PRO:如何将交互式证明改造为非交互式？-ODAILY_Everex

原文作者：康水跃，FoxTechCEO；孟铉济，FoxTech首席科学家

前言

密码学当中的零知识证明技术在web3世界有着广泛的应用，包括进行隐私计算、zkRollup等等。其中Layer2项目FOX所使用的FOAKS就是一个零知识证明算法。在上述的一系列应用当中，对于零知识证明算法而言，有两方面属性极为重要，那就是算法的效率以及交互性。

算法效率的重要性不言而喻，高效的算法可以明显的降低系统运行时间，从而降低客户端延迟，显著的提高用户体验和效率，这也是FOAKS致力于实现线性证明时间的一个重要原因。

另一方面，从密码学的角度来讲，零知识证明系统的设计往往依赖证明者和验证者的多轮交互。例如在许多介绍零知识证明的科普文章当中都会使用的“零知识洞穴”的故事当中，证明的实现就依赖于阿里巴巴和记者多轮的信息传递交互才能实现。但是事实上，在许多应用场景当中，依赖交互会使得系统不再可用，或者极高的增加延迟。就像在zkRollup系统当中，我们期望证明者能够在本地，不依赖于和验证者交互的情况下就计算出正确的证明值。

从这个角度说，如何将交互式的零知识证明协议改造为非交互式，就是一个很有意义的问题。在这篇文章当中，我们将介绍FOX使用经典的Fiat-Shamir启发式来生成Brakedown中的挑战从而实现非交互式协议的过程。

Aave社区正对“如何分配Aave Grants DAO收到的30万枚OP”提案进行投票:5月4日消息，Aave社区正对“如何分配Aave Grants DAO（AGD）收到的30万枚OP”提案进行温度检查投票，该提案目前支持率为99.97%，并将于5月8日结束。根据该提案，Aave社区去年创建了一个提案并成功收到了30万枚OP代币，作为激励基金OP Stimpack阶段0的一部分。这些代币将用于资助项目，以帮助Aave在Optimism上的发展。该提案旨在澄清收到的OP应如何分配并获得社区支持。

该提案建议分配最多10万枚OP用于当前AGD季度的赠款以及以Optimism为中心的事件和赏金，并将剩余的20万枚OP保留在AGD多签钱包中以用于AGD的未来季度赠款或分配。如果该提案获得此次投票通过，AGD将按照上述方式进行资金分配。不需要AIP或进一步的治理行动。[2023/5/4 14:42:34]

零知识证明中的Challenge

零知识证明算法随着应用的铺开而变得异常火爆，近些年也诞生了包括FOAKS、Orion、zk-stark等在内的各种算法。这些算法，以及密码学界早期的sigma协议等的核心证明逻辑都是证明者先将某个值发送给验证者，验证者通过本地随机数产生一个挑战，将这个随机产生的挑战值发给证明者，证明者需要真的有知识才能以大概率做出通过验证者的响应。例如在零知识洞穴当中，记者抛一个硬币，告诉阿里巴巴从左侧出来还是从右侧出来，这里的“左和右”就是对阿里巴巴的挑战，他如果真的知道咒语，就一定可以从要求的方向走出来，否则就有一半的概率失败。

杜均：推动NFT走向主流的关键在于如何解决其资产属性问题:5月18日晚，火币联合创始人杜均做客由新浪财经和微博直播联合主办的《超话1?X》连麦专场线上直播，与美国投研机构首席增长官另维、硅谷独立投资人王川和火星财经创始人王峰共同解读“海外大火的NFT投资机会”。

杜均在直播中表示，现实世界对于NFT的市场需求是切实存在、可供挖掘的，NFT面临的将会是一片广阔的蓝海市场，而推动NFT走向主流的关键在于如何解决其资产属性问题。

