Linear Algebra with Sub-linear Zero-Knowledge Arguments学习笔记

1. 引言

Groth 2009年论文《Linear Algebra with Sub-linear Zero-Knowledge Arguments》。

已知2个matrices $\mathbf{A},\mathbf{B}$ 的commitments $C_{\mathbf{A}},C_{\mathbf{B}}$ 和 1个matrix $\mathbf{C}$ 的commitment $C_{\mathbf{C}}$，本文构建了：

• sub-linear size的零知识证明，用于证明 product of two matrices $\mathbf{C}=\mathbf{A}\ast \mathbf{B}$。
• sub-linear size的零知识证明，用于证明 Hadamard product of two matrices $\mathbf{C}=\mathbf{A}\circ \mathbf{B}$。

基于以上两种证明方案，可以构建其它sub-linear 零知识证明，用于证明，如：（用于证明 a set of committed vectors and matrices satisfying a set of linear algebra relations。）

• a committed matrix being upper or lower triangular；
• a committed matrix being the inverse of another committed matrix；
• a committed matrix being a permutation of another committed matrix （using either a public or a hidden permutation）；
• a committed field element being the dot product of two committed vectors；
• a committed matrix being the product of two other committed matrices；
• a committed vector being the Hadamard product (the entry-wise product) of two other vectors；
• a committed matrix has a particular trace；
• compute the sums of the rows or columns of a committed matrix；

同时，可将本文技术用于证明 the satisfiability of an arithmetic circuit with $N$ gates，本文所构建的arithmetic circuit 零知识证明算法具有的communication complexity 为 $O(\sqrt{N})$ 个group elements。本文提供了2种实现方式：

• 1）constant round 的零知识证明算法；
• 2）$O({\log }_{2}N)$ round 的零知识证明算法，Prover的computation complexity 为$O(N/{\log }_{2}N)$个exponentiations，Verifier的computation complexity为$O(N)$个multiplications。

对于只有与非门的binary circuit来说，本文基于Pedersen commitment的变体，提供了一种circuit satisfiability的public-coin 零知识证明算法：

• communication complexity为$O(\sqrt{N})$ 个group elements；
• Prover和Verifier的computation complexity 均为$O(N)$个multiplications。

在构建零知识证明算法时，需要同时关注communication complexity和computation complexity。本文所构建的零知识证明算法，具有sub-linear communication的同时，也具有 low computational complexity。

对于$n\times n$矩阵$\mathbf{A}$，以行向量表示为$\mathbf{A}=[{\vec{a}}_1,\cdots ,{\vec{a}}_n{]}^T$，对每个行向量进行Pedersen commitment为 a single group element。$Com(\mathbf{A})=[Com({\vec{a}}_1),\cdots ,Com({\vec{a}}_n){]}^T$。

本文所涉及的各证明算法性能对比：

1.1 一些定义

• Argument定义：
  

• Public coin argument定义：
  

• Perfect special honest verifier zero-knowledge定义：
  

• Witness-extended emulation定义：
  

• Full Zero-Knowledge定义：
  

1.2 Homomorphic Commitments

本文采用的是generalized Pedersen commitment scheme。
key generation algorithm $K$ 用于生成commitment key $ck=(G,g_1,\cdots ,g_n,h)$，其中 $g_1,\cdots ,g_n,h$ 为随机选择的generators of a group $G$ of prime order $p$ with $|p|=k$。对应的message space 为 ${\mathbb{Z}}_p^n$，randomizer space 为 ${\mathbb{Z}}_p$，commitment space 为 $G$。

选择随机数 $r\leftarrow {\mathbb{Z}}_p$，对vector $(x_1,\cdots ,x_n)\in {\mathbb{Z}}_p^n$ 的commitment 为：
$c=co{m}_{ck}(\vec{x};r)=h^r{\prod }_{i=1}^n{g}_i^{x_i}$
以上commitment具有perfect hiding属性，同时具有computationally binding属性under the discrete logarithm assumption。

本文的SHVZK arguments中的common reference string 就是 commitment key $ck$。对于一些经典的group $G$，commitment key可 easily sampled from a common random string 同时可 easily verify that $ck$ is a valid commitment key。commitment key $ck$ 甚至可由Verifier来选择。

