COM:如何將交互式的零知識證明（zk proof）協議改造為非交互式_Numbers Protocol

密碼學當中的零知識證明技術在 web3 世界有著廣泛的應用，包括進行隱私計算、zkRollup 等等。其中 Layer2 項目 FOX 所使用的 FOAKS 就是一個零知識證明算法。在上述的一系列應用當中，對于零知識證明算法而言，有兩方面屬性極為重要，那就是算法的效率以及交互性。

算法效率的重要性不言而喻，高效的算法可以明顯的降低系統運行時間，從而降低客戶端延遲，顯著的提高用戶體驗和效率，這也是 FOAKS 致力于實現線性證明時間的一個重要原因。

另一方面，從密碼學的角度來講，零知識證明系統的設計往往依賴證明者和驗證者的多輪交互。例如在許多介紹零知識證明的科普文章當中都會使用的“零知識洞穴”的故事當中，證明的實現就依賴于阿里巴巴（證明者）和記者（驗證者）多輪的信息傳遞交互才能實現。但是事實上，在許多應用場景當中，依賴交互會使得系統不再可用，或者極高的增加延遲。就像在 zkRollup 系統當中，我們期望證明者（也就是 FOX 當中的 folder）能夠在本地，不依賴于和驗證者交互的情況下就計算出正確的證明值。

從這個角度說，如何將交互式的零知識證明協議改造為非交互式，就是一個很有意義的問題。在這篇文章當中，我們將介紹 FOX 使用經典的 Fiat-Shamir 啟發式（heuristic）來生成 Brakedown 中的挑戰從而實現非交互式協議的過程。

零知識證明算法隨著應用的鋪開而變得異常火爆，近些年也誕生了包括 FOAKS、Orion、zk-stark 等在內的各種算法。這些算法，以及密碼學界早期的 sigma 協議等的核心證明邏輯都是證明者（Prover）先將某個值發送給驗證者（Verifier），驗證者通過本地隨機數產生一個挑戰（Challenge），將這個隨機產生的挑戰值發給證明者，證明者需要真的有知識才能以大概率做出通過驗證者的響應。例如在零知識洞穴當中，記者拋一個硬幣，告訴阿里巴巴從左側出來還是從右側出來，這里的“左和右”就是對阿里巴巴的挑戰，他如果真的知道咒語，就一定可以從要求的方向走出來，否則就有一半的概率失敗。

美眾議員：將繼續就如何將數字資產納入監管框架與金融服務委員會進行對話:金色財經報道，美國眾議員Don Beyer（非委員會成員）發表了一份聲明，贊賞了金融服務委員會今天舉行的聽證會，并提到了他關于加密貨幣監管的法案。他說：“我的全面數字資產立法是針對這些努力的絕佳起點。我期待與主席Maxine Waters和委員會其他成員繼續就國會如何將數字資產納入監管框架進行對話，這是行業和監管機構一直以來越來越強調的需求。[2021/12/9 13:00:06]

這里我們注意到，Challenge 的生成是一個很關鍵的步驟，它有兩個要求，隨機和不可被證明者預測。第一點，隨機性保證了它的概率屬性。第二點，如果證明者可以預測挑戰值那就意味著協議的安全性被破壞了，證明者沒有知識也可以通過驗證，可以繼續類比，阿里巴巴如果能預測記者要求他從哪邊出來，他即使沒有咒語也可以提前進入那一邊，結果表現出來一樣可以通過協議。

所以我們需要一種辦法，能夠讓證明者自己本地生成這樣一個不可預測的隨機數，同時還能夠被驗證者驗證，這樣就可以實現非交互式的協議。

哈希函數的名字對我們來說或許并不陌生，無論是在比特幣的共識協議 POW 當中擔任挖礦的數學難題，還是壓縮數據量，構造消息驗證碼等等，都有哈希函數的身影。而在上述不同的協議當中，其實是運用了哈希函數的各種不同性質。

