【零知识证明】Groth16

一 相关介绍

1 Groth16

Groth16是一种用于零知识证明系统中的简洁非交互式知识论证(SNARK)协议，是一种表示计算的方式，在算术电路上操作，使用加法和乘法门。使用配对友好的椭圆曲线来实现高效的证明生成和验证。

Groth16的主要特点包括:

--1. 简洁性:生成的证明非常小，通常只有几百字节。

--2. 高效验证:验证过程计算量小，速度快。

--3. 非交互式:证明者只需发送一个证明，无需与验证者进行多轮交互。

--4. 通用性:可以用于各种计算问题的零知识证明。

--5. 安全性:基于一些标准的密码学假设。

2 Powers of Tau

Powers of Tau是零知识证明系统中的一个重要概念，特别是在zk-SNARKs（零知识简洁非交互式知识论证）中。它是一个多方计算（MPC）仪式，用于生成zk-SNARK系统的初始可信设置。旨在创建一个通用的加密"材料",可以用于后续的零知识证明。这个名字来源于希腊字母τ(tau)，在这个过程中，计算τ的不同幂次(powers)。主要特点包括:

--1.安全性：只要参与仪式的至少一方是诚实的,整个系统就是安全的。

--2.可累积：多个参与者可以依次贡献自己的随机性。

--3.通用性：生成的结构可以用于多个不同的电路和证明。

二 Groth16设置

Phase 1

1 启动一个新的Powers of Tau仪式

使用snarkjs工具创建Powers of Tau仪式的初始文件

snarkjs powersoftau new bn128 12 ceremoy_0000.ptau -v

• snarkjs: 用于生成和验证零知识证明的JavaScript库。
• powersoftau: snarkjs中的一个子命令，用于执行Powers of Tau仪式。
• new: 表示我们要创建一个新的Powers of Tau仪式。
• bn128: 指定使用的椭圆曲线类型。BN128(也称为BN254)是一种常用于零知识证明的配对友好曲线。
• 12: 多项式的最大幂次，决定了电路的最大大小。2^12 = 4096，意味着这个设置最多可以支持4096个约束。
• ceremoy_0000.ptau: 输出文件的名称，将数字附加到仪式词的末尾是传统做法，这样就可以跟踪哪些参与者为这个仪式文件贡献了随机性。。
• -v: 表示"verbose"模式，会输出更详细的信息。

2 贡献阶段

多个参与者依次对ceremony文件进行贡献，其步骤为：

--1 下载当前的ceremony文件

--2 添加自己的随机性

--3 上传修改后的文件

snarkjs powersoftau contribute ceremoy_0000.ptau ceremoy_0001.ptau -v

输入随机数或者文字完成后，删除 ceremoy_0000.ptau ，继续提供随机性。

snarkjs powersoftau contribute ceremoy_0001.ptau ceremoy_0002.ptau -v

......

3 验证贡献

为确保该文件贡献随机性之前，仪式文件没有以任何方式被破坏，获取到仪式文件时可以验证完整性。

snarkjs powersoftau verify ceremoy_0001.ptau

打印出[INFO] snarkJS: Powers of Tau Ok!，则意味着仪式文件正确。

4 最终文件

文件随机性贡献完成后，生成最终文件：

snarkjs powersoftau prepare phase2 ceremoy_0002.ptau ceremoy_final.ptau -v

验证最后的生成文件：

snarkjs powersoftau verify ceremoy_final.ptau  

Phase 2

针对特定电路的设置过程

1 准备电路

首先，准备好想要证明的具体电路，MIMC5哈希电路为例。

pragma circom 2.0.0;

