IPA多项式承诺方案(3)--完整框架

在阅读本节之前建议先阅读前序文章(1)和 (2)。

当掌握了以上知识点后，我们进入IPA方案的具体流程，验证者拥有一个IPA方案包含三个算法$(Setup,Commit,Open)$。

IPA多项式承诺方案采用Pedersden向量承诺来承诺多项式。因此，IPA的$Setup$算法与Pedersden向量承诺一致。

• $Setup:$验证者生成参数$pp=(G,G\in G^n,H\in G,F_p)$，其中，$G$是指$(G_0,G_1,\dots ,G_{n-1})$，$G,H$是随机选取的群元素。

• $Commit:$证明方拥有多项式$f(X)=a_0+a_{1}X+\cdots +a_{n-1}{X}^{n-1}$，系数表示为$a=(a_0,a_1,\cdots ,a_{n-1})$，采用Pedersden向量承诺对多项式进行承诺，计算如下：
  $$\begin{gathered} cm=a_0{G}_0+a_1{G}_1+\cdots +m_{n-1}{G}_{n-1}+rH \\ =<\mathbf{a},\mathbf{G}>+rH \end{gathered}$$

• $Open:$

  1. 验证方选择一个随机评估点$z$，发送给证明者。
  2. 证明方计算多项式值$f(z)=<a,b>$，其中$b$为$(1,z,z^2,\cdots ,z^{n-1})$。发送证明$a,r$和评估$f(z)$给验证者。
  3. 验证者将验证以下等式来确保$f(z)$是证明者承诺的多项式在$z$点的值。
     $$\begin{gathered} cm=<\mathbf{a},\mathbf{G}>+rH \\ f(z)=<\mathbf{a},\mathbf{b}> \end{gathered}$$

此时方案流程如下图所示。

注意，此时并未考虑零知识，既先不考虑多项式承诺方案的hiding属性。

若验证者选择一个随机数$U\in G$，采用随机线性化组合将两个验证等式合并成一个等式。即

$$cm+f(z)U=<\mathbf{a},\mathbf{G}>+rH+<\mathbf{a},\mathbf{b}>U$$

若设置$P=cm+f(z)U$，验证等式为$P=<a,G>+rH+<a,b>U$，考虑采用分配律来合并缩小证明$a$的大小。此时证明方需要计算辅助验证等式的值。

$$K_1=<{\mathbf{a}}_{\mathbf{L}},$$