Pedersen commitment的具有加法同态属性：
$co{m}_{ck}(\vec{x};r)\cdot co{m}_{ck}({\vec{x}}^{\prime };r^{\prime })=co{m}_{ck}(\vec{x}+{\vec{x}}^{\prime };r+r^{\prime })$
$co{m}_{ck}(a\vec{x}+a^{\prime }{\vec{x}}^{\prime };ar+a^{\prime }{r}^{\prime })=co{m}_{ck}(\vec{x};r{)}^a\cdot co{m}_{ck}({\vec{x}}^{\prime };r^{\prime }{)}^{a^{\prime }}$

1.3 multi-exponentiation技术

采用multi-exponentiation技术，相比于单独计算 $n$ 个single exponentiations，直接计算 ${\prod }_{i=1}^n{g}_i^{x_i}$会更快，这将有助于快速计算Pedersen commitment。

常用的multi-exponentiation技术主要有：

• Pippenger 1980年论文《On the evaluation of powers and monomials》中提出了一种general theory of multi-exponentiations；
• Lim 2000年论文《Efficient multi-exponentiation and application to batch verification of digital signatures》中提出了一种 concrete multi-exponentiation 技术，当 $n$ 很大时，其complexity低于 $2nk/{\log }_{2}n$ multiplications in $G$。

本文推荐使用Lim的multi-exponentiation算法。

1.4 一些假设

• Schwartz-Zippel Lemma：
  

2. Argument of Knowledge of Commitment Openings

基本信息为：
Public info：commitment key $ck$ 和 a set of commitments $c_1,\cdots ,c_m$。
Private info：a set of vectors ${\vec{x}}_1,\cdots ,{\vec{x}}_m\in {\mathbb{Z}}_p^n$。
Relation：for $i\in [1,m]$ 有 $c_i=com({\vec{x}}_i;r_i)$。

Knowledge of content of commitments的证明算法为：（含3 rounds）

• 1）Prover：选择随机数 ${\vec{x}}_0\leftarrow {\mathbb{Z}}_p^n,r_0\leftarrow {\mathbb{Z}}_p$，计算$c_0=co{m}_{ck}({\vec{x}}_0;r_0)$，并将$c_0$值发送给Verifier。
• 2）Verifier：发送random challenge $e\leftarrow {\mathbb{Z}}_p$。
• 3）Prover：计算$\vec{z}={\sum }_{i=0}^m{e}^i\overrightarrow{x_i}=(x_{01}+e{x}_{11}+\cdots +e^m{x}_{m1},x_{02}+e{x}_{12}+\cdots +e^m{x}_{m2},\cdots ,m{x}_{0n}+e^m{x}_{1n}+\cdots +e^m{x}_{mn})$ 和 $s={\sum }_{i=0}^m{e}^i{r}_i$。将$\vec{z}\in {\mathbb{Z}}_p^n$和$s\in {\mathbb{Z}}_p$发送给Verifier。
• 4）Verifier验证 ${\prod }_{i=0}^m{c}_i^{e^i}=co{m}_{ck}(\vec{z};s)$ 是否成立即可。

整个证明算法中，communication cost包含：1个commitment和 $n+2$ 个field elements。Prover计算了1个commitment、a linear combination of the vectors ${\vec{x}}_i$ 和 a linear combination of the randomizer $r_i$。采用multi-exponentiation 技术，Prover需要计算大约 $2nk/{\log }_{2}n$ 次 multiplications of group elements以及 $mn$ 次 multiplications of field elements。Verifier采用multi-exponentiations技术来计算commitment和 multi-exponentiation of $m$ commitments，需要大约 $2mk/{\log }_{2}m+2nk/{\log }_{2}n$次multiplications in the group。整个证明算法的communication和computation开销都比较低。

以上证明算法为3-move public coin argument with witness extended emulation for knowledge of the openings of a set of commitments，该argument具有perfect completeness和perfect SHVZK。（详细内容参见论文中Theorem 4 证明。）

