零知识证明——STARK介绍02

STARK介绍02

下面介绍一个基于Hash函数的STARK工程实现。

一、STARK证明过程

1、AET证明

假定计算函数$f$计算过共计$T$个步骤，每个步骤$w$个状态，证明方根据计算过程得到trace polynomial $P_{\omega }\left(x\right)$， $P_{\omega }\left(x\right)$对验证方不公开。证明方需要证明其拥有的$P_{\omega }\left(x\right)$满足边界约束条件（即最终输出符合要求）和转换约束条件函数（每个计算步骤的状态转换符合要求）。其中边界约束条件$e_{\left[t,\omega \right]}$和转换约束函数$C_i$是公开的。

假设证明方需要实现零知识证明，不泄漏计算函数$f$的输入信息，那么边界约束条件只需要包含最终步骤的输出即可，同时尽可能减少中间计算过程的信息泄漏。后面详细介绍STARK方式实现零知识证明时的安全目标设定及参数选择。

证明方的边界约束条件证明过程如下：

1. 根据计算过程各个步骤的状态值插值得到trace 多项式$P_{\omega }\left(x\right)$；

2. 根据边界约束条件计算其对应的插值多项式$P_{trace\_interpolant}$和消元多项式$P_{trace\_zerofier}$；

3. 计算得到trace quotient polynomial（称为边界商值多项式）

$$P_{trace\_quotient}=\frac{P_{\omega }\left(x\right)-P_{trace\_interpolant}}{P_{trace\_zerofier}}=\left(\text{quo},\text{rem}\right)\dots \dots .(1)$$

4. 证明方需要证明边界证明多项式的余数为0，且$P_{trace\_quotient}$次数小于$\text{def}\left(P_{\omega }\left(x\right)\right)-\text{def}(P_{trace\_zerofier})$；

证明方的转换约束条件证明过程如下：

1. 根据计算函数得到 转换约束条件函数$C_i$；

2. 将trace多项式$P_{\omega }\left(x\right)$代入$C_i$，$C_i$是含多个状态寄存器的多变量多项式；

3. 证明方生成转换消元多项式$P_{transition\_zerofier}$，

4. 得到transition quotient polynomial（称为转换商值多项式）。

$$P_{transition\_quotient}=\frac{C_i\left(x\right)}{P_{transition\_\_zerofier}}=\left(\text{quo},\text{rem}\right)\dots \dots .(2)$$

5. 证明方需要根据验证方随机选择的步骤证明上式整除；且$P_{transition\_quotient}$次数小于$\text{def}\left(C_i\left(x\right)\right)-\text{def}(P_{transition\_\_zerofier})$；

2、商值多项式的具体证明

由于商值多项式通过除法运算获得，因此在证明过程中需要一些特殊处理，确保分母不为0。给定域${\mathbb{F}}_p$，选择其中一个乘法循环群的子群$\mathbb{G}$，记$o$为$\mathbb{G}$的生成元，群$\mathbb{G}$阶为$k$，则$\mathbb{G}$的元素可表示为$o^{\mathbf{i}},i\in [0,k-1]$。将子群$\mathbb{G}$视为定义域$D$，插值得到的$P_{\omega }\left(x\right)$和$C_i\left(x\right)$均是在上$D$取值作为输入，但是在进行商值多项式验证时，其定义域需要确保分母不为0，因此要寻找一个与$D$交集为空的陪集作为定义域。根据群论可知，$D$作为${\mathbb{F}}_p$的子群，$D$的陪集个数为$\left|{\mathbb{F}}_p\right|/\left|D\right|$，任取${\mathbb{F}}_p$中一个元素$m$得到的$D$陪集$\text{mD}$要么相等要么交集为空。

1）商值多项式的次数证明。

多项式次数证明时，采用FRI协议。以trace quotient polynomial为例，对$P_{trace\_quotient}$在定义域$D^{\prime }$上的全部元素进行求值，假设$P_{trace\_quotient}$的最高次数为$n$，$D^{\prime }$的阶为$s$，则得到$s$个值，并发送给验证方。验证方从$s$个值中随机选择$n+1$个值进行插值恢复出多项式${P_{trace\_quotient}}^{\prime }$，然后任意选择剩余的一个值验证是否在该多项式上，如果在则证明验证通过。

FRI协议中为了提高效率，采用了类似于NTT算法思想将多项式次数进行对半折叠，使得多项式计算过程尽量简单，减少计算量以及证明方与验证方之间的网络通信数量，后面再详细介绍FRI协议。另外需要注意$P_{trace\_quotient}$求值的输入是从定义域$D^{\prime }$中选取，但值域是${\mathbb{F}}_p$，即其输出值属于域${\mathbb{F}}_p$，可能在定义域$D^{\prime }$之外。

2）商值多项式的整除性证明。

对于商值多项式的整除性证明以trace quotient polynomial为例说明：

1. 证明方对$P_{\text{trac}{e}_{\text{quotient}}}(x)$在定义域$D^{\prime }$上的全部元素进行求值得到$s$个值，并进行承诺，将承诺值发送给验证方；

2. 同时将$P_{\omega }\left(x\right)$在定义域$D^{\prime }$上的全部元素进行求值得到$s$个值并进行承诺，将承诺值发送给验证方；

3. 验证方从$s$个值中随机选择1个点，假设对应$o^l$，要求证明方打开$P_{trace\_quotient}$(x)和$P_{\omega }\left(x\right)$在$o^l$上的值；

4. 验证方自行生成$P_{trace\_interpolant}$和$P_{trace\_zerofier}$，并在$o^l$处求值，然后验证下式是否成立：

$$P_{trace\_quotient}(o^l)=\frac{P_{\omega }}{P_{trace\_zerofier}(o^l)}$$