区块见闻 区块见闻
Ctrl+D收藏区块见闻

KRO:为什么说 zkRollup 的可行性起源于零知识证明的计算代理思想?_cloak币总量

作者:

时间:

作者:FoxTechCTO林彦熹,FoxTech首席科学家孟铉济

前言

Prover和Verifier之间的计算代理思想是零知识证明的核心内容之一,是调节证明者和验证者工作量于复杂度之间取舍的工具。不同的零知识证明算法本质的不同在于不同程度的计算代理;高度的代理虽然会使验证的计算容易,但是却可能使得证明的复杂度高,从而导致证明耗时长,或是生成的证明大小较大;反之,低程度的代理会使得验证者的开销较大。

图1:零知识证明的计算代理程度影响

计算代理是什么

随着以太坊上应用和用户的扩展,以太主网上的拥堵程度不断提升,使用zkRollup进行Layer2的扩容成为一个很有吸引力的方案,FOX就是专注于使用FOAKS算法进行zkRollup的项目。而zkRollup的可行性,本质上在于使用的零知识证明算法的原理可行性。简单来说,零知识证明算法实现的功能是使得证明者向验证者证明某件事,但又不透露任何关于这件事的信息。zkRollup的构造就是利用了这个性质,使得Layer2的节点可以执行原本在Layer1进行的计算,同时向Layer1节点提供计算正确性的证明。

从更广义的角度来说,上述的过程我们可以理解为,由于验证者计算能力有限,所以将这部分的计算代理给了证明者来执行,证明者完成了这个任务,需要返回结果给验证者。从这个角度来说,我们可以说,零知识证明算法使得保障正确性的“计算代理”得以实现。从宏观上这种计算代理的例子可以表现为zkRollup这种形式的应用,具体到零知识算法当中,这种计算代理的思想也有各种应用。

本文主要介绍FOAKS使用的在Orion当中提到的Code-Switching所做的令证明者帮助验证者执行的验证计算过程,以及FOAKS如何应用这种技巧进行递归。从而减少了证明的大小以及验证者的开销。

为什么需要计算代理

从系统的实用性角度来说,很多情况下计算节点的算力是有限的,或者说计算资源是很宝贵的。例如在Layer1链上的所有计算都需要经过所有节点的共识,并且用户需要为此支付高昂的手续费。所以,在这种情况下,将本来由共识节点来处理的计算“代理出去”交给链下节点来完成,就是一种自然的想法,避免消耗链上资源。而这也正是FOX所专注的链下计算服务。

从密码学理论角度来讲,在GMR模型当中限定了证明者拥有无限计算能力,验证者拥有多项式计算能力。如果验证者也有无限能力,则零知识证明的基本性质无法满足。所以自然地,将计算向证明者一方倾斜,让证明者承担更多的计算就是很多零知识证明算法设计都会考虑的问题。

当然,为了实现这一点,我们需要特别的技巧。

CodeSwitching

这一节介绍Orion当中使用的CodeSwitching技巧。Orion和FOAKS都使用了Brakedown作为多项式承诺方案,而CodeSwitching是在Orion当中命名的有证明者代替验证者执行验证计算的过程。

在《一文了解FOAKS当中的多项式承诺协议Brakedown》一文当中我们曾经介绍过,验证者的验证计算为以下的过程:

idxI,C0==<0,C1>andEC(y0)==C0

?idxI,C1==<r0,C1>andEC(y1)==C1

现在如果令证明者承担这部分计算,则证明者除了执行这些计算,还要附上证明值来证明自己的计算是正确的。

做法是将上述等式同样写成R1CS电路:

Statement:

EC(y0)=C0,EC(y1)=C1

idxI,C0=<0,C1>andEC(y0)=C0

idxI,C1=<r0,C1>andEC(y1)=C1

y=<r1,y1>

idxI,EC(C1)isconsistentwithROOTidx,andROOTidx’sMerkletreeproofisvalid.

之后使用Virgo算法进行验证。

FOAKS当中的计算代理

在FOAKS当中同样使用类似的技巧完成计算代理,值得一提的是,FOAKS由于使用了Fiat-Shamirheuristic技巧实现了非交互式证明。想要了解更多,读者可以参考《如何将交互式证明改造为非交互式?Fiat-ShamirHeuristic!》。所以FOAKS的挑战生成和Orion所使用的CodeSwitching方法不同,电路当中也需要加入新的等式:

0=H(C1,R,r0,r1)

I=H(C1,R,r0,r1,c1,y1,c0,y0)

这样之后FOAKS当中的证明者同样生成了代理验证者进行验证的计算证明。而对于验证证明的过程,FOAKS利用算法自身进行迭代,这也是FOAKS实现递归的关键内容。具体内容见《如何设计出一种精妙绝伦的证明递归方案》。

通过一定次数的迭代可以使得证明的大小被压缩,从而极大降低验证者的计算负担以及通信复杂度。这就是FOAKS这个零知识证明方案对FOX这条zkRollup的重大意义。

结语

zkRollup中使用的零知识证明算法的计算代理程度需要被精心设计,必须恰到好处才能使其整体达到最佳效率。而FOAKS算法通过自身迭代的递归实现了可以调节的计算代理,是为专门为zkRollup所设计的零知识证明算法。

参考文献

1.Orion:Xie,Tiancheng,YupengZhang,andDawnSong."Orion:Zeroknowledgeproofwithlinearprovertime."AdvancesinCryptology–CRYPTO2022:42ndAnnualInternationalCryptologyConference,CRYPTO2022,SantaBarbara,CA,USA,August15–18,2022,Proceedings,PartIV.Cham:SpringerNatureSwitzerland,2022.

标签:FOAOAKKROROLblockchain.infoapicloak币总量Akropolisroll币出獠牙肩几率

SHIB最新价格热门资讯
区块链:Web3 安全讲座开放预订,带你解读如何利用 AI 防御黑客攻击_web3币圈

作者:MetaTrustLabs由MetaTrustLabs、GoPlus和Cointime共同举办的Web3安全讲座即将开启,这将是一次深入且实用的区块链安全在线讲座系列.

POLY:上线 2 个月的 Polygon zkEVM 生态发展如何?_POLAR

撰文:2Lambroz.eth 编译:黑米,白泽研究院 有了解过PolygonzkEVM的发展吗?不是空投猎人,也不是Alpha猎人.

LYG:浅析 Aegis 的运行机制与竞争优势_polygon币怎么挖矿

作者:Aegis 什么是AEGIS? Aegis是构建在Arbitrum上的原生dex,使用Univ2AMM机制构建.

AVERSE:为什么 Lido V2 升级对 LSD 赛道很重要?_IDO

来源:@0xFinish编译:ChainCatcher?昨晚,流动性质押协议Lido发布V2升级投票公告,根据时间表:5月12日20:00开始Aragon投票.

OAK:Getaverse 项目解析:打造全栈式 DID 信誉系统,为 Web3 进一步赋能_Kucoin

作者:Getaverse身份俨然是网络世界中最为重要的要素之一,在Web2世界中中心化的身份体系正在促进其有条不紊的运行,虽然它存在一定的弊端,但必不可少.

ENS:深度解读新获 1200 万美元融资的受监管链上保险项目 Nayms_togetherbnb下载电脑

作者:0x901e,veDAO研究院Nayms是一家保险科技公司,传统保险业不透明、缓慢且效率低的下,新项目Nayms通过引入区块链技术,让保险行业变得透明和高效.