撰文：康水跃，Fox Tech CEO；孟铉济，Fox Tech 首席科学家
双辽市名列净水器有限公司台州市朝业豆类有限公司引子密码学当中的零常识诠释注出恭艺在 web3 宇宙有着正常的应用，包括进行秘籍盘算、zkRollup 等等。其中 Layer2 技俩 FOX 所使用的 FOAKS 便是一个零常识诠释注解算法。在上述的一系列应用当中，关于零常识诠释注解算法而言，有两方面属性极为进击，那便是算法的效果以及交互性。
算法效果的进击性显而易见，高效的算法不错彰着的裁汰系统启动时辰，从而裁汰客户端蔓延，权贵的擢升用户体验和效果，这亦然 FOAKS 发愤于于终了线性诠释注解时辰的一个进击原因。
另一方面，从密码学的角度来讲，零常识诠释注解系统的想象每每依赖诠释注解者和考证者的多轮交互。举例在很多先容零常识诠释注解的科普著作当中王人会使用的“零常识洞穴”的故事当中，诠释注解的终了就依赖于阿里巴巴（诠释注解者）和记者（考证者）多轮的信息传递交互智商终了。可是事实上，在很多应用场景当中，依赖交互会使得系统不再可用，或者极高的增多蔓延。就像在 zkRollup 系统当中，咱们期许诠释注解者（也便是 FOX 当中的 folder）能够在腹地，不依赖于和考证者交互的情况下就盘算出正确的诠释注解值。
从这个角度说，若何将交互式的零常识诠释注解公约改良为非交互式，便是一个很挑升想的问题。在这篇著作当中，咱们将先容 FOX 使用经典的 Fiat-Shamir 启发式（heuristic）来生成 Brakedown 中的挑战从而终了非交互式公约的流程。
十堰市松和机床有限公司零常识诠释注解中的 Challenge零常识诠释注解算法跟着应用的铺开而变得特地火爆，近些年也出身了包括 FOAKS、Orion、zk-stark 等在内的各式算法。这些算法，以及密码学界早期的 sigma 公约等的中枢诠释注解逻辑王人是诠释注解者（Prover）先将某个值发送给考证者（Verifier），考证者通过腹地当场数产生一个挑战（Challenge），将这个当场产生的挑战值发给诠释注解者，诠释注解者需要真的有常识智商以好像率作念出通过考证者的反应。举例在零常识洞穴当中，记者抛一个硬币，告诉阿里巴巴从左侧出来也曾从右侧出来，这里的“左和右”便是对阿里巴巴的挑战，他如的确的知谈咒语，就一定不错从要求的目的走出来，不然就有一半的概率失败。
这里咱们矜重到，Challenge 的生成是一个很关节的门径，它有两个要求，当场和不可被诠释注解者展望。第少许，当场性保证了它的概率属性。第二点，如果诠释注解者不错展望挑战值那就意味着公约的安全性被碎裂了，诠释注解者莫得常识也不错通过考证，不错不时类比，阿里巴巴如果能展望记者要求他从哪边出来，他即使莫得咒语也不错提前干与那一边，领域发扬出来一样不错通过公约。
是以咱们需要一种主见，能够让诠释注解者我方腹地生成这么一个不可展望的当场数，同期还能够被考证者考证，这么就不错终了非交互式的公约。
哈希函数（Hash Function）哈希函数的名字对咱们来说或然并不目生，不管是在比特币的共鸣公约 POW 当中担任挖矿的数学难题，也曾压缩数据量，构造音问考证码等等，王人有哈希函数的身影。而在上述不同的公约当中，其实是哄骗了哈希函数的各式不同性质。
具体来讲，成都高新区华汇实业有限公司安全的哈希函数的性质包括以下几点：
压缩性：详情的哈希函数不错将率性长度的音问压缩成为固定长度。
灵验性：给定输入 x， 江苏华昌工具制造有限公司盘算输出 h（x）是容易的。
抗碰撞性：给定一个输入 x1， 湖北设全托盘有限公司但愿找到另一个输入 x2， 常州市斯美特科技有限公司x1x2， 左云县天化香精有限公司h（x1）= h（x2），是鬈曲的。
矜重，如果哈希函数称心抗碰撞性，那么势必称心单向性，也便是说给定一个输出 y，要找出 x 称心 h（x）= y 是鬈曲的。在密码学当中，还不行构造出表面上完全称心单向性的函数，可是哈希函数在本色应用当中不错基本视作单向函数。
这么一来，不错发现上述的几种应用别离对应于哈希函数的几点不同的性质，同期咱们说，哈希函数还有一个很进击的作用是提供当场性，天然密码学表面当中要求的无缺的当场数生成器当前也无法构造，可是哈希函数在本色当中雷同不错充任这个变装，这就为咱们后文先容的 Fiat-Shamir 启发式（Heuristic）的妙技提供了基础。
Fiat-Shamir 启发式（Heuristic）事实上，Fiat-Shamir 启发式（Heuristic）便是利用哈希函数来对前边生成的剧本进行哈希运算，从而赢得一个值，用这个值来充任挑战值。
江苏奥立比亚纺织有限公司因为将哈希函数 H 视作一个当场函数，挑战是均匀当场的被遴荐，寂寞于诠释注解者的公开信息和应允的。安全分析合计 Alice 不行展望 H 的输出，只可将其算作一个 oracle。在这种情况下，Alice 在不盲从公约的情况下作念出正确反应的概率 ( 相等是当她不知谈必要的机密时 ) 与 H 的值域的大小成反比。
图 1: 利用 Fiat-Shamir Heuristic 终了非交互式诠释注解