具體來講，安全的哈希函數的性質包括以下幾點：

日本金融廳長官：日本要密切關注如何克服發行CBDC的挑戰:日本金融廳長官HIMINO表示，日本不僅需要對央行數字貨幣(CBDC)進行學術研究，要更密切地關注如何克服發行央行數字貨幣可能帶來的挑戰。如果只是解除對比特幣和其他加密貨幣的管制，這可能只會增加投機交易，并不一定會促進技術創新。不考慮推動加密貨幣交易的新舉措，希望更多地關注如何將區塊鏈技術與增強公共福利的政策結合起來。[2020/8/5]

壓縮性：確定的哈希函數可以將任意長度的消息壓縮成為固定長度。

有效性：給定輸入 x，計算輸出 h（x）是容易的。

抗碰撞性：給定一個輸入 x1，希望找到另一個輸入 x2，x1x2，h（x1）= h（x2），是困難的。

注意，如果哈希函數滿足抗碰撞性，那么必然滿足單向性，也就是說給定一個輸出 y，要找出 x 滿足 h（x）= y 是困難的。在密碼學當中，還不能構造出理論上絕對滿足單向性的函數，但是哈希函數在實際應用當中可以基本視作單向函數。

這樣一來，可以發現上述的幾種應用分別對應于哈希函數的幾點不同的性質，同時我們說，哈希函數還有一個很重要的作用是提供隨機性，雖然密碼學理論當中要求的完美的隨機數生成器目前也無法構造，但是哈希函數在實際當中同樣可以充當這個角色，這就為我們后文介紹的 Fiat-Shamir 啟發式（Heuristic）的技巧提供了基礎。

歐科集團徐明星對話全國政協委員 談抗擊疫情區塊鏈如何發揮作用:3月20日，全國政協云上“小雙周”座談會今天舉行。全國政協委員，中國證監會原主席肖鋼等多位全國政協委員、業界專家代表出席。會上，歐科集團創始人徐明星發表“區塊鏈+供應鏈抗疫期間‘扛大旗’”主題演講。徐明星表示：“除了供應鏈外，區塊鏈技術在其他領域也有重要應用。隨著下一代高新技術產業的發展，區塊鏈技術將展現出更大的應用潛力。”[2020/3/20]

事實上，Fiat-Shamir 啟發式（Heuristic）就是利用哈希函數來對前面生成的腳本進行哈希運算，從而得到一個值，用這個值來充當挑戰值。

因為將哈希函數 H 視作一個隨機函數，挑戰是均勻隨機的被選擇，獨立于證明者的公開信息和承諾的。安全分析認為 Alice 不能預測 H 的輸出，只能將其當作一個 oracle。在這種情況下，Alice 在不遵循協議的情況下做出正確響應的概率 ( 特別是當她不知道必要的秘密時 ) 與 H 的值域的大小成反比。

圖 1: 利用 Fiat-Shamir Heuristic 實現非交互式證明

在本節，我們具體展示 Fiat-Shamir 啟發式在 FOAKS 協議當中的應用，主要是用來產生 Brakedown 部分的挑戰，從而實現非交互式的 FOAKS。

現場 | 降維安全CTO：交易所應該如何保護數字資產:12月16日，由ChainUP主辦，節點資本等聯合主辦的“Future BlockChain”全球行活動在韓國舉辦。降維安全CTO在會議中表示，交易所主要面臨Hacker、惡意量化團隊、惡意用戶、惡意項目方這些外部攻擊。具體到黑客攻擊有以下四點：DoS勒索、Web滲透/APT社會工程學攻擊以及利用區塊鏈項目自身的漏洞進行攻擊。據降維安全統計，交易所應用（不涉及期貨合約）風險，共有5大類，14個子類，68個風險點。他表示：專業的事情應該交給專業的人做，選擇專業的交易所系統和專業的安全服務商，非常重要。[2018/12/16]

首先我們看到，在 Brakedown 生成證明的步驟當中，需要挑戰的步驟是“近似性檢驗”以及 Merkle Tree 的證明部分（讀者可以參考之前的文章《一文了解 FOAKS 當中的多項式承諾協議 Brakedown》）。對于第一點原本的過程是證明者在這里需要驗證者產生的一個隨機向量，計算過程如下圖所示：