3. matric、vector和element的线性代数关系表示

本文中 $\circ$ 表示 Hadamard product (entry-wise product)。

• private info（committed info）有：矩阵 ${\mathbf{X}}_i,{\mathbf{Y}}_i,\mathbf{Z}\in Ma{t}_{n\times n}({\mathbb{Z}}_p)$，行向量 ${\vec{x}}_i,{\vec{y}}_i,\vec{z}\in {\mathbb{Z}}_p^n$ 和 element $z\in {\mathbb{Z}}_p$。
• public info 有：$a_i\in {\mathbb{Z}}_p$。
  本文主要关注6种类型的关系等式为：
• （1）${\vec{z}}^T={\sum }_{i=1}^m{a}_i{\mathbf{X}}_i{\vec{y}}_i^T$
• （2）$\mathbf{Z}={\sum }_{i=1}^m{a}_i{\mathbf{X}}_i{\mathbf{Y}}_i$
• （3）$\mathbf{Z}={\sum }_{i=1}^m{\mathbf{X}}_i\circ {\mathbf{Y}}_i$
• （4）$z={\sum }_{i=1}^m{a}_i{\vec{x}}_i{\vec{y}}_i^T$
• （5）$\vec{z}={\sum }_{i=1}^m{a}_i{\vec{x}}_i{\mathbf{Y}}_i$
• （6）$\vec{z}={\sum }_{i=1}^m{a}_i{\vec{x}}_i\circ {\vec{y}}_i$

对于以上6种关系等式，均可转换为一系列形式如下的方程式：
$z={\sum }_{i=1}^m{\vec{x}}_i\ast {\vec{y}}_i$
其中 $\ast :{\mathbb{Z}}_p^n\ast {\mathbb{Z}}_p^n\to {\mathbb{Z}}_p$ 为bilinear map。
本文中的bilinear map选择有两种：

• 用于表示标准的dot product of vectors：$\vec{x}\ast \vec{y}=\vec{x}{\vec{y}}^T$；
• 用于表示：$\vec{x}\ast \vec{y}=\vec{x}(\vec{y}\circ \vec{t}{)}^T$，其中$\vec{t}\in {\mathbb{Z}}_p^n$为由Verifier选择的public vector。

由于矩阵可以以$n$个行向量表示，以上6种类型的前三种关系等式分别对应为$n$个后三种关系等式。（即关系式1对应$n$个关系式4，关系式2对应$n$个关系式5，关系式3对应$n$个关系式6。）
因此，将重点关注将关系式4、5、6转换为一系列形如 $z={\sum }_{i=1}^m{\vec{x}}_i\ast {\vec{y}}_i$ 的方程式。

3.1 将大量$z={\sum }_{i=1}^m{a}_i{\vec{x}}_i{\vec{y}}_i^T$ reduce为一个方程式

利用Randomization，可将$Q$个形如$z_q={\sum }_{i=1}^{m_q}{a}_{qi}{\vec{x}}_{qi}{\vec{y}}_{qi}^T$的方程式reduce为一个形如$z={\sum }_{i=1}^m{\vec{z}}_i{\vec{y}}_i^T,其中m={\sum }_{q=1}^Q{m}_q$的单一的方程式。

• Verifier选择随机数 $r\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $\vec{r}=(r_1,\cdots ,r_Q)=(1,r,\cdots ,r^{Q-1})$。
• 1）接下来，需要Prover证明 ${\sum }_{q=1}^Q{r}_q{z}_q={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}(r_q{a}_{qi}{\vec{x}}_{qi}){\vec{y}}_{qi}^T$成立。【以向量形式表示$\vec{z}=(z_1,\cdots ,z_Q)$，即相当于需证明$\vec{z}{\vec{r}}^T={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}(r_q{a}_{qi}{\vec{x}}_{qi}){\vec{y}}_{qi}^T$】
  该等式左右两侧均为以challenge $r$为变量的多项式，多项式的阶均为 $Q-1$，根据Schwartz-Zippel lemma，以上等式伪造成立的概率不高于 $\frac{Q-1}{p}$。
  可直接设置$z={\sum }_{q=1}^Q{r}_q{z}_q,{\vec{x}}_{qi}^{\prime }=r_q{a}_{qi}{\vec{x}}_{qi}$【因为相应的commitment可直接计算：$com(z)={\prod }_{q=1}^Q(com(z_q){)}^{r_q},com({\vec{x}}_{qi}^{\prime })=(com({\vec{x}}_{qi}){)}^{r_q{a}_{qi}}$】，则有：
  $z={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}{\vec{x}}_{qi}^{\prime }{\vec{y}}_{qi}^T$

