具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同 或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描 述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

下面参照附图描述根据本发明实施例提出的内积论证构造方法及装置，首先将参照 附图描述根据本发明实施例提出的内积论证构造方法。

图1是本发明一个实施例的内积论证构造方法的流程图。

该实施例中，表示素数阶的加法群，g为该群的生成元；表示由中元素构成的n维 向量空间；p表示一个大素数；表示模p的整数域；表示由中元素构成的n维向量空 间；加粗小写字母表示向量，未加粗字母表示标量；尖括号<>表示向量内积运算，如对于 两个长度为n的向量a＝(a₁,a₂,…,a_n),b＝(b₁,b₂,…,b_n)，中括号[]表 示做g的次幂运算，如[α]＝αg,[a]＝(a₁g,a₂g，…,a_ng)；：＝表示赋值运算。

本发明实施例构造的论证证明如下的关系：

[α]＝[<a,r>],[β]＝[<b，s>],z＝<a,b>， (1-1)

其中表示以[r]为承诺密钥对a的Pedersen向量承诺；表示以[s]为承诺密钥对b的Pedersen向量承诺。该关系中，[r],[s]，[α]，[β]，z为公开陈述，a，b为私有证据。证明者P向验证者V证明他知道被承诺向量a，b，且a和b的内积等于z。

本发明实施例构造的论证是一种∑协议，其包含承诺、挑战、响应和验证四个阶段。 在承诺阶段，P利用私有证据做初始运算，并把相应结果发送给V。在挑战阶段，V选择一个随机挑战并发送给P。在响应阶段，P利用V的挑战做若干运算，并把相应结果发送给V。 在验证阶段，V利用公开陈述及P发送的值做验证，以选择接受或拒绝P的陈述。

具体而言，如图1所示，该内积论证构造方法包括以下步骤：

在步骤S101中，承诺步骤：接收证明者利用私有证据作初始运算得到的第一运算结 果，包括第一至第四承诺及第一和第二域元素。

进一步地，在本发明的一个实施例中，承诺步骤包括：接收证明者以 [r_2/2],[r_1/2],[s_2/2]，[s_1/2]为承诺密钥，分别对a_1/2，a_2/2，b_1/2，b_2/2做Pedersen向量承诺， 得到的第一至第四承诺，及同时对a，b的分段交叉进行域乘运算，得到的第一和第二域元 素。

具体地，假设向量长度n是2的某次幂，若不是则可对向量作必要的填充，使其长度为2的某次幂。把陈述和证据中的所有向量都均分成两段，每段长度为n/2，即：

[r]＝([r_1/2]，[r_2/2])，[s]＝([s_1/2]，[s_2/2])，

a＝(a_1/2,a_2/2),b＝(b_1/2,b_2/2)。

承诺步骤中，P以[r_2/2],[r_1/2],[s_2/2],[s_1/2]为承诺密钥，分别对a_1/2,a_2/2,b_1/2,b_2/2做 Pedersen向量承诺，得到四个承诺[α_-1],[α₁],[β_-1],[β₁]，P同时对a,b的分段交叉 做域乘运算，得到两个域元素z_-1,z₁：