圖 2: 非交互證明 FOAKS 中的 Brakedown Checks

現在我們使用哈希函數，讓證明者自己產生這個隨機向量。

令γ0=H(C1,R, r0,r1)，對應的，在驗證者的驗證計算當中，也需要增加這個計算出γ0的步驟。根據這樣的構造，可以發現，在生成承諾之前，證明者并不能提前預測挑戰值，于是不能提前根據挑戰值來對應的“作弊”，也就是對應的生成假的承諾值，同時，根據哈希函數輸出的隨機性，這個挑戰值也滿足隨機性。

在美國眾議院聽證會喬治城大學法學教授表示：監管的重點應該在于數字代幣如何被對待:在美國眾議院金融服務委員會《檢查加密貨幣和ICO市場》的聽證會上，喬治城大學法學教授Chris Brummer博士表示，ICO將會成為區塊鏈行業的主要融資方式，但監管的重點應該在于數字代幣如何被對待，以及系統如何被監管。他還表示，許多ICO欺詐非常明顯，需要監管機構介入，更新法律法規，并且提供ICO白皮書指導。[2018/3/14]

對于第二點，令 ? =H(C1,R, r0,r1,c1,y1,cγ0,yγ0)。

我們使用偽代碼給出改造后非交互式的 Brakedown 多項式承諾當中的證明和驗證函數，這也是 FOAKS 系統當中使用的函數。

function PC. Commit(?)：

Parse was a k × k matrix. The prover locally computes the tensor code encoding C1，C2 ，C1 is a k × n matrix，C2 is a n × n matrix.

for i ∈ [n] do

Compute the Merkle tree root Roott=Merkle.Commit(C2[:,i])

Compute a Merkle tree root R=Merkle.Commit([Root0,......Rootn-1]),and output R as the commitment.

function PC. Prover(?, X, R)

The prover generates a random vector γ0 ∈ Fk by computing: γ0 =H(C1,R, r0,r1)

Proximity:

Consistency:

Prover sends c1,y1,cγ0,yγ0 to the verifier.

Prover computes a vector ? as challenge, in which ? = H(C1,R, r0,r1,c1,y1,cγ0,yγ0)

for idx ∈ ? do

Prover sends C1 [:,idx] and the Merkle tree proof of Rootidx for C2 [:,idx] under R to verifier

function PC. VERIFY_EVAL(ΠX,X,y= ? (X),R)

Proximity: ?idx ∈ ?, Cγ0 [idx] == and Ec(yγ0) == Cγ0

Consistency: ?idx ∈ ?, C1 [idx] == and Ec(y1) == C1

y==1, y1>

?idx ∈ ?, Ec ( C1[:,idx]) is consistent with ROOTidx, and ROOTidx’s Merkle tree proof is valid.

Output accept if all conditions above holds. Otherwise output reject.

許多的零知識證明算法在設計之初都依賴證明者和驗證者雙方的交互，但是這種交互式證明協議不適合用在追求高效，網絡通訊開銷大的應用場景下，比如鏈上數據隱私保護和 zkRollup 等等。通過 Fiat-Shamir 啟發式（Heuristic），可以在不破壞協議安全性的條件下讓證明者本地生成隨機數“挑戰”，并且可以被證明者驗證。根據這種方法，FOAKS 同樣實現了非交互式的證明，并應用在系統當中。

1.Fiat, Amos; Shamir, Adi (1987). "How To Prove Yourself: Practical Solutions to Identification and Signature Problems". Advances in Cryptology — CRYPTO' 86. Lecture Notes in Computer Science. Springer Berlin Heidelberg. 263: 186–194. doi:10.1007/3-540-47721-7_12. ISBN 978-3-540-18047-0.

2.https://www.cnblogs.com/zhuowangy2k/p/12246575.html

撰文：康水躍，Fox Tech CEO；孟鉉濟，Fox Tech 首席科學家

來源：DeFi之道

DeFi之道

個人專欄

閱讀更多

金色財經 善歐巴

金色早8點

白話區塊鏈

Odaily星球日報

MarsBit

歐科云鏈

深潮TechFlow

Arcane Labs

BTCStudy

Tags：PROIDXCOMVERNumbers ProtocolIDXMEcomiDogemetaverse

FIL幣