40、可扩展零知识证明：椭圆曲线循环的应用

可扩展零知识证明：椭圆曲线循环的应用

1. 引言

非交互式零知识证明是密码学领域中强大的工具，在理论研究和实际应用中都得到了广泛关注。近年来，众多研究聚焦于为其赋予简洁性，即让证明简短且易于验证。具备这种特性的证明系统被称作零知识简洁非交互式知识论证（zk - SNARK），在通信成本高昂或验证者计算能力较弱的场景下，它备受青睐。

然而，现有的zk - SNARK实现存在严重的可扩展性局限，主要源于高昂的空间复杂度。接下来我们详细分析这些局限性。

2. 现有zk - SNARK实现的可扩展性局限

• 昂贵的预处理 ：如同所有非交互式零知识证明一样，zk - SNARK需要一次性的可信公共参数设置。密钥生成器会生成用于生成证明的证明密钥和用于验证证明的验证密钥，这对密钥将作为证明系统的参数发布。
  大多数zk - SNARK构造，包括所有已发布的实现，在密钥生成时都需要进行昂贵的预处理。密钥生成器会将计算规模的上限作为输入，例如由电路生成器输出的显式NP决策电路C。此时，密钥生成器的空间复杂度以及输出证明密钥的大小至少与该上限呈线性关系。实际上，电路C会被显式布局并编码，以生成证明系统的参数。
  虽然可以通过设计通用电路C来降低预处理成本，使其能处理多种程序选择，但C仍然依赖于程序大小和执行步骤数的上限。而且，即使每个电路C只进行一次密钥生成，生成的大型证明密钥在每次生成证明时都需要存储和访问。对于中等规模的计算，现有的zk - SNARK实现很快就会受到空间限制。例如，对于仅包含1600万个门的电路，证明密钥可能会超过4GB。
• 空间密集的证明生成