Efficient Zero-Knowledge Argument for Correctness of a Shuffle學習筆記（1）

Stephanie Bayer和Jens Groth 2012年論文《Efficient Zero-Knowledge Argument for Correctness of a Shuffle》。
該論文中主要針對e-voting mix-net構建中用到的shuffle homomorphic encryption場景，提出了an honest verifier zero-knowledge argument for the correctness of a shuffle of homomorphic encryptions 算法，該算法在prove和verify the correctness of a shuffle of 100,000 ElGamal ciphertexts用時均在2分鐘左右。

1. 背景知識

• 本論文的argument具有sublinear communication complexity，當shuffle $N(=m\times n)$ ciphertexts時，需要傳送$O(m+n)$ group elements 且若$m=n$則最小的communication complexity 爲 $O(\sqrt{N})$。
• prover的computational complexity爲$O(N\log{m})$ exponentiations for constant round arguments或者 若允許logarithmic number of rounds的話， prover的computational complexity可爲$O(N)$ exponentiations。
• verifier的計算比較輕量。
• 構建full shuffle argument的基礎爲：Neff’s approach [Nef01] is based on the invariance of polynomials under permutation of the roots，即Nef01的shuffle算法基於的是：多項式的根permutation的話，其最終形成的多項式是不變的——$f(x)=(x-r_1)(x-r_2)...(x-r_n)$。
• 引入了multi-exponentiation argument，用於hide committed values。
• 基於hidden committed values的shuffle argument。與[Gro09]類似，做了些微改進。
• 主要是利用了EIGamal encryption的乘法同態性和Pedersen commitment的加法同態性。所以需要構建相應的common reference string $\sigma =(pk,ck)$，$pk$爲EIGamal encryption的public keys，$ck$爲Pedersen commitment的commitment key，兩者可以基於不同的group實現，但是要求具有相同的prime order $q$。

其中EIGamal的知識詳見：博客 EIGamal encryption VS Pairing encryption。

1. EIGamal具有乘法同態性：
   
2. Pedersen commitment具有加法同態性：
   
   
   

2. Shuffle argument

需要an argument of knowledge of permutation $\pi\in \sum_{N}$ and randomness $\{\rho_i\}_{i=1}^N$ such that for given ciphertexts $\{C_i\}_{i=1}^N$, $\{C_i^{'}\}_{i=1}^N$ we have $C_i^{'}=C_{\pi(i)} \varepsilon_{pk}(1;\rho_i)$。
Shuffle argument由multi-exponentiation argument和product argument組成：

• multi-exponentiation argument：用於證明the product of a set of ciphertexts raised to a set of committed exponents yields a particular ciphertext。
• product argument：用於證明a set of committed values has a particular product。

主要的實現步驟爲：

1. Prover對permutation進行commit，即commit to $\pi(1),…,\pi(N)$。【第一組commitment】
2. Verifier給Prover challenge $x$。
3. Prover commit to $x^{\pi(1)},…,x^{\pi(N)}$。【第二組commitment】
4. Prover提供argument，證明其知道相應的openings of the commitments to permutations of respectively $1,…,N$和$x^1,…,x^N$，同時證明這兩組commitment採用的是相同的permutation。【即第二組commitment是對$x^1,…,x^N$ permuted in an order that was fixed before the prover saw $x$】。

• 4.1 爲了證明兩組commitment採用的是相同的permutation，Verifier給Prover random challenges $y$和$z$。
• 4.2 Prover commit to 一系列 $d_1-z=y\pi(1)+x^{\pi(1)}-z,…,d_N-z=y\pi(N)+x^{\pi(N)}-z$。使用product argument，即可證明$\prod_{i=1}^{N}(d_i-z)= \prod_{i=1}^{N}(yi+x^i-z)$等式成立。【想象其爲$z$的N階多項式，$d_i$是對其root根$yi+x^i$的permute，基於Schwartz-Zippel lemma可知，針對特定的$z$值Prover僞造找到相應$d_i$值使該等式成立的概率不高於$\frac{N}{q-1}$，可忽略。同理，針對$y$值，Prover僞造兩組commitment使等式成立的概率也可忽略。】

5. Prover使用multi-exponentiation argument來證明存在$\rho$值，使得$$\prod_{i=1}^{N}C_i^{x^i}=\varepsilon_{pk}(1;\rho)\prod_{i=1}^{N}(C_i^’)^{x^{\pi(i)}}$等式成立。即可實現基於密文$C_i，C_i^’$的shuffle證明，而Verifier不知道具體的permutation規則。
   