[α_-1]：＝[<a_1/2,r_2/2>],[α₁]：＝[<a_2/2,r_1/2>]，

[β_-1]：＝[<b_1/2,s_2/2>],[β₁]：＝[<b_2/2,s_1/2>]，

z_-1＝<a_2/2,b_1/2>,z₁＝<a_1/2,b_2/2>，

P把[α_-1],[α₁],[β_-1],[β₁],z_-1,z₁发送给V。

在步骤S102中，挑战步骤：基于第一运算结果，选择一个随机挑战，并将随机挑战发送至证明者。

具体而言，挑战步骤中，V从域中选择一个随机挑战c，并把c发送给P。

在步骤S103中，响应步骤：接收证明者利用随机挑战作若干运算得到的第二运算结 果。

进一步地，在本发明的一个实施例中，响应步骤包括：接收证明者利用c及a,b的分段 进行域乘运算，得到的两个长度为n/2的向量a′,b′。

具体而言，响应步骤中，P利用c及a,b的分段做如下的域乘运算，得到两个长度为n/2 的向量a′,b′：

a′：＝ca_1/2+c²a_2/2,b′：＝c^-1b_1/2+c^-2b_2/2，

其中c^-1表示c的乘法逆元。P把a′,b′发送给V。

在步骤S104中，验证步骤：基于公开陈述，利用第一运算结果、第二运算结果和随机挑战进行验证，以选择接受或拒绝证明者的陈述。

进一步地，在本发明的一个实施例中，验证步骤包括：利用公开陈述、随机挑战及承 诺阶段第一运算结果进行群幂和域乘运算，得到[α′],[β′]，z′,[r′],[s′]；基于 [α′],[β′],z′,[r′],[s′]进行验证等式，如果等式成立，则接收陈述，否则拒绝陈述。

具体而言，验证步骤中，首先V利用公开陈述、其选择的随机挑战及承诺阶段P发送的值做如下的群幂和域乘运算，得到[α′],[β′],z′,[r′],[s′]，用于后续验证：

[α′]：＝c^-1[α_-1]+[α]+c[α₁],[β^′]：＝c[β_-1]+[β]+c^-1[β₁]，

z′：＝cz_-1+z+c^-1z₁，

[r′]：＝c^-1[r_1/2]+c^-2[r_2/2],[s′]：＝c[s_1/2]+c²[s_2/2]。

进一步地，在本发明的一个实施例中，接着V做如下的验证运算，验证等式包括：

[α′]＝[<a′，r′>],[β′]＝[<b′,s′>],z′＝<a′,b′>。

若三个等式都成立，则V接受P的陈述，否则拒绝。

注意到V验证的三个等式和关系(1-1)中的三个等式具有完全相同的形式。为了降低 通信复杂度，在响应阶段P可以不把a′,b′发送给V，而是证明如下的新关系：

[α′]＝[<a′,r′>],[β′]＝[<b′,s′>]，z′＝<a′,b′>，

此关系和关系(1-1)具有完全相同的形式，因此可以递归执行上述过程。在第二轮论证中， 陈述里向量的长度为n/2，随着递归轮数的增多，向量的长度不断减半，通过log₂n轮即可 减至2，此时P和V完整地执行承诺、挑战、响应和验证四个阶段以完成证明。每一轮递 归中P需向V发送常数个群元素和域元素，故论证的渐进通信复杂度为O(logn)。每一轮递 归中V都需要做线性于本轮向量长度的群幂运算以生成下一轮论证的承诺密钥，且由于向 量长度随着轮数的增加不断减半，故论证的渐进验证复杂度为O(n)。

对于通信复杂度优化来说，为了进一步降低论证的通信复杂度，在执行论证前做如下 的预处理，生成[u′]和新的[β]。

选择一个群元素[u]作为公共参数，V从域中选择一个随机挑战c′并发送给P，双方 共同计算：

[β]＝[β]+zc′[u],[u′]＝c′[u]。

接着证明者P向验证者V证明如下的关系：

[α]＝[<a,r>],[β]＝[<b，s〉]+<a,b>[u′]，

对该关系的证明同样采用上述的递归构造，只是在各轮递归的承诺阶段，P不再需要向V 发送z_-1,z₁这两个域元素，同时由于预处理过程没有增加额外的通信复杂度(随机挑战c′ 可以利用Fiat-Shamir启发式以非交互的形式生成)，因此论证的具体通信复杂度减少了 2logn。

对于验证复杂度优化来说，在内积论证的递归过程中，验证者每轮都需要计算下一轮 论证的承诺密钥，即计算[r′]：＝c^-1[r_1/2]+c^-2[r_2/2],[s′]₁：＝c[s_1/2]+c²[s_2/2]，这需要执行O(n)个群幂运算，给论证带来O(n)的渐进验证复杂度。为了降低论证的验证复杂度，本发明使用具有特殊结构的承诺密钥，其中[r],[s]的生成方式如下。

