原文标题：一文了解最热门zkSNARK方案：零知识证明引论
在之前的文章中，我们介绍了零知识证明的基础概念以及构造zkSNARK的基本思想和方法。从本文开始，我们将逐一介绍目前最热门的zkSNARK方案。文章旨在让读者理解这些方案的基本原理。为了方便叙述并容易理解，在叙述方案时，我们会做一些简化处理，重在传达方案的核心思想。
本文介绍的是Groth16方案。Groth16方案，顾名思义，就是Groth在2016年发表的一篇论文中提出的方案。目前为止，Groth16是在实践中使用最广泛的zkSNARK(没有之一)。特别一提的，Zcash目前使用的zkSNARK方案就是Groth16。从性能上，Groth16的Verifier性能是所有zkSNARK中最快的，其证明字符串也是最短的。
而Groth16的最大缺点就是它需要对每个电路都执行一次可信初始化。
在介绍Groth16之前，简单回顾一下zkSNARK所要解决的问题。我们称这个问题为「计算验证问题」。
计算验证问题
任何计算都可以描述为一个算术电路。一个算术电路可以对数字进行算术运算。电路由加法门、乘法门以及一些常数门组成，如下图所示：
链游公司Brilliantcrypto与日本加密交易所Coincheck达成合作:7月20日消息，链游公司Brilliantcrypto在IEO之前与日本加密货币交易所Coincheck达成合作。通过Brilliantcrypto目前正在开发的区块链游戏和Coincheck的加密资产交易服务的互联业务，两家公司将共同创造新的游戏体验和GameFi市场。
目前正在开发的日本大型区块链游戏项目将引入“游戏证明”（Proof of Gaming），这是一种受比特币“工作量证明”机制的启发，为他人（通过保证价值）带来利益的新概念。
据悉，Brilliantcrypto成立于2022年11月，是COLOPL, Inc.的全资子公司，利用区块链技术开展GameFi项目。[2023/7/20 11:06:41]
这个例子中的电路包含了15个门。这个电路所描述的计算过程需要输入五个数字x1到x5，输出四个数字。
给定一组输入的数字，需要把这个电路中的每个门都计算一遍，才能计算出这个电路的输出。在这个例子中，如果输入是(1,2,3,4,5)，则电路的输出为(-27,14,80,171)，如下图所示：
Blockchain.com出售资产以填补对三箭资本2.7亿美元的敞口:金色财经报道，Blockchain.com一直在试图出售资产以填补对三箭资本(Three Arrows Capital：3AC)2.7亿美元的敞口，发言人表示，其风险投资部门BlockchainVentures最近出售了PolySign 80%的股份，Blockchain.com在2021年参与了这家基础设施初创公司5300万美元的B轮融资。据消息人士透露，该公司还在积极寻求筹集更多资金，即使估值大幅降低，并且希望提供债务认股权证。
Blockchain.com曾向三箭资本借出2.7亿美元的现金和加密货币，这家加密对冲基金在Terra生态系统崩溃后于去年7月申请破产。Blockchain.com在2022年7月裁员150人，并在今年1月再次裁员110人。[2023/2/18 12:14:29]
计算验证问题是指，如果一个验证者——不妨叫做Verifier——只拿到了电路的一组输入和输出，如这个例子中的(1,2,3,4,5)和(-27,14,80,171)，它该如何验证这是一对合法的输入和输出呢？最简单粗暴的方法就是把这个输入重新扔进电路算一遍。如果电路很大的话，这个验证方法最大的缺点就是效率问题。
以色列法院裁定政府可以没收哈马斯有关数字钱包中的所有加密资产:12月19日消息，据以色列当地媒体报道，以色列国防部长Benny Gantz透露，12月15日，特拉维夫地方法院发布一项裁决允许当局从与伊斯兰激进组织哈马斯有关的数字钱包中再没收33500美元。
在裁定之前，以色列政府仅被允许扣押与恐怖活动有直接联系的数字资产，但不能扣押同一钱包中的额外资金。2021年12月，以色列政府从其钱包中没收了75万美元。[2022/12/19 21:53:41]