詳細的shuffle argument算法流程爲：

3. Multi-exponentiation Argument

將第二節shuffle argument算法流程中的$\vec{a},\vec{b}$向量表示爲N=n*m矩陣。
其中的multi-exponentiation argument可表示爲：

簡化描述，假設$\rho=0$，public info: $\vec{C_1},...,\vec{C_m},C$，witness: $\vec{a_1},...,\vec{a_m}$，需要證明：$C=\prod_{i=1}^{m}\vec{C_i}^{\vec{a_i}}$。
基本流程爲：

1. Prover依次對 $\vec{a_1},...,\vec{a_m}$進行commit，將相應的$\vec{c_A}=(com_{ck}(\vec{a_1};r_1),...,com_{ck}(\vec{a_m};r_m))$發送給verfier
2. Prover計算$E_k=\prod_{1\leq i,j\leq m;j=(k-m)+i}\vec{C_i}^{\vec{a_j}}$，將相應的$E_1,E_2,...,E_{2m-1}$發送給Verifier【其中$E_m=C$】。
3. Verifier給Prover challenge $x$。
4. Prover計算$\vec{a}=\sum_{j=1}^{m}x^j\vec{a_j}$，將相應的向量$\vec{a}$發送給verifier。
5. Verifier驗證$C^{x^m}\prod_{k=1;k\neq m}^{2m-1}E_k^{x^k}=\prod_{i=1}^{m}\vec{C_i}^{(x^{m-i}\vec{a})}$成立，則可證明$C=\prod_{i=1}^{m}\vec{C_i}^{\vec{a_i}}$成立。相應的理論依據爲：$\prod_{i=1}^{2m-1}E_k^{x^k}=\prod_{i=1}^{m}\vec{C_i}^{(x^{m-i}\sum_{j=1}^{m}x^j\vec{a_j})}=\prod_{i=1}^{m}\vec{C_i}^{(x^{m-i}\vec{a})}=C^{x^m}\prod_{k=1;k\neq m}^{2m-1}E_k^{x^k}=C^{x^m}\prod_{k=1;k\neq m}^{2m-1}{\prod_{1\leq i,j\leq m;j=(k-m)+i}\vec{C_i}^{\vec{a_j}x^k}}=C^{x^m}\prod_{i=1}^{m}{\vec{C_i}}^{\sum_{1\leq j\leq m;k=m-i+j;k\neq m}\vec{a_j}x^k}$，於是有：$C^{x^m}=\prod_{i=1}^{m}{\vec{C_i}}^{(x^{m-i}\sum_{j=1}^{m}x^j\vec{a_j}-\sum_{1\leq j\leq m;k=m-i+j;k\neq m}\vec{a_j}x^k)}=\prod_{i=1}^{m}{\vec{C_i}}^{\vec{a_i}x^m}=(\prod_{i=1}^{m}{\vec{C_i}}^{\vec{a_i}})^{x^m}$，從而有：$C=\prod_{i=1}^{m}\vec{C_i}^{\vec{a_i}}$成立。【注意，原論文有的公式有點typo。】