杜均以游戏领域为例，指出“道具所有权的归属、道具滥发、游戏生命周期短、利益分配不均等游戏产业的问题存在许久，而大部分的游戏装备、角色都是独一无二且能自由流通的，非常适合采用NFT进行表征。”杜均表示，随着链上可扩展性的提升和加密游戏的发展，NFT极有可能融入到未来游戏的经济模型中，形成开放透明信任的游戏生态。

最后杜均提醒到，当前NFT市场上的流动性多数的确来源于投机效应，项目的真实价值是难以量化的，用户需谨慎投资。[2021/5/18 22:16:28]

这里我们注意到，Challenge的生成是一个很关键的步骤，它有两个要求，随机和不可被证明者预测。第一点，随机性保证了它的概率属性。第二点，如果证明者可以预测挑战值那就意味着协议的安全性被破坏了，证明者没有知识也可以通过验证，可以继续类比，阿里巴巴如果能预测记者要求他从哪边出来，他即使没有咒语也可以提前进入那一边，结果表现出来一样可以通过协议。

央行行长易纲 ：将继续研究如何加强央行数字货币的风险管理:4月17日，财新举办主题为“金融科技与人民币可自由使用”的研讨会。中国人民银行行长易纲在会上表示，央行数字货币项目已取得较大进展，当前阶段在部分城市及部分场景进行内部封闭试点测试，同时表示“将继续研究如何加强央行数字货币的风险管理，包括了解你的客户(KYC)等。”

对于金融科技在此次疫情期间发挥的作用，易纲表示肯定，但也强调商业银行依然是主力；科技公司积极参与有助于提升金融服务水平；人民币国际化主要依靠市场驱动，平等竞争，中国会继续推进金融开放和改革。[2020/5/4]

所以我们需要一种办法，能够让证明者自己本地生成这样一个不可预测的随机数，同时还能够被验证者验证，这样就可以实现非交互式的协议。

哈希函数

哈希函数的名字对我们来说或许并不陌生，无论是在比特币的共识协议POW当中担任挖矿的数学难题，还是压缩数据量，构造消息验证码等等，都有哈希函数的身影。而在上述不同的协议当中，其实是运用了哈希函数的各种不同性质。

具体来讲，安全的哈希函数的性质包括以下几点：

压缩性：确定的哈希函数可以将任意长度的消息压缩成为固定长度。

有效性：给定输入x，计算输出h是容易的。

币情观察室 | 我是如何从650赚到100个比特币的？:4月8日 19:00，金色盘面邀请实盘大V 币圈栋哥做客金色财经《币情观察室》直播间，将分享《我是如何从650赚到100个比特币的？》，敬请关注，扫描下图二维码即可观看直播！[2020/4/8]

抗碰撞性：给定一个输入x1，希望找到另一个输入x2，x1x2，h=h，是困难的。

注意，如果哈希函数满足抗碰撞性，那么必然满足单向性，也就是说给定一个输出y，要找出x满足h=y是困难的。在密码学当中，还不能构造出理论上绝对满足单向性的函数，但是哈希函数在实际应用当中可以基本视作单向函数。

这样一来，可以发现上述的几种应用分别对应于哈希函数的几点不同的性质，同时我们说，哈希函数还有一个很重要的作用是提供随机性，虽然密码学理论当中要求的完美的随机数生成器目前也无法构造，但是哈希函数在实际当中同样可以充当这个角色，这就为我们后文介绍的Fiat-Shamir启发式的技巧提供了基础。

Fiat-Shamir启发式

事实上，Fiat-Shamir启发式就是利用哈希函数来对前面生成的脚本进行哈希运算，从而得到一个值，用这个值来充当挑战值。

因为将哈希函数H视作一个随机函数，挑战是均匀随机的被选择，独立于证明者的公开信息和承诺的。安全分析认为Alice不能预测H的输出，只能将其当作一个oracle。在这种情况下，Alice在不遵循协议的情况下做出正确响应的概率(特别是当她不知道必要的秘密时)与H的值域的大小成反比。