3.2 将$\vec{z}={\sum }_{i=1}^m{a}_i{\vec{x}}_i{\mathbf{Y}}_i$ reduce为形如$z={\sum }_{i=1}^m{a}_i{\vec{x}}_i{\vec{y}}_i^T$

• Verifier：选择随机数 $t\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $\vec{t}=(1,t,\cdots ,t^{n-1})$。
• 1）接下来，需要Prover证明 $\vec{z}{\vec{t}}^T=({\sum }_{i=1}^m{a}_i{\vec{x}}_i{\mathbf{Y}}_i){\vec{t}}^T={\sum }_{i=1}^m{a}_i{\vec{x}}_i({\mathbf{Y}}_i{\vec{t}}^T)$成立。
  该等式左右两侧均为以challenge $t$为变量的多项式，多项式的阶均为 $n-1$，根据Schwartz-Zippel lemma，以上等式伪造成立的概率不高于 $\frac{n-1}{p}$。
  存在的问题是：已知矩阵${\mathbf{Y}}_i$的每行向量的commitment，无法直接计算${\mathbf{Y}}_i{\vec{t}}^T$的commitment。为证明the linear combination of the columns，需要额外再引入2个round：【矩阵转置运算有$(\mathbf{A}\mathbf{B}{)}^T={\mathbf{B}}^T{\mathbf{A}}^T$，因此有$({\mathbf{Y}}_i{\vec{t}}^T{)}^T=\vec{t}{\mathbf{Y}}_i^T$】
• 2）Prover 针对向量 ${\vec{y}}_i=\vec{t}{\mathbf{Y}}_i^T$ 计算commitment $C_{{\vec{y}}_i}=com({\vec{y}}_i)$，并将 $C_{{\vec{y}}_i}$ 发送给Verifier。
  由步骤1）中的等式证明改为证明$\vec{z}{\vec{t}}^T-{\sum }_{i=1}^m{a}_i{\vec{x}}_i{\vec{y}}_i^T=0$成立且证明${\vec{y}}_i=\vec{t}{\mathbf{Y}}_i^T$。
• Verifier：选择随机数 $s\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $\vec{s}=(1,s,\cdots ,s^{n-1})$。【对于向量的dot product表示，有$\vec{a}{\vec{b}}^T=\vec{b}{\vec{a}}^T$，于是有 $\overrightarrow{y_i}{\vec{s}}^T=\vec{s}{\vec{y}}_i^T=\vec{s}{\mathbf{Y}}_i{\vec{t}}^T=(\vec{s}{\mathbf{Y}}_i){\vec{t}}^T$】
• Prover：
  – (a) 对于 ${\vec{y}}_i=\vec{t}{\mathbf{Y}}_i^T$ 改为证明 $\overrightarrow{y_i}{\vec{s}}^T=(\vec{s}{\mathbf{Y}}_i){\vec{t}}^T$ 成立。
  注意此时，$(\vec{s}{\mathbf{Y}}_i)$为矩阵${\mathbf{Y}}_i$行向量的线性组合，所以相应的commitment可直接基于矩阵${\mathbf{Y}}_i$行向量${\overrightarrow{Y_i}}_j$的commitment计算—— $com(\vec{s}{\mathbf{Y}}_i)={\prod }_{j=1}^n(com({\overrightarrow{Y_i}}_j){)}^{s_j}$。此处可实现${\vec{y}}_i=\vec{t}{\mathbf{Y}}_i^T$证明。【？？相当于3.1节中，$Q=1,m=1$ 的特例情况，可转换为3.1节中的证明。】
  – (b) 对于$\vec{z}{\vec{t}}^T-{\sum }_{i=1}^m{a}_i{\vec{x}}_i{\vec{y}}_i^T=0$的证明，相当于3.1中 $Q=1$ 的特例情况，可转换为3.1节中的证明。
  【？？注意此处不再是对整个$\vec{z}$向量的commitment，而应该是对其中每个元素进行commitment，这样才能计算$com(\vec{z}{\vec{t}}^T)={\prod }_{i=1}^n(com(z_i){)}^{t_i}$】

