本文作者：p0n1@安比实验室
libsnark 是目前实现 zk-SNARKs 电路最重要的框架，在众多私密交易或隐私计算相关项目间广泛应用，其中最著名当然要数 Zcash。Zcash 在 Sapling 版本升级前一直使用 libsnark 来实现电路（之后才替换为 bellman）。毫不夸张地说，libsnark 支撑并促进了 zk-SNARKs 技术的首次大规模应用，填补了零知识证明技术从最新理论到工程实现间的空缺。
希望通过本系列文章，所有开发者都能亲自上手实践，在短时间内迅速入门 libsnark，一步步了解 libsnark 的基本概念，学会如何开发 zk-SNARKs 电路，完成证明的生成和验证，最终将零知识证明应用到真实业务中去。
1. zk-SNARKs 和 libsnark 背景简介
零知识证明，可能是目前最具应用前景和想象力的密码学黑科技。而 zk-SNARKs 正是一类零知识证明方案的简称，全称为 Zero-Knowledge Succinct Non-interactive Arguments of Knowledge。这一名字几乎包含了其所有技术特征，即可以在不泄露任何其他信息的前提下证明一个命题的正确性，并且最终生成的证明具有简洁性（Succinct），也就是说最终生成的证明足够小，并且与计算量大小无关，是一个常数。用白话说就是，你理论上可以在不暴露任何隐私的情况下向其他所有人证明某件事，并且生成的证明体积很小，校验成本很低，与需要证明的内容计算量无关。听起来简直太美好了！
zk-SNARKs 能应用到很多场景，比如隐私保护、区块链扩容、可验证计算等。本文不介绍 zk-SNARKS 和零知识证明的理论细节，不熟悉或想深入了解的同学可阅读其他文章或论文。
如 Vitalik 写的关于 zk-SNARKs 著名的三篇博文。
- https://medium.com/@VitalikButerin/quadratic-arithmetic-programs-from-zero-to-hero-f6d558cea649
- https://medium.com/@VitalikButerin/exploring-elliptic-curve-pairings-c73c1864e627
- https://medium.com/@VitalikButerin/zk-snarks-under-the-hood-b33151a013f6
或者阅读向程@HUST写的「深入浅出零知识证明之zk-SNARKs」，还有东泽写的「浅谈零知识证明之二：简短无交互证明（SNARK）」。
当然也欢迎关注安比实验室「探索零知识证明」系列和「从零开始学习 zk-SNARK」系列，以及从安比实验室维护的「零知识证明学习资源汇总」中查找更多资料。
本文主角 libsnark 是用于开发 zk-SNARKs 应用的 C++ 代码库，由 SCIPR Lab 开发并维护。libsnark 工程实现背后的理论基础是近年来（尤其是 2013 年以来）零知识证明特别是 zk-SNARKs 方向的一系列重要论文。如以下最著名的数篇：
- [GGPR13] Quadratic span programs and succinct NIZKs without PCPs , Rosario Gennaro, Craig Gentry, Bryan Parno, Mariana Raykova, EUROCRYPT 2013
- [PGHR13] Pinocchio: Nearly Practical Verifiable Computation , Bryan Parno, Craig Gentry, Jon Howell, Mariana Raykova, IEEE Symposium on Security and Privacy (Oakland) 2013
- [BCGTV13] SNARKs for C: Verifying Program Executions Succinctly and in Zero Knowledge , Eli Ben-Sasson, Alessandro Chiesa, Daniel Genkin, Eran Tromer, Madars Virza, CRYPTO 2013
- [BCIOP13] Succinct non-interactive arguments via linear interactive Proofs , Nir Bitansky, Alessandro Chiesa, Yuval Ishai, Rafail Ostrovsky, Omer Paneth, Theory of Cryptography Conference 2013
- [BCTV14a] Succinct non-interactive zero knowledge for a von Neumann architecture , Eli Ben-Sasson, Alessandro Chiesa, Eran Tromer, Madars Virza, USENIX Security 2014
- [BCTV14b] Scalable succinct non-interactive arguments via cycles of elliptic curves , Eli Ben-Sasson, Alessandro Chiesa, Eran Tromer, Madars Virza, CRYPTO 2014
- [Groth16] On the Size of Pairing-based Non-interactive Arguments , Jens Groth, EUROCRYPT 2016
libsnark 的开发者们亦是这个领域内顶尖的学者或研究牛人，如 Eran Tromer 更是以上多篇论文的共同作者。
扎实的理论基础和工程能力，让 libsnark 的作者们能够化繁为简，将形如下图的高深理论和复杂公式逐一实现，高度工程化地抽象出简洁的接口供广大开发者方便地调用。向这些将非凡的理论研究推广至更大规模应用的先锋们致敬。
下图是 libsnark 的模块总览图，摘自 libsnark 代码贡献量第一作者 Madars Virza 在 MIT 的博士论文。
)
libsnark 框架提供了多个通用证明系统的实现，其中使用较多的是 BCTV14a 和 Groth16。
查看 libsnark/libsnark/zk_proof_systems 路径，就能发现 libsnark 对各种证明系统的具体实现，并且均按不同类别进行了分类，还附上了实现依照的具体论文。
其中：
- zk_proof_systems/ppzksnark/r1cs_ppzksnark 对应的是 BCTV14a
- zk_proof_systems/ppzksnark/r1cs_gg_ppzksnark 对应的是 Groth16
如果想研究这两个协议的实现细节可直接从这两个目录入手。ppzksnark 是指 preprocessing zkSNARK。这里的 pp/preprocessing 其实就是指我们常说的 trusted setup，即在证明生成和验证之前，需要通过一个生成算法来创建相关的公共参数（proving key 和 verification key）。我们也把这个提前生成的参数称为 「公共参考串」（Common Reference String），或简称为 CRS。
2. 基本原理与步骤
利用 libsnark 库开发 zk-SNARKs 应用从原理上可简要概括为以下四个步骤：
- 将待证明的命题表达为 R1CS (Rank One Constraint System)
- 使用生成算法（G）为该命题生成公共参数
- 使用证明算法（P）生成 R1CS 可满足性的证明
- 使用验证算法（V）来验证证明
不妨用一个十分简短（简化）的例子，来对照上面四个步骤。该例子模仿自这篇文章。
有这样一个函数 C(x, out)，用于判断秘密 x 是否满足等式 x^3 + x + 5 == out，若满足则返回 true。
function C(x, out) {
return ( x^3 + x + 5 == out );
}
第一步，我们需要将函数 C(x, out) 在 libsnark 中进行表达。此处先省略，后面介绍详细过程。
第二步，对应下面的 Generator 函数（G），lambda 为随机产生，也就是常说的 trusted setup 过程中产生的 “toxic waste”。人们喜欢称它为“有毒废物”，是因为它必须被妥善处理（如必须销毁，不能让任何人知道），否则会影响证明协议安全。
lambda <- random()
(pk, vk) = G(C, lambda)
最终生成 proving key (pk) 和 verification key (vk)。
第三步，对应使用 Prove 函数（P）生成证明。这里想证明的是 prove
1354
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