大咖零距离 | 如何通过消息面获取市场暴利:2月19日16:00，金色盘面邀请数字货币正规军TLAB Terry做客金色财经《大咖零距离》直播间，将分享《如何通过消息面获取市场暴利》，敬请关注，欲进群观看直播扫描海报二维码报名即可！[2020/2/19]

图1:利用Fiat-ShamirHeuristic实现非交互式证明

非交互式FOAKS

在本节，我们具体展示Fiat-Shamir启发式在FOAKS协议当中的应用，主要是用来产生Brakedown部分的挑战，从而实现非交互式的FOAKS。

首先我们看到，在Brakedown生成证明的步骤当中，需要挑战的步骤是“近似性检验”以及MerkleTree的证明部分。对于第一点原本的过程是证明者在这里需要验证者产生的一个随机向量，计算过程如下图所示：

图2:非交互证明FOAKS中的BrakedownChecks

现在我们使用哈希函数，让证明者自己产生这个随机向量。

令γ0=H(C1,R,r0,r1)，对应的，在验证者的验证计算当中，也需要增加这个计算出γ0的步骤。根据这样的构造，可以发现，在生成承诺之前，证明者并不能提前预测挑战值，于是不能提前根据挑战值来对应的“作弊”，也就是对应的生成假的承诺值，同时，根据哈希函数输出的随机性，这个挑战值也满足随机性。

对于第二点，令?=H(C1,R,r0,r1,c1,y1,cγ0,yγ0)。

我们使用伪代码给出改造后非交互式的Brakedown多项式承诺当中的证明和验证函数，这也是FOAKS系统当中使用的函数。

functionPC.Commit(?)：

Parsewasak×kmatrix.TheproverlocallycomputesthetensorcodeencodingC1，C2，C1isak×nmatrix，C2isan×nmatrix.

fori∈do

ComputetheMerkletreerootRoott=Merkle.Commit(C2)

ComputeaMerkletreerootR=Merkle.Commit(),andoutputRasthecommitment.

functionPC.Prover(?,X,R)

Theprovergeneratesarandomvectorγ0∈Fkbycomputing:γ0=H(C1,R,r0,r1)

Proximity:

Consistency:

Proversendsc1,y1,cγ0,yγ0totheverifier.

Provercomputesavector?aschallenge,inwhich?=H(C1,R,r0,r1,c1,y1,cγ0,yγ0)

foridx∈?do

ProversendsC1andtheMerkletreeproofofRootidxforC2underRtoverifier

functionPC.VERIFY_EVAL(ΠX,X,y=?(X),R)

Proximity:?idx∈?,Cγ0==<γ0,C1>andEc(yγ0)==Cγ0

Consistency:?idx∈?,C1==<γ0,C1>andEc(y1)==C1

y==<r1,y1>

?idx∈?,Ec(C1)isconsistentwithROOTidx,andROOTidx’sMerkletreeproofisvalid.

Outputacceptifallconditionsaboveholds.Otherwiseoutputreject.

结语

许多的零知识证明算法在设计之初都依赖证明者和验证者双方的交互，但是这种交互式证明协议不适合用在追求高效，网络通讯开销大的应用场景下，比如链上数据隐私保护和zkRollup等等。通过Fiat-Shamir启发式，可以在不破坏协议安全性的条件下让证明者本地生成随机数“挑战”，并且可以被证明者验证。根据这种方法，FOAKS同样实现了非交互式的证明，并应用在系统当中。

参考文献

1.Fiat,Amos;Shamir,Adi(1987)."HowToProveYourself:PracticalSolutionstoIdentificationandSignatureProblems".AdvancesinCryptology—CRYPTO'86.LectureNotesinComputerScience.SpringerBerlinHeidelberg.263:186–194.doi:10.1007/3-540-47721-7_12.ISBN978-3-540-18047-0.

2.https://www.cnblogs.com/zhuowangy2k/p/12246575.html

标签：PROCOMOAKVERBig Data ProtocolUNITYCOMSOAK价格Everex

以太坊交易所热门资讯