Kate commitments入门

1. 引言

Polynomial commitment schemes (PCSs)：
可load a large amount of information (the ‘execution trace of a circuit’) into a single elliptic curve point —— a single ‘number’。

SNARKs需prove to a verifier that large computations have taken place without the verifier having to re run the whole computation (which would defeat the point)。

在Web3世界，Veriifer为a blockchain。对于区块链来说，proof应尽可能简短（即，keep the amount of data that needs to be sent to the verifier as small as possible），因为链上数据存储是非常昂贵的。

2. 何为“trace of a circuit”？

举例：
给定初始$x$，进行100万次 $x\to x^3+5$运算。

最终目的是：在Verifier无需重新运行整个运算过程的情况下，证明结果是正确的。

假设$x$的初始值为2，即$x=2$。

第一次，Prover运算为：

• $x^2=4$
• $x^3=x^2\times x=4\times 2=8$
• $x^3+5=13$

所以对应的trace为 { 2 , 4 , 8 , 13 , ⋯   } \{2,4,8,13,\cdots\} {2,4,8,13,⋯}。

即意味着，100万次运算，需产生3,000,001个trace数字——that’s a lot of data to send, especially given the vastness of the numbers later in the sequence。

如何在不通过网络给Verifier传输这300多万个数字的基础上，使Verifier信任计算结果呢？
—— 可 ‘commit’ to some piece of data that is a digest of all these 3,000,000 numbers，即借助commit-challenge-prove策略：

• 若使用$H(a_0|\cdots |a_d)$来commit，则reveal时需传输公开所有$a_i$值。
• polynomial commitment schemes使用类似vector space的polynomials，each ‘dimension’ is ‘loaded’ with one of the numbers in the ‘trace’ of computing a programme (by ‘trace’, we mean the sequence of all inputs, intermediary values and outputs computed/used in the course of running the algorithm concerned).
  2020年，Kate scheme （又名Kate-Zaverucha-Goldberg scheme），允许a prover to create some data which binds them to an evaluation of a polynomial $f(X)={\sum }_{i=0}^k{a}_i{X}^i$ in a provable fashion。

3. Kate commitment中的reference string

Kate commitment中的reference string为：a list of successive powers of an unknown quantitiy，生成方式类似有 AZTEC Ignition Ceremony ：
$<g,g^{\alpha },\cdots ,g^{{\alpha }^t}>\in {\mathbb{G}}^{t+1}$
其中$\mathbb{G}$为某一elliptic curve group。

这些对应为多项式中的单项式$1,X,X^2,\cdots ,X^t$，evaluated at a number $\alpha$，然后表示为elliptic curve form而不是integer form。

4. Kate commitment的假设

Kate commitment的假设为：t-Strong Discrete Log Assumption，即：
已知 $g,g^{\alpha },\cdots ,g^{{\alpha }^t}$，无法计算出$\alpha$值。

但是，当$t$非常大时，如Aztec选择的BN254 curve，当$t$接近$2^{40}$时，以上安全将无法保证。

4.1 Commitment

$C=g^{f(\alpha )}=g^{a_0+a_1\cdot \alpha +a_2\cdot {\alpha }^2+\cdots a_d\cdot {\alpha }^d}=(g{)}^{a_0}\cdot (g^{{\alpha }^1}{)}^{a_1}\cdots (g^{{\alpha }^d}{)}^{a_d}$
为多项式$f(X)={\sum }_{i=1}^n{a}_i\cdot X^i$的commitment。
要求$deg(f)\le t$。

4.2 Opening

Verifier指定任意 opening point $\beta \ne \alpha$，有：
${\psi }_{\beta }(\alpha )=\frac{f(\alpha )-f(\beta )}{\alpha -\beta }$

Prover给Verifier发送的证明内容为：
$<f(\beta ),g^{{\psi }_{\beta }(\alpha )}>$

4.3 Verify

验证过程为判断：
$e(C,g)=e(g^{{\psi }_{\beta }(\alpha )},g^{\alpha }\cdot g^{-\beta })\cdot e(g,g{)}^{f(\beta )}$
是否成立即可。

参考资料

[1] https://hackmd.io/I9CvNQm-S-WQozt6ElNG_Q