[论文解读] A Zero Knowledge Sumcheck and its Applications

Alessandro Chiesa, Michael A. Forbes+1 more|arXiv (Cornell University)|Apr 7, 2017

Cryptography and Data Security参考文献 31被引用 6

一句话总结

本文在交互式概率可查证证明（IPCP）模型中提出了一种零知识求和检查协议，利用代数技术与查询复杂度下界，保留了经典求和检查协议丰富的代数结构。主要贡献是构造了一个求和检查的完美零知识变体，使得NEXP及其相关复杂度类能够实现高效且代数结构化的零知识证明。

ABSTRACT

Many seminal results in Interactive Proofs (IPs) use algebraic techniques based on low-degree polynomials, the study of which is pervasive in theoretical computer science. Unfortunately, known methods for endowing such proofs with zero knowledge guarantees do not retain this rich algebraic structure. In this work, we develop algebraic techniques for obtaining zero knowledge variants of proof protocols in a way that leverages and preserves their algebraic structure. Our constructions achieve unconditional (perfect) zero knowledge in the Interactive Probabilistically Checkable Proof (IPCP) model of Kalai and Raz [KR08] (the prover first sends a PCP oracle, then the prover and verifier engage in an Interactive Proof in which the verifier may query the PCP). Our main result is a zero knowledge variant of the sumcheck protocol [LFKN92] in the IPCP model. The sumcheck protocol is a key building block in many IPs, including the protocol for polynomial-space computation due to Shamir [Sha92], and the protocol for parallel computation due to Goldwasser, Kalai, and Rothblum [GKR15]. A core component of our result is an algebraic commitment scheme, whose hiding property is guaranteed by algebraic query complexity lower bounds [AW09,JKRS09]. This commitment scheme can then be used to considerably strengthen our previous work [BCFGRS16] that gives a sumcheck protocol with much weaker zero knowledge guarantees, itself using algebraic techniques based on algorithms for polynomial identity testing [RS05,BW04]. We demonstrate the applicability of our techniques by deriving zero knowledge variants of well-known protocols based on algebraic techniques, including the protocols of Shamir and of Goldwasser, Kalai, and Rothblum, as well as the protocol of Babai, Fortnow, and Lund [BFL91].

研究动机与目标

• 开发保留经典求和检查及其相关代数技术代数结构的零知识证明协议。
• 克服先前零知识方法破坏交互证明核心低次多项式结构的局限性。
• 在IPCP模型中构建一个具有无条件（完美）零知识的零知识求和检查协议。
• 实现NEXP和多项式空间计算的高效零知识计算委派。
• 通过Shamir和Goldwasser-Kalai-Rothblum等著名协议的零知识变体，展示方法的适用性。

提出的方法

• 设计一种代数承诺方案，其隐藏性由[AW09, JKRS09]中的代数查询复杂度下界保证。
• 使用随机化低次扩展，使BFL风格的NEXP协议实现零知识。
• 通过将代数承诺方案与修改后的求和检查交互结合，构建零知识求和检查协议。
• 利用求和-积电路将复杂计算（如O3SAT、多项式空间机器）编码为可通过零知识求和检查验证的代数语句。
• 引入两阶段协议：第一阶段，证明者使用代数承诺对低次扩展进行承诺；第二阶段，验证者与证明者在承诺多项式上通过求和检查协议交互。
• 利用验证者查询为均匀随机这一事实，确保证明者的响应不泄露信息，从而实现完美零知识。

实验结果

研究问题

• RQ1 能否在保留求和检查协议代数结构与效率的前提下，构造其零知识变体？
• RQ2 能否利用代数查询复杂度下界，构造一种在交互证明背景下实现完美隐藏的承诺方案？
• RQ3 所得到的零知识求和检查能否用于构造NEXP的高效零知识IPCP？
• RQ4 该技术能否扩展至多项式空间与低深度电路的零知识计算委派？
• RQ5 该方法能否应用于Shamir和Goldwasser-Kalai-Rothblum等经典协议的零知识场景？

主要发现

• 在IPCP模型中构造出一个完美零知识求和检查协议，实现无条件零知识，且不破坏原始求和检查的代数结构。
• 协议的可靠性误差最多为 $ O(1/|B|) $，对于O3SAT关系而言小于 $ 1/2 $，满足标准的完备性与可靠性要求。
• 零知识求和检查支持从BFL协议出发，通过随机化低次扩展，构造 $ extbf{NEXP} $ 的零知识IPCP。
• 多项式空间计算协议（Shamir协议）通过新求和检查与承诺方案，被成功转化为零知识版本。
• 低深度电路协议通过求和-积电路实现，该电路以与零知识求和检查兼容的方式编码计算过程。
• 验证者的查询复杂度被限制在 $ O\left(\frac{|H|^2 \times |B| \times (r+s+\text{polylog}(b))}{|\text{F}| \times \text{log}|H|}\right) $，即 $ O(1/|B|) $，确保可靠性误差可忽略。