{G}}_1,s^{(1)}\in {\mathbb{F}}_1,x^{(1)}\in {\mathbb{F}}^{l_1}$
  相应的relaxed witness $\mathbb{W}=(E^{(1)},W^{(1)})$具有error向量$E^{(1)}\in {\mathbb{F}}_1^{n_1}$ 和 extended witness $W^{(1)}\in {\mathbb{F}}^{m_1-l_1-1}$。
  对称地，对${\text{R1CS}}^{(2)}$的committed relaxed instance为tuple：
  ${\mathbb{U}}^{(2)}:=({\bar{E}}^{(2)},s^{(2)},{\bar{W}}^{(2)},x^{(2)})$，其中${\bar{E}}^{(2)},{\bar{W}}^{(2)}\in {\mathbb{G}}_2,s^{(2)}\in {\mathbb{F}}_2,x^{(2)}\in {\mathbb{F}}^{l_2}$
  相应的relaxed witness $\mathbb{W}=(E^{(2)},W^{(2)})$具有error向量$E^{(2)}\in {\mathbb{F}}_2^{n_2}$ 和 extended witness $W^{(2)}\in {\mathbb{F}}^{m_2-l_2-1}$。
  可将基于${\mathbb{F}}_1$的${\text{R1CS}}^{(1)}$约束系统 和 基于${\mathbb{F}}_2$的${\text{R1CS}}^{(2)}$约束系统 看成是 基于$R:={\mathbb{F}}_1\times {\mathbb{F}}_2$的单个约束系统$\text{R1CS}:=(A,B,C\in R^{n\times m})$。${\text{R1CS}}^{(1)}$ 和 ${\text{R1CS}}^{(2)}$分别对应$\text{R1CS}$的左右侧，二者可具有不同的dimension（即可以$n_1\ne n_2,m_1\ne m_2$），然后取$m=\max (m_1,m_2),n=\max (n_1,n_2),l=\max (l_1,l_2)$，对其填充dummy行列以具有相同的dimension。同理，instance-witness pair $({\mathbb{U}}^{(1)},{\mathbb{W}}^{(1)}),({\mathbb{U}}^{(2)},{\mathbb{W}}^{(2)})$ 对应为 $\text{R1CS}$的instance-witness pair $(\mathbb{U},\mathbb{W})$的左右侧。

• 哈希函数：哈希函数 $H_1:{\mathbb{F}}_1^{\ast }\to {\mathbb{F}}_1$ 和 $H_2:{\mathbb{F}}_2^{\ast }\to {\mathbb{F}}_2$ 为抗碰撞哈希函数，其输入为任意数量的域元素，输出为编码了其哈希值的单个域元素。在Nova中，编码了哈希值的单个域元素对应为某scalar值，该scalar值以二进制表示最多有250位长。不过该输出哈希值在${\mathbb{F}}_1,{\mathbb{F}}_2$这2个域都有唯一表示，这2个域内元素均为256位。【哈希摘要的长度可配置，不过当前选择的摘要长度为250位，以支持一些流行curve cycles，如：secp/secq、pallas/vesta（pasta curves）、BN254/Grumpkin。】
  定义$h_1:=H_1(\cdots )$为$H_1$对任意输入元素$(\cdots )\in {\mathbb{F}}_1^{\ast }$的输出。该哈希值可表示为$h_1={\sum }_{i\le 250}{b}_i^{(1)}\cdot (2^{(1)}{)}^i$，其中$2^{(1)}\in {\mathbb{F}}_1$，并对所有的$i\le 250$，$b_i^{(1)}\in {\mathbb{F}}_1$均为bits in $\{0,1\}$。域${\mathbb{F}}_1$内的哈希输出$h_1={\sum }_{i\le 250}{b}_i^{(1)}\cdot (2^{(1)}{)}^i$ 可表示为 域${\mathbb{F}}_2$内的某元素$h_1^{\prime }$。定义$h_1^{\prime }={\sum }_{i\le 250}{b}_i^{(2)}\cdot (2^{(2)}{)}^i$，其中对于所有$i\le 250$，bit $b_i^{(2)}\in {\mathbb{F}}_2$ 与 bit $b_i^{(1)}\in {\mathbb{F}}_1$ 完全相同（即若$b_i^{(1)}=1^{(1)}$，则定义$b_i^{(2)}=1^{(2)}$，反之则定义$b_i^{(2)}=0^{(2)}$）。同理对于域${\mathbb{F}}_2$内的哈希输出$h_2={\sum }_{i\le 250}{b}_i^{(2)}\cdot (2^{(2)}{)}^i$ 也可用相同方式表示为域${\mathbb{F}}_1$内的某元素$h_2^{\prime }$。
  抗碰撞哈希函数 $H:\{0,1{\}}^{\ast }\to \{0,1{\}}^{\lambda }$的输出哈希值可在2个域中唯一表示。为便于表示，忽略了$H$的参数。在Nova代码实现中：

  • 对$H_1$和$H_2$均使用了Poseidon哈希函数。
  • 对$H$采用了SHA-3函数。

2.1 基于cycle of curves的folding方案

在Nova论文中，通过对交互式folding方案 应用 Fiat-Shamir transform构建了random oracle model，从而实现了非交互式folding方案。通过使用合适的密码学哈希函数来实例化random oracle，可启发式地获得plain model下的非交互式folding方案。Nova论文中局限为基于单个域$\mathbb{F}$、承诺值属于某（scalar域为$\mathbb{F}）group $\mathbb{G}$的R1CS约束系统$\text{R1CS}$。

本文将R1CS约束系统$\text{R1CS}$ 扩展为基于ring $R:={\mathbb{F}}_1\times {\mathbb{F}}_2$，包含：

• 针对 基于域${\mathbb{F}}_1$的R1CS约束系统${\text{R1CS}}^{(1)}$的folding方案
• 针对 基于域${\mathbb{F}}_2$的R1CS约束系统${\text{R1CS}}^{(2)}$的folding方案

Nova系列博客

• Nova: Recursive Zero-Knowledge Arguments from Folding Schemes学习笔记
• Nova 和 SuperNova：无需通用电路的通用机器执行证明系统
• Sangria：类似Nova folding scheme的relaxed PLONK for PLONK
• 基于Nova/SuperNova的zkVM
• SuperNova：为多指令虚拟机执行提供递归证明
• Lurk——Recursive zk-SNARKs编程语言
• Research Day 2023：Succinct ZKP最新进展
• 2023年 ZK Hack以及ZK Summit 亮点记