55、零知识证明：整数运算与两轮知识证明的深入解析

零知识证明：整数运算与两轮知识证明的深入解析

1. 整数运算相关问题

在证明一个电路是否满足给定输入与输出的加密信息时，我们面临着一个核心问题：已知一个电路计算函数 (F(I))，给定输入 (I) 和输出 (O) 的加密信息（基于 blob 加密），如何让验证者相信 (F(I) = O)。为了解决这个问题，我们有多种替代直接验证电路计算的方法。
- 概率验证协议 ：即使证明者是诚实的，该协议也只能以接近 1 的指数概率表明 (F(I) = O)。
- 函数分解技术 ：将函数 (F) 表示为两个函数的组合 (F = G \circ H)。验证者可以生成 (H(I)) 的加密信息 (I’)，并证明 (H(I) = I’) 且 (G(I’) = O)。如果 (H) 和 (G) 选择得当，证明这两个陈述的通信成本可能低于直接证明的成本，并且仍然是零知识证明。
- 添加额外信息 ：向输入 (I) 添加额外信息 (I’)（同样使用 blob 加密），以帮助建立 (F(I) = O)。具体来说，我们寻找一个关系 (R(I’, I, O))，使得 (F(I) = O) 当且仅当存在 (I’) 使得 (R(I’, I, O)) 成立。例如，当 (F(I)) 是两个整数 (A) 和 (B) 的最大公约数（GCD）函数时，我们定义 (R(X, Y, A, B, F(A, B)) = [(X * A + Y * B) = F(A, B)] \& [F(A, B) \text{ 整除 } A] \& [F(A, B) \text{ 整除 } B])，其中 (I = (A, B)) 且 (