以上整个reduction中的主要开销在于：

• 计算${\vec{y}}_i$；
• 计算$\vec{s}{\mathbf{Y}}_i$；
• 计算${\vec{y}}_i$的commitments。

3.3 将大量$\vec{z}={\sum }_{i=1}^m{a}_i{\vec{x}}_i\circ {\vec{y}}_i$ Hadamard Products reduce为a single Equation with a Bilinear Map

利用Randomization，可将$Q$个形如${\vec{z}}_q={\sum }_{i=1}^{m_q}{a}_{qi}{\vec{x}}_{qi}\circ {\vec{y}}_{qi}$的方程式reduce为一个单一的具有Bilinear Map的方程式。

• Verifier选择随机数 $r\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $\vec{r}=(r_1,\cdots ,r_Q)=(1,r,\cdots ,r^{Q-1})$。
• 1）接下来，需要Prover证明 ${\sum }_{q=1}^Q{r}_q{\vec{z}}_q={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}(r_q{a}_{qi}{\vec{x}}_{qi})\circ {\vec{y}}_{qi}$成立。
  该等式左右两侧均为以challenge $r$为变量的多项式，多项式的阶均为 $Q-1$，根据Schwartz-Zippel lemma，以上等式伪造成立的概率不高于 $\frac{Q-1}{p}$。
  可直接设置${\vec{z}}^{\prime }={\sum }_{q=1}^Q{r}_q{\vec{z}}_q,{\vec{x}}_{qi}^{\prime }=r_q{a}_{qi}{\vec{x}}_{qi}$【因为相应的commitment可直接计算：$com({\vec{z}}^{\prime })={\prod }_{q=1}^Q(com({\vec{z}}_q){)}^{r_q},com({\vec{x}}_{qi}^{\prime })=(com({\vec{x}}_{qi}){)}^{r_q{a}_{qi}}$】，则有a Hadamard equation：
  ${\vec{z}}^{\prime }={\sum }_{q=1}^Q{\sum }_{i=1}^{m_q}{\vec{x}}_{qi}^{\prime }\circ {\vec{y}}_{qi}^T$

对于形如$\vec{z}={\sum }_{i=1}^m{\vec{x}}_i\circ {\vec{y}}_i$的Hadamard 方程式的证明：

• Verifier选择随机数 $t\leftarrow {\mathbb{Z}}_p$，构建Vandermonde matrix row 为 $\vec{t}=(t_1,\cdots ,t_Q)=(1,t,\cdots ,t^{Q-1})$。
• 2）接下来，需要Prover 证明 $\vec{z}{\vec{t}}^T=({\sum }_{i=1}^m{\vec{x}}_i\circ {\vec{y}}_i){\vec{t}}^T={\sum }_{i=1}^m{\vec{x}}_i({\vec{y}}_i\circ \vec{t}{)}^T$
  定义bilinear map为：
  $\ast :{\mathbb{Z}}_p^n\times {\mathbb{Z}}_p^n\to {\mathbb{Z}}_p(\vec{x},\vec{y})\to \vec{x}(\vec{y}\circ \vec{t}{)}^T$
  于是转为证明 $0={\sum }_{i=1}^m{\vec{x}}_i\ast {\vec{y}}_i-\vec{z}\ast \vec{1}$，其中$\vec{1}=(1,1,\cdots ,1)$。

4. Vector Product Equation的零知识证明

第3节中提到的6种方程式，均可以转换为形如$z={\sum }_{i=1}^m{\vec{x}}_i\ast {\vec{y}}_i$的方程式，其中$\ast$代表2种bilinear map：

• 用于表示标准的dot product of vectors：$\vec{x}\ast \vec{y}=\vec{x}{\vec{y}}^T$；
• 用于表示：$\vec{x}\ast \vec{y}=\vec{x}(\vec{y}\circ \vec{t}{)}^T$，其中$\vec{t}=(1,t,\cdots ,t^{n-1})\in {\mathbb{Z}}_p^n$为由Verifier选择的public vector。