以上流程，可能存在witness泄露的來源點有：
1）爲了防止在rewind 第3和第4步時，Verifier用不同的challenge $x$從Prover那獲取不同的$\vec{a}=\sum_{j=1}^{m}x^j\vec{a_j}$，從而造成witness $\vec{a_1},...,\vec{a_m}$的泄露，因此需要引入random vector $\vec{a_0}\leftarrow \mathbb{Z}_q^n$，Prover先commit to $\vec{a_0}$，然後收到challeng $x$後，直接reveal $\vec{a}=\vec{a_0}+\sum_{j=1}^{m}x^j\vec{a_j}$，從而能保證witness不被泄露。
2）在第2步給Verifier傳輸的$E_k=\prod_{1\leq i,j\leq m;j=(k-m)+i}\vec{C_i}^{\vec{a_j}}$值，可能也會造成witness $\vec{a_1},...,\vec{a_m}$的泄露。可在此基礎上乘以randomn ciphertext $\varepsilon_{pk}(G^{b_k};\tau_k)$【相應地，Prover需在收到challeng $x$前，對$b_k$進行commit $c_{B_k}=com_{ck}(b_k;s_k)$】，爲了仍然保證$E_m=C$成立，則要求$b_m=0,s_m=0$。
若考慮$\rho\neq0$的正常情況，爲了仍然保證$E_m=C$成立，相應的要求$\tau_m=\rho$。
$\begin{matrix} & \begin{pmatrix} \ \ \ \ \vec{a_0}&\ \ \ \ \vec{a_1} & \cdots &\ \ \ \vec{a_{m-1}} &\ \ \ \ \vec{a_m} \end{pmatrix} & \\ \begin{pmatrix} \vec{C_1}\\ \vec{C_2}\\ \vdots\\ \vec{C_m} \end{pmatrix} & \begin{pmatrix} \vec{C_1}^{\vec{a_0}}& \vec{C_1}^{\vec{a_1}} & \ddots & \vec{C_1}^{\vec{a_{m-1}}} & \vec{C_1}^{\vec{a_m}}\\ \vec{C_2}^{\vec{a_0}} & \vec{C_2}^{\vec{a_1}} & \ddots & \vec{C_2}^{\vec{a_{m-1}}} & \vec{C_2}^{\vec{a_m}}\\ \ddots & \ddots & \ddots & \ddots & \ddots\\ \vec{C_m}^{\vec{a_0}} & \vec{C_m}^{\vec{a_1}} & \ddots & \vec{C_m}^{\vec{a_{m-1}}} & \vec{C_m}^{\vec{a_m}} \end{pmatrix} & \begin{matrix} \\ \varepsilon_{pk}(G^{b_{2m-1}};\tau_{2m-1})E_{2m-1}\\ \vdots\\ \varepsilon_{pk}(G^{b_{m+1}};\tau_{m+1})E_{m+1}\\ \varepsilon_{pk}(1;\rho)E_m \end{matrix} \\ & \begin{matrix} \varepsilon_{pk}(G^{b_0};\tau_0)E_0& \varepsilon_{pk}(G^{b_1};\tau_1)E_1 & \cdots & \varepsilon_{pk}(G^{b_{m-1}};\tau_{m-1})E_{m-1} \end{matrix}& \end{matrix}$
詳細算法如下圖所示：

3.1 Prover的計算壓力

在上述Multi-exponentiation Argument中，Prover需要計算$E_0,\cdots,E_{2m-1}$，即對於$k=1,\cdots,2m-1$，有：
$E_k=\prod_{1\leq i,j\leq m;j=(k-m)+i}\vec{C_i}^{\vec{a_j}}=\prod_{i=1,j=1;j=(k-m)+i}^{m,m}\vec{C_i}^{\vec{a_j}}$
對應的計算量有：
1）需有$m^2$次$\vec{C_i}^{\vec{a_j}}$次product運算；
2）$\vec{C_i}^{\vec{a_j}}=\prod_{l=1}^{n}C_{il}^{a_{il}}$有$n$次exponentiation運算in $\mathbb{H}$。
從而$E_k$有$mn^2$次exponentiation運算in $\mathbb{H}$。

當$m$較大時，Prover的計算壓力很大，可通過多項式插值（FFT）或Toom-Cook或增加Verifier與Prover交互次數等方式來優化：

• FFT：
  
  
• Toom-Cook：
  
• 增加Verifier與Prover交互次數：基本思路爲：$m\times m$矩陣內元素真正有效的僅爲對角線上的元素，不需要計算所有$m^2$個元素，轉爲將$m\times m$矩陣切分爲小的block矩陣$\mu \times \mu$（其中$m=\mu m'$），只需要關注對角線上的block，並使用遞歸證明對角線block上的內容即可。
  $\begin{pmatrix} \vec{C_1}^{\vec{a_1}} & \ddots & \vec{C_1}^{\vec{a_{m-1}}} & \vec{C_1}^{\vec{a_m}}\\ \vec{C_2}^{\vec{a_1}} & \ddots & \vec{C_2}^{\vec{a_{m-1}}} & \vec{C_2}^{\vec{a_m}}\\ \ddots & \ddots & \ddots & \ddots\\ \vec{C_m}^{\vec{a_1}} & \ddots & \vec{C_m}^{\vec{a_{m-1}}} & \vec{C_m}^{\vec{a_m}} \end{pmatrix}$
  
  

3.2 Prover的計算優化實現

針對3.1中的計算壓力，在https://github.com/3for/verifiable-shuffle中分別做了相應的優化實現：

# This parameter determine which version of the program is executed.
# 0 stands for no optimization inside of the code
# 1 uses multi-exponentiation techniques
# 2 uses multi-exponentiation techniques and FFT to find values E_i
# 3 uses multi-exponentiation techniques, extra interaction and Toom-Cook 4 to find values E_i, in this case m =16 or 64\n
3

參考資料：
[1] 2012年論文《Efficient Zero-Knowledge Argument for Correctness of a Shuffle》
[2] PPT 《Efficient Zero-Knowledge Argument for Correctness of a Shuffle》
[3] 博客 向量的Hadamard product VS Inner product
[4] 博客 EIGamal encryption VS Pairing encryption