Multi-scalar multiplication: state of the art & new ideas

Posted 2022-08-10 mutourend

1. 引言

Consensys团队 Gus Gutoski 2020年在zkStudyClub上分享：Multi-scalar multiplication: state of the art & new ideas。

Multi-scalar multiplication（MSM）又名Multi-exponentiation或multi-exp。
针对的场景为：

• 参数：某cyclic group $\mathbb{G}$，其order $|\mathbb{G}|$的bit length为$b$。（如BLS或BN椭圆曲线，有$|\mathbb{G}|\approx 2^{256}$，即$b=256$）
• 输入：
  • $\mathbb{G}$内的群元素$G_1,\cdots ,G_n$，称为inputs。
  • 整数$a_1,\cdots ,a_n$的取值范围为$0$到$|\mathbb{G}|$，称为scalars。
• 输出：群元素$a_1{G}_1+\cdots +a_n{G}_n$称为output。

目标是：

• 减少所需的群运算（+）的次数——为关于$n$的函数。

直接的解决方案为：

• 使用double-and-add来计算每个$a_i{G}_i$，然后将它们相加求和，所需group ops期望值为：$1.5bn\approx 1.5\ast 256n\approx 384n$

有更优的解决方案么？

1.1 MSM的背景需求

零知识证明ZKP中，Prover向Verifier证明其知道某些$\vec{x}=a_1,\cdots ,a_n$ secret inputs，使得$P(\vec{x})=y$成立。

在证明过程中，Prover需要使用proving key $G_1,\cdots ,G_n$ 计算：
$G=a_1{G}_1+\cdots +a_n{G}_n$

即Prover需要做MSM运算。

• 对于ZCash的NU5升级之前的spend program：$n\approx 4\times 10^4$
• 对于Rollup扩容方案：$n$越大越好

目标是：

• 针对$n=10^7,10^8$甚至更大的$n$值。

MSM占据了约$80\%$的Prover工作量。
Justin Drake在2020的Zero-Knowledge podcast Episode 120: ZKPs in Ethereum with Vitalik Buterin & Justin Drake中指出：

• Focus on multi-exponentiation, forget about FFTs（Remove the need for FFTs）
• Sparseness
• Recursion
• Custom gates
• Hardware

MSM占据了Prover的主要开销，Prover开销占据ZKP主要开销。改进MSM即意味着提升ZKP效率。

2. bucket method

由Consensys团队开发的：

• https://github.com/ConsenSys/gnark-crypto（Go&汇编语言）

中采用了bucket算法，针对BLS或BN曲线（$b\approx 256$），所需group ops运算次数为：
$16n+(\text{constant})$

相比于直接方案的$384n$，性能提升了$24$倍+。

bucket算法详细见2012年论文《Faster batch forgery identification》第4章的“Overlap in the Pippenger approach”，核心策略会：

• 1）将一个$b$-bit MSM reduce为多个$c$-bit MSM，其中$c\le b$。
• 2）使用一些聪明的技巧来计算$c$-bit MSM。（有趣的部分）
• 3）将多个$c$-bit MSM合并为最终的$b$-bit MSM。

3.1 第一步：将一个$b$-bit MSM reduce为多个$c$-bit MSM

选择$c\le b$，将每个scalar $a_1,\cdots ,a_n$以二进制表示，将二进制scalar切分为$c$-bit parts。

如：给定$b=12,c=3$，将每个$12$-bit scalar $a$切分为$3$-bit parts。
若scalar $a=1368$，则将$a$表示为$a=(2,3,5,0)$：

从已切分的scalars推导出$b/c$个$c$-bit MSM instances。
如$(b,c,b/c)=(12,3,4)$，将每个scalar切分表示为$a_i=(a_{i,1},a_{i,2},a_{i,3},a_{i,4})$，从而可获得4个$c$-bit MSM instances $T_1,\cdots ,T_4$：
$T_1=a_{1,1}{G}_1+\cdots +a_{n,1}{G}_n$
$⋮$
T 4 = a 1 , 4 G 1 + ⋯ + a n , 4 G n T_4=a_1,4G_1+\\cdots +a_n,4G_n T4​=<