// y = (x + k + c) ^ 5
// 输入信号x, k ，常量c
// base = x + k + c
// base2 = base * base
// base4 = base2 * base2
// base5 = base *base4
// 输出 y

template MIMC5(){
    signal input x;
    signal input k;
    signal output y;

    var nRounds = 10;
    
    signal lastOutput[nRounds + 1];
    signal base[nRounds];
    signal base2[nRounds];
    signal base4[nRounds];

    var c[nRounds] = [
        0,
        108628498564530119400845211344465696619893215909509348621394122327540108068425,
        97918840674612490766260259917122040983322146107578572117133348745818718934238,
        37080288021783359382631708635481166595643657187023815953993753410034258263757,
        73837458841121413400840196415753404416336899430626860296277530990112251638375,
        14175455430092778326653438909353750763438980656611040223157546655455727686661,
        85678297215287832106125129972569780982362546197552607669873965012182303538395,
        37616746480726794097353991145016865625300747892258420087145463257639176364046,
        96407012155233017139473625567546330731938257866046827176139377315631058571917,
        35426948207998228380140847549475429358133108689610886291038432834368020538887
    ];

    lastOutput[0] <== x;
    
    for(var i = 0; i < nRounds; i++){
        base[i] <== lastOutput[i] + k + c[i];
        base2[i] <== base[i] * base[i];
        base4[i] <== base2[i] * base2[i];
        lastOutput[i+1] <== base[i] + base4[i]; 
    }
}

component main = MIMC5();

2 生成zkey文件

编译电路，生成circuit.r1cs文件并导入Phase 1（即之前运行的Powers of Tau命令）的输出

circom circuit.circom --r1cs

启动Phase 2设置，使用编译后的电路和Phase 1输出的ptau文件生成一个初始的zkey文件。

snarkjs groth16 setup circuit.r1cs ceremoy_final.ptau setup_0000.zkey

zkey文件包含了特定于circuit.circom电路的证明和验证密钥

3 贡献随机性

与Phase 1类似，多方可以为zkey文件贡献随机性，以增加安全性。（可以重复多次）

snarkjs zkey contribute setup_0000.zkey setup_final.zkey

4 验证设置

完成贡献后，和Phase 1类似，需要验证最终的zkey文件以确保其正确性。

snarkjs zkey verify circuit.r1cs ceremoy_final.ptau setup_final.zkey

Phase 3

1 生成证明

先为电路添加输入x和k的值：

# 新建一个input.json文件
{
    "x" : "156345341",
    "k" : "28965346"
}

再编译电路为WebAssembly形式，用于生成证明。

circom circuit.circom --wasm

使用编译后的电路、输入数据和最终的zkey文件来生成证明。

snarkjs groth16 fullprove input.json circuit_js/circuit.wasm setup_final.zkey proof.json public.json

2 导出Solidity验证器合约

创建一个Solidity合约，可以在以太坊上验证证明

snarkjs zkey export solidityverifier setup_final.zkey Verifier.sol

3 生成验证调用数据

生成可以用来调用验证器合约的数据。

snarkjs zkey export soliditycalldata public.json proof.json

["0x05fe0d95b181b07d383313d4b458ff17ac2ab3e7ae8433fa4e3c5869875d653c", "0x28e17a78038c2cd2685f9c536c2be7423dd6e23f7e2061b6e27c5071b3f58c36"],[["0x0e5e1552b27bbd45dbf8bbfbcaee1bdc71fa6a9c016654dff27a1beea7b2f57d", "0x03160fb7373a40993cbc74d121ccd75f4910c543c75c65934f93fdde1a16cb6a"],["0x221e506d697c36f9d1bf5b2f12dd1b83986a3f479360f31faf17e215f982681f", "0x227a10c7abfa2c835fe9a3c42e63dc2a67dadb8556942f42e913c943d3e96e75"]],["0x095e86f10679e5f4d96220678e98dbb8cbbd6ec613568ae372e955d088304dce", "0x03c00703bd4dc41af417765c411c84d0a61f9d76b82e22a3215f9889f5edab42"],["0x0000000000000000000000000000000000000000000000000000000000000000"]

4 在合约中验证:

最后，可以将生成的验证器合约部署到以太坊，并使用生成的调用数据来验证证明。

这个过程的美妙之处在于，一旦Phase 1和Phase 2完成，就可以重复使用setup_final.zkey文件来为相同电路的不同输入生成多个证明，而不需要重新进行可信设置。