对于一个长度为v的向量x＝(x₁,x₂,…,x_v)，其所有多线性单项式的组合构成一个长度 为n的向量r＝(r₁,r₂,…,r_n)，取[r]＝(r₁g,r₂g,…,r_ng)。对于一个长度为v的向量 y＝(y₁,y₂,…,y_v)，其所有多线性单项式的组合构成一个长度为n的向量s＝(s₁,s₂,…,s_n)，取[s]＝(s₁g,s₂g,…,s_ng)。此结构具有性质：1)n＝2^v；2)对于1≤i≤v,1≤j≤2^i-1,该性质使得下述结论成立：若log₂n轮(即v轮)递归过程中 V发送的随机挑战分别为c₁,c₂,…,c_v，则最后一轮论证中V用到的承诺密钥 这只需O(logn)个域乘运算即可得到。但由于x₁,x₂,…,x_v和y₁,y₂,…，y_v都是不能公开的“有毒废物”，故验证者V需在每一轮都验证承诺密钥的第一个值是正确计算的，当论证递归至最后一轮时即可以渐进的方式验证该轮的承诺密钥[r],[s]是正确计算的，这共需O(logn)个配对运算。因此，通过使用具有特殊结构的承诺密钥，V的渐进验证复杂度由O(n)降至O(logn)。

为使得本领域技术人员进一步了解本发明实施例的内积论证构造方法，下面结合图2 至图4进行详细说明。其中，图2为本发明一个实施例的简洁高效内积论证交互图；图3为本发明一个实施例的具有特殊结构的承诺密钥生成示意图；图4为本发明一个实施例的变量名及符号含义说明图。

具体地，结合具有特殊结构的承诺密钥，论证证明的关系可以描述为：

[α]＝[<a,r>],[β]＝[<b,s>],z＝<a,b>，

其中，[r],[s]的初始值均为[1]；表示由中元素构成的v维向量空间， [x]＝(x₁g,x₂g,…,x_vg),[y]＝(y₁g,y₂g,…,y_vg)；[r],[s]为分别由x,y生成的具有特殊结构 的承诺密钥，且[r]的第一个元素[r₁]＝[r]，[s]的第一个元素[s₁]＝[s]，可以通过下述配对方程验证承诺密钥的特殊结构：对于1≤i≤v,1≤j≤2^i-1，

[α]表示以[r]为承诺密钥对a的Pedersen向量承诺，[β]表示以[s]为承诺密钥对b的 Pedersen向量承诺。该关系中，[r],[s],[x],[y],[r],[s],[α],[β],z为公开陈述，a,b为私有 证据。证明者P向验证者V证明他知道被承诺向量a,b，且a和b的内积等于z。

首先，P和V执行预处理操作，生成[u′]和新的[β]。接着，P和V执行对下述关系的论证：

[α]＝[<a,r＞],[β]＝[<b，s〉]+<a,b>[u′]。

(1)P检查向量a或b的长度是否为1，若不是则跳转至(2)，若是则把a,b发送给V， V做下述验证运算：

[α]＝[<a,r>],[β]＝[<b,s>]+<a,b>[u′]，

若这两个等式都成立则接受P的陈述，论证结束；否则拒绝P的陈述，论证结束。

(2)P以[r_2/2]，[r_1/2],([s_2/2],[u′])，([s_1/2],[u′])为承诺密钥，分别对a_1/2,a_2/2,(b_1/2,<a_2/2,b_1/2>),(b_2/2,<a_1/2,b_2/2>)做Pedersen向量承诺，得到四个承诺[α_-1],[α₁],[β_-1],[β₁]：

[α_-1]：＝[<a_1/2,r_2/2>]，[α₁]：＝[<a_2/2,r_1/2>]，

[β_-1]：＝［<b_1/2,s_2/2>]+<a_2/2,b_1/2>[u′]，

[β₁]：＝[<b_2/2,s_1/2>]+<a_1/2,b_2/2>[u′]，

P把[α_-1],[α₁],[β_-1],[β₁]并发送给V。

(3)V从域中选择一个随机挑战c，并把c发送给P。

(4)P利用c及a,b的分段做如下的域乘运算，得到两个长度为n/2的向量a′,b′。同时，P利用c及[r],[s]的分段做如下的群幂运算，得到两个长度为n/2的向量[r′],[s′]：

