Halo2 学习笔记——背景资料之Polynomial commitment

Posted 2021-10-09 mutourend

1. 引言

本文重点关注基于inner product argument实现的polynomial commitment。

对polynomial $p(X)\in {\mathbb{F}}_p[X]$进行commit，并需可provably evaluate the committed polynomial at arbitrary points。
最直观的解决方案是：
Prover将多项式的系数都发给Verifier，这需要$O(n)$ communication。

而借助polynomial commitment scheme，可实现$O(\log n)$ communication。

2. Setup

根据参数$d=2^k$，生成common reference string $\sigma =(\mathbb{G},\vec{G},H,{\mathbb{F}}_p)$ ：

• $\mathbb{G}$为a group of prime order $p$。
• $\vec{G}\in {\mathbb{G}}^d$为a vector of $d$ random group elements。
• $H\in \mathbb{G}$为a random group element。
• ${\mathbb{F}}_p$为the finite field of group $p$。

3. Commit

Pedersen vector commitment $Commit$定义为：
$Commit(\sigma ,p(X);r)=<\vec{a},\vec{G}>+[r]H$
其中，多项式$p(X)\in {\mathbb{F}}_p[X]$，blinding factor $r\in {\mathbb{F}}_p$。每个vector元素$a_i\in {\mathbb{F}}_p$为$p(X)$第$i$项的系数，$p(X)$的最大degree为$d-1$。

4. Open (prover) and OpenVerify (verifier)

改进版的inner product argument用于证明以下关系：
{ ( ( P , x , v ) ; ( a ⃗ , r ) ) : P = < a ⃗ , G ⃗ > + [ r ] H , v = < a ⃗ , b ⃗ > } \\{((P,x,v);(\\vec{a},r)):P=<\\vec{a},\\vec{G}>+[r]H, v=<\\vec{a},\\vec{b}>\\} {((P,x,v);(a ,r)):P=<a ,G >+[r]H,v=<a ,b >}
其中$\vec{b}=(1,x,x^2,\cdots ,x^{d-1})$ 包含的为increasing powers of the evaluation point $x$。

即，需要Prover向Verifier证明：
the polynomial contained “inside” the commitment $P$ evaluates to $v$ at $x$，且该committed polynomial的最大degree为$d-1$。

inner product argument需$k={\log }_{2}d$轮。仅需知道其最后一轮的输出即可，而不需要中间轮的结果，详细可参看Halo论文第3节内容。

在开始证明之前，Verifier需选择一个随机group element $U$，并将$U$发送给Prover。并从第$k$轮开始，递减到$1$，初始${\vec{a}}^{(k)}=\vec{a},{\vec{G}}^{(k)}=\vec{G}.{\vec{b}}^{(k)}=\vec{b}$，在每一轮$j=k,k-1,\cdots ,1$：

• Prover计算2个值 $L_j,R_j$：【其中$l_j,r_j$为random blinding factors。$L_j$