基本信息：

• public info：commitment key $ck$及其他commitments。
• private info：$z\in {\mathbb{Z}}_p,{\vec{x}}_1,{\vec{y}}_1,\cdots ,\cdots ,{\vec{x}}_m,{\vec{y}}_m\in {\mathbb{Z}}_p^n$。
• relation：$z={\sum }_{i=1}^m{\vec{x}}_i\ast {\vec{y}}_i$。

接下来，将针对以上场景构建的零知识证明算法。

4.1 $m=1$的最小化情况

首先，考虑$m=1$的最小化情况下，基本信息为：

• public info：commitment key $ck$ 及 commitments $a=co{m}_{ck}(\vec{x};r),b=co{m}_{ck}(\vec{y};s),c=co{m}_{ck}(z;t)$。
• private info：$r,s,t,z\in {\mathbb{Z}}_p,\vec{x},\vec{y}\in {\mathbb{Z}}_p^n$。
• relation：$z=\vec{x}\ast \vec{y}$。

【证明算法主要构建基础为：$(e\vec{x}+{\vec{d}}_x)\ast (e\vec{y}+{\vec{d}}_y)=e^2\vec{x}\ast \vec{y}+e(\vec{x}\ast {\vec{d}}_x+\vec{y}\ast {\vec{d}}_y)+{\vec{d}}_x\ast {\vec{d}}_y$。】

针对$m=1$的最小化情况的证明为：

• Prover：选择随机数${\vec{d}}_x,{\vec{d}}_y\leftarrow {\mathbb{Z}}_p^n,d_z\leftarrow {\mathbb{Z}}_p,r_d,s_d,t_1,t_0\leftarrow {\mathbb{Z}}_p$，计算如下commitments：
  $a_d=co{m}_{ck}({\vec{d}}_x;r_d),b_d=co{m}_{c}k({\vec{d}}_y;s_d),c_1=co{m}_{ck}(\vec{x}\ast {\vec{d}}_x+\vec{y}\ast {\vec{d}}_y;t_1),c_0=co{m}_{ck}({\vec{d}}_x\ast {\vec{d}}_y;t_0)$
  将commitments $a_d,b_d,c_1,c_0$ 发送给Verifier。

• Verifier：选择随机challenge $e\leftarrow {\mathbb{Z}}_p$发送给Prover。

• Prover：计算：
  ${\vec{f}}_x=e\vec{x}+{\vec{d}}_x,{\vec{f}}_y=e\vec{y}+{\vec{d}}_y,r_x=er+r_d,s_y=es+s_d,t_z=e^{2}t+e{t}_1+t_0$
  将 ${\vec{f}}_x,{\vec{f}}_y,r_x,s_y,t_z$发送给Verifier。

• Verifier：验证以下方程式是否均成立：
  $a^e{a}_d=co{m}_{ck}({\vec{f}}_x;r_x)\wedge b^e{b}_d=co{m}_{ck}({\vec{f}}_y;s_y)\wedge c^{e^2}{c}_1^e{c}_0=co{m}_{ck}({\vec{f}}_x\ast {\vec{f}}_y;t_z)$。

以上算法的：

• communication cost为：4个commitment和$2n+3$ 个field elements，对于large $n$来说，对应大约 $2nk$ bits。
• Prover的computation cost 为：计算commitments $a_d,b_d$。可采用Lim的multi-exponentiation技术，对应为$4nk/{\log }_{2}n$个multiplications in $G$。
• Veriifer的computation cost为：计算${\vec{f}}_x,{\vec{f}}_y$的commitments，可采用Lim的multi-exponentiation技术，对应也为$4nk/{\log }_{2}n$个multiplications in $G$。但是，可在此基础上再采用randomization技术，再次reduce为$2nk/{\log }_{2}n$个multiplications in $G$，具体实现方法为：Verifier引入随机数$\alpha \leftarrow {\mathbb{Z}}_p$，同时验证2个commitments的方程式 $(a^e{a}_d{)}^{\alpha }{b}^e{b}_d=co{m}_{ck}(\alpha {\vec{f}}_x+{\vec{f}}_y;\alpha r_x+s_y)$。