有些场景下，效率还不是唯一的问题。例如，输入可能包含Verifier不能知道的秘密信息。假设上例中的(3,4,5)是秘密输入，Verifier只能看到(1,2)，如下图所示。此时Verifier要验证的问题就变成了「是否存在(?,?,?)使得电路在输入(1,2,?,?,?)的时候的输出是(-27,14,80,171)」。这个场景下，即使是简单粗暴的重新计算也不再可行。
一句话概括计算验证问题：Verifier能否在不知道秘密输入的情况下，高效地验证计算结果？
从电路到R1CS问题
一个zkSNARK就是对上述问题的一个解决方案。使用zkSNARK，一个证明者，叫做Prover，可以为计算过程生成一个简短的证明字符串。Verifier读取这个字符串，就可以判断给定的公开输入和输出是否合法。
观点：美联储加息周期接近结束，提振加密市场:7月29日消息，随着全球市场风险偏好的复苏以及对以太坊网络升级的乐观情绪，比特币和以太坊或迎来自2021年以来表现最好的月份。行情显示，比特币7月份上涨了28%，以太坊上涨了72%。
美国经济放缓正让投资者认为，美联储将在年底前结束加息，并在2023年转向降低借贷成本，为投机性资产创造更有利的流动性背景。
咨询公司Venn Link Partners首席执行官Cici Lu表示：“有迹象表明，美联储可能正在接近加息周期的结束，这提振了所有风险资产，加密货币也从中受益。杠杆头寸的平仓似乎已经结束，市场可能已经见底。”
加密货币正试图从今年的暴跌中恢复过来，该暴跌导致MVIS CryptoCompare数字资产100指数下跌超过50%。而以太坊区块链也将转向更节能的权益证明系统。
Fundstrat技术策略主管Mark Newton表示，未来几天，以太坊可能会涨至1915至2000美元，并称以太坊在短期内看起来比比特币更有吸引力。（彭博社）[2022/7/29 2:45:57]
Groth16是众多zkSNARK构造方案中的一种。接下来，我们介绍Groth16是怎么解决计算验证问题的。
社区主导的加密货币投资平台Crypso完成300万美元种子轮融资:7月26日消息，社区主导的加密货币投资平台 Crypso 宣布完成 300 万美元种子轮融资，本轮融资由 Hashed Emergent、Athera Venture Partners、Better Capital 和 Whiteboard Capital 领投，Sandeep Nailwal、Jaynti Kanani 以及 Kunal Shah 等天使投资人参投。融资将用于产品推广。
据悉，Cryspo 是一款社交交易应用程序，用户可以查看其他人的投资组合和交易策略并加入自己感兴趣社群分享投资经验，该平台目前已有 5 万名注册用户，计划在未来 8-12 个月内达到 100 万活跃用户。（Entrackr）[2022/7/26 2:38:19]
首先，我们重新审视一下Verifier的任务：我们只知道电路的前两个输入是(1,2)，我们的目标是要判断是否存在一组合法的秘密输入，使得电路的输出是(-27,14,80,171)。如果我们换个角度看这个问题，它其实可以描述为：给一个电路，上面有些空格可以填数字，有些空格已经填上了数字，请问是否存在一种填法，能够同时满足每个门的逻辑？
从这个新的角度，计算验证问题被转换成了一个类似于数独那样的填数字游戏：有一些空格，一部分已经填上，请你填上另外一些空格，满足一些限制条件。
然后，我们为每一个要满足的条件列一个方程。这里，每个要满足的条件其实就是一个门的逻辑：加法门的输出等于两个输入之和，乘法门的输出等于两个输入之积。于是，原来的填空游戏就变成了一个多元方程组。上述例子转化得到的方程组如下：
最后，我们对这个方程做一些整理，使得它能够写成矩阵和向量的形式，更加整齐和简洁。我们把每个方程都写成*=*x*的模式。尽管并不是所有方程中都有乘法，但我们可以给没有乘法的式子乘上一个。于是方程组变成了下面这个样子：
把所有方程合到一起，就得到了原方程组的矩阵表示
我们把最终得到的这个矩阵向量方程叫做一个Rank-1ConstraintSystem(R1CS)。
总结一下，这一节中我们把计算验证问题转化成了数学问题R1CS。
