ZKSwap团队解读零知识证明算法之Bulletproofs：Range Proof（1）

前言

Bulletproofs，又一个有意思的零知识证明算法，相信读者已经很熟悉它了。和zk-snark相比，它不需要可信设置；和zk-stark算法相比，它具有较小的proofsize。根据论文，它有两个方面的应用：

用于rangeproof；用于一般算术电路的零知识证明。下面，让我们先看一下Bulletproofs是如何高效的实现第一点。Rangeproof

1.预备知识

aL：表示向量{a1、a2……an}

2n：表示向量{20、21…2n-1}

<a、b>:表示向量内积∑ai*bi，结果是一个值

aob：向量对应位相乘，{a1*b1……anbn}，结果是一个向量

Lens Protocol正式发布V2版本:7月17日消息，Web3社交协议Lens Protocol于以太坊巴黎EthCC大会期间正式发布V2版本，以开放和可组合、利益共享、信任和安全为主，用户现在可以直接在Lens出版物（publications）中执行外部智能合约操作，同时在Lens V2中加入了与社交媒体内的智能合约进行交互的能力。

新增第三方合约操作权限：包括添加白名单功能、在Sound铸造NFT（以太坊主网）、在Opensea铸造NFT（Polygon）等。新增资产管理功能：包括委派操作到任何钱包，即用户可以使用其他钱包执行操作，而不仅限于单一钱包；将个人资料直接存储在硬件钱包上，并可以在另一个钱包中使用；新版本支持将DAO或社区个人资料存储在多签名钱包上，并可以从一个或多个地址使用。这样可以确保个人资料的安全性和访问控制，并允许多个地址与其关联等。[2023/7/17 11:00:10]

2.证明

Upbit运营商Dunamu否认关于“计划2025年赴美上市”的报道:2月22日消息，韩国加密交易所Upbit运营商Dunamu表示，该国多家媒体关于其“计划2025年赴美上市”的报道不属实。（Money Today）[2023/2/22 12:21:51]

Alice想要证明?v??=>则，需要证明一个relation得成立，如下所示：

{：V=?grhv?^v??}

public-xwitness-wrelation-R

即，对于公开信息x，Alice有隐私信息w，使得关系R成立。

令aL为金额v的在范围内的二进制形式，则aL={a1、a2……an}?{0,1}n，且满足<aL,2n?>=v。因此，证明者需要证明以下几个等式相等：

Cipher Mining去年12月产出225枚BTC，现持有394枚BTC:金色财经报道，比特币矿企Cipher Mining公布2022年12月未经审计的生产和运营状况。由于12月在Odessa扩建与启用8326台Bitmain和MicroBT矿机，Cipher Mining月末哈希率达到2.8 EH/s，相较上个月增加40%，挖矿产出随之增加到约225枚BTC，较上个月的产量增加了137%。

此外，在常规财务管理流程中，Cipher在12月卖出约39枚BTC，年底余额约394枚BTC。[2023/1/11 11:05:39]

等式(1)确保了承诺V和金额v的绑定关系，等式(2)确保了v的范围，等式(3)、(4)确保了aL?元素只属于{0,1}。等式(2)/(3)/(4)总共包含了2n+1个约束，其中公式(2)1个，公式(3)(4)各n个。接下来，为了效率，我们需要把2n+1个约束转换成1个约束。

Kraken联合创始人：即将到来的比特币减半可能会引发下一个牛市的开始:金色财经报道，加密货币交易所Kraken联合创始人兼前首席执行官Jesse Powell在Bankless播客中预测，即将到来的比特币减半可能会引发下一个牛市的开始。?Powell表示，从这个行业损失 100 亿美元的资本只是一个巨大的打击。如果把它偷走，那本可以成为伟大的东西并推动这个行业向前发展。所以这需要一些时间才能从中恢复过来，FTX 的后果给许多零售用户和机构造成了数十亿美元的损失，使加密行业的声誉需要修复，这最终需要一些时间。不过，他表示，下一次比特币减半预计将在 2024 年上半年发生，这可能是市场的下一个看涨催化剂。?[2022/11/22 7:53:32]

3.2n+1个约束转换成1个约束

=>预备：从Zp?中任意选择一个数y，则b=0n是等式<b,yn>=0成立的充分条件；因为当b!=0n，等式成立的概率仅有n/p，p是有限域，远大于n。因此，如果有<b,yn>=0，那么验证者愿意相信b!=0n?。

利用这个理论，我们把等式(2)/(3)/(4)做以下转换：

验证者随机选取一个数y发送给证明者证明者要证明：

同理，等式(5)确保了v的范围，等式(6)(7)确保了aL?元素只属于{0,1}。此时2n+1个约束转换成3个约束，接下来，还需要做进一步的处理：

验证者随机选取一个数z发送给证明者证明者利用z对公式(5)(6)(7)进行线性组合，得到如下公式：z2**<aL、2n?>+z*<aL?-1n-aR、yn>+<aL、aR?oyn?>=z2?*v(8)

至此，我们已经把2n+1个约束转换成1个约束。下面我们对公式(8)做进一步的优化，把三个点积优化成1个点积。

4.三个点积优化成1个点积

=>令

L=aL?-z*1n

R=(aR?+z*1n)oyn?+z2?*2n

δ=(z–z2)*<1n,yn?>-z3*<1n,2n?>

5.验证：

证明者把L/R/V发送给验证者；验证者事先算好δ验证者根据L算出来aL，根据<aL,2n?>=v算出v验证者根据L、R、v、δ验证等式<L,R>=z2?*v+δ因为y，z都是验证者提供，因此如果验证者如果能验证公式(9)成立，则相信等式(5)(6)(7)成立，则相信等式(2)(3)(4)成立，则相信v满足关系v?。

但是，可以看到上述过程，泄露了v的信息，因此需要一个零知识证明协议。

6.一个零知识证明协议

由于L、R包含了v的相关信息，因此，我们需要添加两个盲因子sL、sR来隐藏aL，aR。如公式(10)(11)所示：

此时，定义公式(12)

可以看出系数t0是l(x)和r(x)常数项的乘积，即满足：

t0?=<L,R>=z2*v+δ

因此，问题由证明：

<L,R>=z2*v+δ

转化成了，在任意一点x，验证者验证多项式值l(x),r(x),t(x)满足关系：

<l(x),r(x)>=t(x)

多项式值l(x),r(x),t(x)由证明者提供，为了保证l(x)，r(x)well-formed，即：

需要校验：

=>当且仅当l/rwell-formed，等式成立

为了保证t(x)well-fromed，即：

t=t0?+t1x+t2x2

需要校验：

=>?当且仅当t和τx?welle-formed，等式成立

具体的协议流程图如下图所示：

总结

从上述流程可以看出，一次rangeproof，证明者需要发送总共**{l/r/t/τx?/μ/T1?/T2/A/S}**个元素给验证者，总共2n+3个Zp元素，4个G元素。下一篇文章将细讲，Bulletproofs如何将交互复杂度降低到对数级O(log(n))。

附录

Bulletproofs论文：https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=8418611

标签：PROProofROOWELLDeri ProtocolProof of AnonVROOM币Givewell Inu

币安app下载热门资讯