[论文解读] Vector Commitments with Efficient Updates

Ertem Nusret Tas, Dan Boneh|arXiv (Cornell University)|Jan 1, 2023

Distributed systems and fault tolerance被引用 2

一句话总结

该论文提出了一种新型向量承诺方案，通过同态树和一种新型更新算法，在更新 k 个元素时，实现了更新信息大小（Θ(k^νλ)）和证明更新时间（Θ(k^{1−ν})）的次线性复杂度。该方案在更新大小与客户端运行时间之间实现了渐近最优的权衡，当 ν = 1/2 时，相较于 Verkle 树在两项指标上均提升了约 2 倍性能，同时通过信息论下界证明了其最优性。

ABSTRACT

Dynamic vector commitments that enable local updates of opening proofs have applications ranging from verifiable databases with membership changes to stateless clients on blockchains. In these applications, each user maintains a relevant subset of the committed messages and the corresponding opening proofs with the goal of ensuring a succinct global state. When the messages are updated, users are given some global update information and update their opening proofs to match the new vector commitment. We investigate the relation between the size of the update information and the runtime complexity needed to update an individual opening proof. Existing vector commitment schemes require that either the information size or the runtime scale linearly in the number k of updated state elements. We construct a vector commitment scheme that asymptotically achieves both length and runtime that is sublinear in k, namely k^ν and k^{1-ν} for any ν ∈ (0,1). We prove an information-theoretic lower bound on the relation between the update information size and runtime complexity that shows the asymptotic optimality of our scheme. While in practice, the construction is not yet competitive with Verkle commitments, our approach may point the way towards more performant vector commitments.

研究动机与目标

• 解决现有动态向量承诺方案在 k 个向量元素被更新时效率低下的问题，这些方案要么需要线性大小的更新信息，要么需要线性时间的证明更新。
• 弥合基于树的 VC（更新高效但更新数据量大）与代数 VC（更新数据量小但更新缓慢）之间的差距，实现同时具备次线性更新大小与次线性更新时间。
• 形式化并证明更新信息大小与证明更新复杂度之间权衡的信息论下界，确立所提方案的渐近最优性。
• 设计一种基于同态树的实用构造，支持无需可信设置的高效次线性更新，适用于无状态区块链客户端与可验证数据库。

提出的方法

• 提出一种同态树结构，其中每个内部节点是其子节点的同态函数，通过代数组合实现高效更新。
• 引入一种新型更新算法（算法 1），仅使用更新信息和本地状态即可计算新的证明组件，避免完整重计算。
• 将向量分层分解为子树，更新信息由少量内部节点更新组成（大小为 Θ(k^νλ)）。
• 使用一种同态默克尔树变体，其中承诺通过同态函数 g 计算，允许更新以乘法方式应用于证明组件。
• 应用信息论熵论证，证明更新信息大小的下界，表明任何具有 Θ(k^{1−ν}) 更新时间的方案，其更新信息大小必须至少为 Ω(k^νλ)。
• 提供方案的安全性证明，表明在标准假设下，该方案满足证明绑定性质。

实验结果

研究问题

• RQ1 是否能够设计一种动态向量承诺方案，使更新信息大小与证明更新时间在被更改元素数量 k 上均达到次线性？
• RQ2 在动态向量承诺中，更新信息大小与证明更新复杂度之间是否存在根本性的信息论权衡？
• RQ3 是否可能构造一种向量承诺方案，在更新效率上优于基于树的 VC 和代数 VC，同时保持安全性？
• RQ4 同态树能否在无需可信设置的情况下实现渐近最优的更新复杂度？

主要发现

• 所提方案对任意 ν ∈ (0, 1) 实现了更新信息大小 Θ(k^νλ) 和证明更新时间 Θ(k^{1−ν})，当 ν = 1/2 时达到最佳实用权衡。
• 当 ν = 1/2 时，该方案使更新信息大小与证明更新时间相比 Verkle 承诺均减少约 2 倍，尽管公共参数更大。
• 证明了信息论下界，表明任何具有 Θ(k^{1−ν}) 证明更新时间的方案，其更新信息大小必须至少为 Ω(k^νλ)，从而证明该构造的渐近最优性。
• 该方案满足证明绑定性质，确保攻击者无法在不同承诺下为同一索引的两个不同消息生成有效证明。
• 该构造在标准假设下是安全的，且无需可信设置，与基于配对的同态树实现不同。
• 本文提供了 Verkle 树的更新算法作为对比，表明所提方案可应用于改进现有区块链原 primitive。