Kimi的筆記

ZK Rollup不是一個新的提案，大約在一年前被 Barry Whitehat 所提出，同時間Vitalik在以太坊研究員的論壇有一篇比較 完整的文章 解釋，現在由 Matter Lab 在開發。研究完zk-SNARKs之後，一直沒空來看，直到最近才有機會來深入瞭解。除了ZK Rollup，也會簡單帶一下前陣子在 Plasma Group 所提出的 Optimistic Rollup 。 ZK Rollup一開始提出來的時候，是被定義為layer 2的解決方案，年初的時候一度以Plasma Ignis這個名稱作為發表。應該是因為去年Plasma很紅，一直不斷有新的提案跟進展，加上這當時也被定義為layer 2的解決方案，這些種種原因，開發者就冠上了Plasma的名稱，不過因為這項技術跟Plasma的精神完全不一樣，被社群抗議，後來就恢復到Rollup這個名稱（ 開發者的聲明 ），所以搜尋 'Plasma Ignis'會找不到什麼東西。到最近，Rollup被更名為semi-layer 2的解決方案，就是有一點layer 2但又沒這麼layer 2... XD 簡單一句話解釋ZK Rollup就是， 資料放在鏈上的layer 2解決方案 。在瞭解ZK Rollup之前，先來解釋原本layer 2有什麼問題。以Plasma為例，Plasma鏈只把Plasma區塊的hash放上Ethereum主鏈上做公正（欲瞭解Plasma可以參考 這裡 ），也就是在鏈下交易了數百或數千筆的交易，最後上鏈只有幾十個bytes，這是鏈下交易的精神，但也是設計上最麻煩的地方 - 資料的可取得性 。 就是當有人要離開這個鏈時，需要一個額外的遊戲規則，在Plasma叫做挑戰期（因為鏈上沒有資料，需要側鏈參與者的提供證據），這衍生了有資料才能挑戰，所以大家都要存一定數量的資料，相較於跟主鏈的互動，只需要裝一個錢包，並不需要下載區塊資料，使用者體驗上差異很大。挑戰期的另一個問題是，使用者需要保持上線狀態，不然錯過挑戰期，就代表默認了交易（因為是採用詐欺證明並非是有效性證明）。簡單來說，因為資料的可取得性問題，衍生了  1.使用者需要常在線上  2. 需下載部分資料 而造成使用者體驗很糟（當然現在的Plasma設計已經改進了不少） ...

今天要來簡單介紹一下，門羅幣是怎麼達到匿名交易的。本篇文章會牽涉到橢圓曲線的原理，如果不懂，可以先參考「 加密技术核心算法之安全快捷的ECC算法 」。簡單來說就是要知道這樣的關係：  p = k*G ,      p ：公鑰         k ：私鑰     G ：曲線上的基準點 門羅隱匿交易包含了三個技術： Ring Signature（環簽章） ,  Ring Confidential Transactions （RingCT, 環保密交易） 跟 Stealth Address（隱匿位址） 。在 Digital Asset Research 的文章 中這張圖解釋了各個技術所使用的地方，本篇文章，就是要介紹這三個技術。 source:  https://medium.com/digitalassetresearch/monero-becomes-bulletproof-f98c6408babf 在介紹之前，先了解門羅鏈有些基本概念。在門羅中有兩把key（其實是4把，因為各有私鑰跟公鑰），一把是 view key 另一把是 spend key 。顧名思義，一把是拿來看的自己餘額的（在鏈上找 隱匿位址 ），一把是拿來花的（做 環簽章 ）。由spend key可以產生 key image （ 金鑰映像 ），用來做預防雙花的證明，有點像zcash的nullifier。 Ring Signature （環簽章） 環簽章有點像混幣，就是把好幾筆交易混在一起，不過還是有差異，可以參考「 What are the technical advantages of Ring Signatures (CryptoNote) compared to CoinJoin? 」 那實際上怎麼做呢？！ 假設一個初始值v，跟一串隨機數$(y_1, y_2, ..., y_n)$，然後把v跟隨機數經由$E_k$做加密，再把加密過的值跟下一個隨機數做運算(xor)再加密，如：$E_k(y_{n-1} {\oplus} E_k(y_n{\oplus}v))$，所以函數如下 $$C_{k,v}(y...

這篇文章主要是更深入介紹zk-SNARKs，不可避免的會有”一些“數學出現，不過會盡量著重在數學式背後的意義，而不是深入探討數學公式，如果不知道什麼是zk-SNARKS的，可以先參考 這篇 跟 這篇 。 一開始的假設 1. Alice有一個多項式P(x) 2. Bob選一個點 s 給Alice 3. Alice回傳P(s)給Bob 希望能達到 1. Alice不知道點 s，Bob不知道多項式P(x)。(Blindness) 2. 但Alice可傳回P(s)給Bob，並且Bob可以驗證P(s)。(verifiable) 也就是雙方都不知道對方的資訊，卻可以共同得到一個可被驗證的結果 上面就是基本的假設。然後，先定義一些基本的數學式 上述所提的多項式定義為： $$P(x) = C_0+C_1x+C_2x^2 + ... + C_nx^n$$ 首先，先介紹Homomorphic Hiding( 同態隱藏 ) [1] ，藉由 同態隱藏 可以達到 隱藏資訊 的目的。我們從數學定義來看他有什麼特質。首先$E(x)$的定義為$E(x) = g^x$ ，然後 $E(x+y) = E(x)*E(y)$ HH支援線性相加，所以下列式子成立 $$E(ax+by) = g^{ax+by} = g^{ax}*g^{by} =E(x)^a + E(y)^b$$ * HH的假設：知道$E(x)$，是無法回推x的值 若我們對$P(x)$作 同態隱藏 ， 可以得出 $$E(P(x)) = E( C_0+C_1x+C_2x^2 + ... + C_d^d) = E(1)^{C_0} * E(s)^{C_1}*E(s^2)^{C_2}...E(s^d)^{C_d}$$ 也就是Bob只需要給$ E(1), E(s), E(s^2),...E(s^d)$，而不用給s（$E(s)$無法反推出s），Alice就可以得出E(P(s))的值。藉此可以達成第一點的blindness，接下來就是要如何達成verifiable，因為Alice有可能給一個假的值，非P(x)上的點，所以要確保Alice會乖乖地照規矩來。接下來就要介紹如何保證Alice會送出正確的結果，並且Bob可以驗證。 Computation --> Arithmetic Ci...