a′：＝ca_1/2+c²a_2/2,b′：＝c^-1b_1/2+c^-2b_2/2，

[r′]：＝c^-1[r_1/2]+c^-2[r_2/2],[s′]：＝c[s_1/2]+c²[s_2/2]，

其中c^-1表示c的乘法逆元。P把[r′],[s′]第一个元素[r₁′],[s₁′]发送给V。

(5)V利用配对验证每轮承诺密钥的第一个元素是正确计算的：

e([r₁′]-c^-1[r],[1])＝e(c^-2[r],[x_v])，

e([s₁′]-c[s],[1])＝e(c²[s],[y_v])，

若两个等式都成立则继续执行论证，否则V拒绝P的陈述，论证结束。

(6)V做如下的运算得到[x′],[y′],[α′],[β′]，用于下一轮论证：

[x′]：＝([x_i])_{i∈{1,2,…,v-1}},[y′]：＝([y_i])_{i∈{1,2,…,v-1}}，

[α′]：＝c^-1[α_-1]+[α]+c[α₁],[β′]：＝c[β_-1]+[β]+c^-1[β₁]。

(7)P和V递归执行下一轮论证，证明如下的关系：

β′＝[b′,s′]+a′,b′u′。

由此，本发明实施例构造的论证具有O(logn)的渐进通信复杂度和渐进验证复杂度，其 具体通信复杂度仅为6logn个群元素，具体验证复杂度仅为8logn个群幂运算和4logn个配 对运算。相比于迄今最优的第一类内积论证，本发明实施例具体通信复杂度减少了2logn个 域元素，具体验证复杂度减少了2logn个域乘运算，并且本发明实施例构造的论证可以利 用Fiat-Shamir启发式实现证明者P和验证者V的非交互，论证具有公开可验证性。

根据本发明实施例提出的内积论证构造方法，可以进一步降低第一类内积论证的通信 复杂度和验证复杂度，以提高调用该论证的零知识证明协议的性能，如范围证明协议、算 术电路可满足性论证协议及可验证多项式承诺方案等，进而增强零知识证明与其应用的性 能适配性。

其次参照附图描述根据本发明实施例提出的内积论证构造装置。

图5是本发明一个实施例的内积论证构造装置的方框示意图。

如图5所示，该内积论证构造装置包括：承诺模块100、挑战模块200、响应模块300和验证模块400。

其中，承诺模块100接收证明者利用私有证据作初始运算得到的第一运算结果；

挑战模块200基于第一运算结果，选择一个随机挑战，并将随机挑战发送至证明者；

响应模块300接收证明者利用随机挑战作若干运算得到的第二运算结果；以及

验证模块400基于公开陈述，利用第一运算结果、第二运算结果和随机挑战进行验证， 以选择接受或拒绝证明者的陈述。

进一步地，在本发明的一个实施例中，第一运算结果包括第一至第四承诺及第一和第 二域元素，承诺模块100包括：

第一接收单元，用于接收证明者以[r_2/2],[r_1/2]，[s_2/2],[s_1/2]为承诺密钥，分别对a_1/2,a_2/2,b_1/2,b_2/2做Pedersen向量承诺，得到的第一至第四承诺，及同时对a,b的分段 交叉进行域乘运算，得到的第一和第二域元素。

进一步地，在本发明的一个实施例中，响应模块300包括：

第二接收单元，用于接收证明者利用c及a,b的分段进行域乘运算，得到的两个长度为 n/2的向量a′,b′。

进一步地，在本发明的一个实施例中，验证模块400包括：

运算单元，用于利用公开陈述、随机挑战及承诺阶段第一运算结果进行群幂和域乘运 算，得到[α′],[β′],z′,[r′],[s′]；

计算单元，用于基于[α′],[β′],z′,[r′],[s′]进行验证等式，如果等式成立，则接收 陈述，否则拒绝陈述。

进一步地，在本发明的一个实施例中，验证等式包括：

[α′]＝[<a′,r′>],[β′]＝[<b′,s′>],z′＝<a′,b′>。

需要说明的是，前述对内积论证构造方法实施例的解释说明也适用于该实施例的内积 论证构造装置，此处不再赘述。

根据本发明实施例提出的内积论证构造装置，可以进一步降低第一类内积论证的通信 复杂度和验证复杂度，以提高调用该论证的零知识证明协议的性能，如范围证明协议、算 术电路可满足性论证协议及可验证多项式承诺方案等，进而增强零知识证明与其应用的性 能适配性。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示 或者隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是至少两个，例如两 个，三个等，除非另有明确具体的限定。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、 或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点 包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不是 必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行 结合和组合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的， 不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例 进行变化、修改、替换和变型。