4.2 将$m>1$的情况通过2-round reduce为$m=1$的最小化情况

$m>1$时，基本信息为：

• public info：commitment key $ck$ 及 commitments $a_1=co{m}_{ck}({\vec{x}}_1;r_1),b_1=co{m}_{ck}({\vec{y}}_1;s_1),\cdots ,\cdots ,a_m=co{m}_{ck}({\vec{x}}_m;r_m),b_m=co{m}_{ck}({\vec{y}}_m;s_m),c=co{m}_{ck}(z;t)$。
• private info：$r_1,s_1,\cdots ,\cdots ,r_m,s_m,t,z\in {\mathbb{Z}}_p,{\vec{x}}_1,{\vec{y}}_1,\cdots ,\cdots ,{\vec{x}}_m,{\vec{y}}_m\in {\mathbb{Z}}_p^n$。
• relation：$z={\sum }_{i=1}^m\vec{x}\ast \vec{y}$。

证明思路为：
1）将以上$m>1$的情况通过2-round reduce为$m=1$的最小化情况；
2）reduce为$m=1$后，直接调用4.1节证明算法进行证明。

将以上$m>1$的情况通过2-round reduce为$m=1$的最小化情况，$z={\sum }_{i=1}^m\vec{x}\ast \vec{y}$主要构建思路为展开为如下矩阵表示，同时取所有对角线元素之和：（共有$2m-1$条对角线，其中$c_{m-1}=co{m}_{ck}(z;t)=c$）

详细的实现过程为：

• Prover：for $0\le l\le 2m-2$，选择随机数$t_l\leftarrow {\mathbb{Z}}_p$，为保证主对角线$c_{m-1}=co{m}_{ck}(z;t)=c$，需设置$t_{m-1}=t$。Prover计算除主对角线之外的其它对角线元素之和的commitment，对应为 for $0\le l\le 2m-2,l\ne m-1$，$c_l=co{m}_{ck}({\sum }_{i,j;l=m+i-j-1}{\vec{x}}_i\ast {\vec{y}}_j;t_l)$。将commitments $c_0,\cdots ,c_{2m-2}$ 发送给Verifier。

• Verifier： 发送random challenge $e\leftarrow {\mathbb{Z}}_p$。

• Prover：定义commitments $a^{\prime }=co{m}_{ck}({\vec{x}}^{\prime };r^{\prime })={\prod }_{i=1}^m{a}_i^{e^{i-1}},b^{\prime }=co{m}_{ck}({\vec{y}}^{\prime };s^{\prime })={\prod }_{j=1}^m{b}_j^{e^{m-j}},c^{\prime }=co{m}_{ck}(z^{\prime };t^{\prime })={\prod }_{l=0}^{2m-2}{c}_l^{e^l}$
  Prover计算与这些commitments对应的openings：
  ${\vec{x}}^{\prime }={\sum }_{i=1}^m{e}^{i-1}{\vec{x}}_i,r^{\prime }={\sum }_{i=1}^m{e}^{i-1}{r}_i,{\vec{y}}^{\prime }={\sum }_{j=1}^m{e}^{m-j}{\vec{y}}_j,s^{\prime }={\sum }_{j=1}^m{e}^{m-j}{s}_j$
  
  从而改为证明 $z^{\prime }={\vec{x}}^{\prime }\ast {\vec{y}}^{\prime }={\sum }_{l=0}^{2m-2}{e}^l{\sum }_{i,j:l=m+i-j-1}{\vec{x}}_i\ast {\vec{y}}_j$，而$t^{\prime }={\sum }_{l=0}^{2m-2}{e}^l{t}_l$。
  基本信息为：
  – public info：commitments $a^{\prime }=co{m}_{ck}({\vec{x}}^{\prime };r^{\prime }),b^{\prime }=co{m}_{ck}({\vec{y}}^{\prime };s^{\prime }),c^{\prime }=co{m}_{ck}(z^{\prime };t^{\prime })$。
  – private info：${\vec{x}}^{\prime },{\vec{y}}^{\prime },r^{\prime },s^{\prime },t^{\prime },z^{\prime }$。
  – Relation：$z^{\prime }={\vec{x}}^{\prime }\ast {\vec{y}}^{\prime }$。
  因此可采用4.1节算法进行证明。