在计算验证问题中，Verifier知道一个电路，拿到公开部分的输入，以及电路的输出，判断它们是否合法。
从R1CS问题到QAP问题
在零知识证明领域，R1CS基本上就是电路的代名词。许多zkSNARK把R1CS问题作为目标问题。不过，大部分zkSNARK不会直接对R1CS下手，而是把R1CS问题继续转化，得到一个等价的多项式问题，再对这个多项式问题设计证明方案。Groth16也不例外。不同的zkSNARK选择的多项式问题各不相同，Groth16选择的是一个叫做QuadraticArithmeticProgramming(QAP)的问题。
这一节中介绍一下怎样把R1CS问题转化为等价的QAP问题。
然后，我们把这些列向量换成多项式，使得多项式方程和原先的向量方程等价。
把向量转化成多项式的一种方式是使用多项式插值。
多项式插值
QAP问题
现在，我们直接把R1CS矩阵中的列向量换成它们的多项式插值，得到的结果如下图所示。
我们用一个表格总结一下上文中提到的所有问题。
为什么要越搞越复杂，把电路问题转化为QAP问题呢？一个简单的回答：就是为了引入多项式！多项式是一个强大的工具。多项式的作用，可以理解为一个「杠杆」，或者叫「误差放大器」。如果我们要检查两个长度为10000的向量是否相等，一定需要检查10000次，哪怕检查过了9999个点都是一样的，也不能保证最后一点是相同的。而两个10000次的多项式，哪怕非常接近，比如说它们的系数有9999个都相同，或者它们在这些点上的取值都相等，但只要有一个点不同，这两个多项式就截然不同。这意味着，如果在一个很大的范围内，例如到当中均匀随机选一个点，两个不同的多项式在这个点上相等的机会只有。检查两个多项式是否相等，比检查同样规模的向量要快得多，这几乎是所有zkSNARK提高Verifier效率的根本原理。
为QAP问题构造zkSNARK
QAP问题就是Groth16要用来构造zkSNARK的最终问题了。不过，在解释Groth16的构造细节之前，我们先准备一些工具。
准备工具
我们假设读者对椭圆曲线群的基本特性和应用有所了解，并采用加法群的记号来描述椭圆曲线群中的点和运算。椭圆曲线群中的元素可以用来表示多项式，并限制Prover必须使用给定的多项式来进行线性组合。这正是QAP所需要用到的特性。
我们看一下椭圆曲线是怎么用来表示多项式的。
KoE假设
然而，上述直觉并不能从离散对数假设严格地证明而来。所以，只能把它作为一个新的安全性假设来用。这个假设就叫做Knowledge-of-Exponent(KoE)假设。
KoE假设怎样应用到QAP问题上呢？那就是，KoE允许我们使用椭圆曲线点来表示多项式，并且迫使Prover只能从已知的多项式线性组合产生新的多项式。
不过，到目前为止，我们忽略了两个关键问题：
关于第二个问题，一个解决方法就是双线性配对。
双线性配对
现在，我们已经准备好了工具：KoE假设和双线性配对。接下来，我们就介绍Groth16是如何为QAP问题构造zkSNARK的。
Groth16方案
Setup
Prove
Verify
解析
我们简单解释一下上述构造为什么能够工作。至于它为什么是安全的，请感兴趣的读者参阅原文。
当然，Verifier的验证式中还包含了许多其他项，但在Groth的精心设计下，它们都消掉了。感兴趣的可以自行验证。
小结
本文中，我们解释了Groth16这个zkSNARK方案的构造原理。我们从算术电路开始，介绍了怎样将计算验证问题转化为R1CS问题以及QAP问题。然后我们解释了怎样使用Groth16方案来证明知道一个QAP问题的解。Groth16方案使用了KoE假设以及双线性配对。它的缺点是需要可信第三方进行初始化，而且初始化过程需要对每个电路进行一次。与此同时，Groth16享有最高效的Verifier算法以及最短的证明字符串，使得Groth16成为至今仍然应用最广的zkSNARK方案。
参考资料
JenGroth.OntheSizeofPairing-basedNon-interactiveArgument.2016.
撰文：Cyte
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。