非交互式 FOAKS在本节，咱们具体展示 Fiat-Shamir 启发式在 FOAKS 公约当中的应用，工艺品主淌若用来产生 Brakedown 部分的挑战，从而终了非交互式的 FOAKS。
领先咱们看到，在 Brakedown 生成诠释注解的门径当中，需要挑战的门径是“类似性磨砺”以及 Merkle Tree 的诠释注解部分（读者不错参考之前的著作《一文了解 FOAKS 当中的多项式应允公约 Brakedown》）。关于第少许原来的流程是诠释注解者在这里需要考证者产生的一个当场向量，盘算流程如下图所示：
图 2: 非交互诠释注解 FOAKS 中的 Brakedown Checks
当今咱们使用哈希函数，让诠释注解者我方产生这个当场向量。
令γ0=H(C1，R， r0，r1)，对应的，在考证者的考证盘算当中，也需要增多这个盘算出γ0的门径。凭证这么的构造，不错发现，在生成应允之前，诠释注解者并不行提前展望挑战值，于是不行提前凭证挑战值来对应的“舞弊”，也便是对应的生成假的应允值，同期，凭证哈希函数输出的当场性，这个挑战值也称心当场性。
关于第二点，令 Î =H(C1，R， r0，r1，c1，y1，cγ0，yγ0)。
咱们使用伪代码给出改良后非交互式的 Brakedown 多项式应允当中的诠释注解和考证函数，这亦然 FOAKS 系统当中使用的函数。
function PC. Commit(ϕ)：Parse was a k × k matrix. The prover locally computes the tensor code encoding C1，C2 ，C1 is a k × n matrix，C2 is a n × n matrix. for i ∈ [n] doCompute the Merkle tree root Roott=Merkle.Commit(C2[:，i])Compute a Merkle tree root R=Merkle.Commit([Root0，......Rootn-1])，and output R as the commitment.function PC. Prover(ϕ， X， R)The prover generates a random vector γ0 ∈ Fk by computing: γ0 =H(C1，R， r0，r1)Proximity:Consistency:Prover sends c1，y1，cγ0，yγ0 to the verifier.Prover computes a vector Î as challenge， in which Î = H(C1，R， r0，r1，c1，y1，cγ0，yγ0) for idx ∈ Î doProver sends C1 [:，idx] and the Merkle tree proof of Rootidx for C2 [:，idx] under R to verifierfunction PC. VERIFY_EVAL(ΠX，X，y= ϕ (X)，R)Proximity: ∀idx ∈ Î， Cγ0 [idx] == <γ0， C1[:，idx]> and Ec(yγ0) == Cγ0Consistency: ∀idx ∈ Î， C1 [idx] == <γ0， C1[:，idx]> and Ec(y1) == C1y==1， y1>∀idx ∈ Î， Ec ( C1[:，idx]) is consistent with ROOTidx， and ROOTidx’s Merkle tree proof is valid.Output accept if all conditions above holds. Otherwise output reject.结语很多的零常识诠释注解算法在想象之初王人依赖诠释注解者和考证者两边的交互，可是这种交互式诠释注解公约不符合用在追求高效，网罗通信支出大的应用场景下，比如链上数据秘籍保护和 zkRollup 等等。通过 Fiat-Shamir 启发式（Heuristic），不错在不碎裂公约安全性的条款下让诠释注解者腹地生成当场数“挑战”，何况不错被诠释注解者考证。凭证这种步伐，FOAKS 雷同终显著非交互式的诠释注解，并应用在系统当中。
参考文件1.Fiat， Amos; Shamir， Adi (1987). "How To Prove Yourself: Practical Solutions to Identification and Signature Problems". Advances in Cryptology — CRYPTO' 86. Lecture Notes in Computer Science. Springer Berlin Heidelberg. 263: 186–194. doi:10.1007/3-540-47721-7_12. ISBN 978-3-540-18047-0.
2.https://www.cnblogs.com/zhuowangy2k/p/12246575.html工艺品