整个证明算法的开销为：

4.3 增加interaction round来减少computation开销

由4.2节内容可知，当$m$很大时，对应的Prover和Verifier的computation cost与$m$成正比，相应的computation压力将很大。
与4.2节直接计算 $m^2$ 个products ${\vec{x}}_i\ast {\vec{y}}_j$ 不同，可通过增加round interaction的次数来减少。如采用 $2{\log }_{2}m$-round reduction to the minimal case，Prover仅需计算 $4mn$ 个multiplications。【即不再关心整个矩阵的所有对角线，只关心基于主对角线关联的$2\times 2$范围内的元素。】
以$m=8$为例，$2{\log }_{2}m=6$：

整个计算过程为：

整个算法的开销为：

5. 其它线性代数方程式的零知识证明

5.1 证明矩阵互逆Inverse

• public info： commitments $com(\mathbf{Y}),com(\mathbf{X})$
• private info：矩阵$\mathbf{Y},\mathbf{X}$
• relation：$\mathbf{Y}={\mathbf{X}}^{-1}$或者$\mathbf{X}\mathbf{Y}=\mathbf{I}$

基本思路为：

• Verifier：选择随机数$s\leftarrow {\mathbb{Z}}_p$，构建向量$\vec{s}=(1,s,\cdots ,s^{n-1})$。
• Prover：转为证明$(\vec{s}\mathbf{X})\mathbf{Y}=\vec{s}$。可借助3.2节算法来实现，相当于$m=1,Q=1$的特例。

5.2 证明矩阵互为转置Transpose

• public info： commitments $com(\mathbf{Y}),com(\mathbf{X})$
• private info：矩阵$\mathbf{Y},\mathbf{X}$
• relation：$\mathbf{Y}={\mathbf{X}}^T$

基本思路为：

• Verifier：选择随机数$s,t\leftarrow {\mathbb{Z}}_p$，构建向量$\vec{s}=(1,s,\cdots ,s^{n-1}),\vec{t}=(1,t,\cdots ,t^{n-1})$。
• Prover：转为证明$(\vec{s}\mathbf{X}){\vec{t}}^T=(\vec{t}\mathbf{Y}){\vec{s}}^T$。【对于向量的dot product表示，有$\vec{a}{\vec{b}}^T=\vec{b}{\vec{a}}^T$】

5.3 证明矩阵的特征值eigenvalue和特征向量eigenvector

• public info： commitments $com(\mathbf{Y}),com({\vec{y}}^T),com(\lambda )$
• private info：矩阵$\mathbf{X}$，特征值$\lambda$，特征向量${\vec{y}}^T$
• relation：$\lambda {\vec{y}}^T=\mathbf{X}{\vec{y}}^T$

基本思路为：

• 首先commit to $\vec{z}=\lambda \vec{y}$，相当于证明$\vec{z}=\lambda (\vec{y}\circ \vec{1})$，可借助3.3节进行证明，相当于$m=1,Q=1,\vec{x}=\vec{1}$的特例。
• Verifier：选择随机数$s\leftarrow {\mathbb{Z}}_p$，构建向量$\vec{s}=(1,s,\cdots ,s^{n-1})$。
• Prover：转为证明$\vec{s}{\vec{z}}^T=(\vec{s}\mathbf{X}){\vec{y}}^T$，可借助3.1节算法证明，相当于$m=1,Q=1$的特例情况。

5.4 证明sums of Rows和sums of Columns

计算sums of Rows 相当于计算$\mathbf{X}{\vec{1}}^T$，计算sums of columns相当于计算$\vec{1}\mathbf{X}$，计算整个矩阵所有元素之和相当于计算$\vec{1}\mathbf{X}{\vec{1}}^T$。
可利用本文涉及的6种等式实现相应的证明。

5.5 证明Hadamard Products of Rows and Columns

基本证明思路与博客 Efficient Zero-Knowledge Argument for Correctness of a Shuffle学习笔记（2）第二节中的Hadamard product argument 证明思路类似。

5.6 证明矩阵为三角矩阵

5.7 证明矩阵的迹Trace

5.8 证明矩阵的判别式Absolute Value of Determinant

5.9 证明矩阵之间的known permutation

5.10 证明矩阵之间的hidden permutation

6. 用于Circuit Satisfiability证明

6.1 针对binary circuit的性能表现

参考资料：

[1] 博客 向量的Hadamard product VS Inner product