Permutation $\pi$ 零知识证明

1. 背景知识

Prover 需要在不reveal permutation $\pi$π的基础上，证明其确实知道$\pi$π，且在收到Verifier challenge信息后，Prover对challenge 信息采用相同的$\pi$π处理并将处理后的消息发送给Verifier，Verifier应可验证所收到的消息确实是采用了相同的permutation $\pi$π处理，尽管其并不知道具体的permutation $\pi$π内容。
在Jens Groth 2010年论文《A Verifiable Secret Shuffle of Homomorphic Encryptions》和Stephanie Bayer和Jens Groth 2012年论文《Efficient Zero-Knowledge Argument for Correctness of a Shuffle》中，均有对permutation $\pi$π证明算法实现，具体也可结合这两篇博客来看：

• 博客Efficient Zero-Knowledge Argument for Correctness of a Shuffle学习笔记（1） 第2节内容。
• 博客A Verifiable Secret Shuffle of Homomorphic Encryptions学习笔记 第3节内容。

假设均针对长度为$N=nm$N=nm的Permutation $\pi$π进行证明，且均采用Pedersen commitment规则：

2. Groth2010的permutation $\pi$π零知识证明

Jens Groth 2010年论文《A Verifiable Secret Shuffle of Homomorphic Encryptions》的思路为：
Common Input: public commitment key $ck$ck。【length为$N+1$N+1】
Prover’s witness: permutation $\pi\in\sum_{N}$π∈∑N​。
证明：在不暴露permutation $\pi$π的前提下，Verifier给challenge(s)，Prover respond，Verifier需验证：Prover确实知道某permutation $\pi$π；Prover respond的消息内采用了相同的permutation $\pi$π。

1）Prover：对permutation $\pi$π进行commit $c=com_{ck}=(\pi(1),\cdots,\pi(N);r)$c=comck​=(π(1),⋯,π(N);r)，其实就是对数字$1,\cdots,N$1,⋯,N的permutation commit。只需证明$c$c为a commit to a permutation of the numbers $1,\cdots,N$1,⋯,N，这样就可以保证the prover is bound to some permutation he knows, but the permutation remains hidden.
同时选$N$N个随机数$-d_1,\cdots,-d_N$−d1​,⋯,−dN​用于保护permutation $\pi$π不被reveal，对这些随机数进行commit $c_d=com_{ck}(-d_1,\cdots,-d_N;r_d)$cd​=comck​(−d1​,⋯,−dN​;rd​)。
将$c$c和$c_d$cd​发送给Verifier。
2）Verifier：Challenges $t_1,\cdots,t_N$t1​,⋯,tN​。【length为$N$N】
3）Prover：对收到的$t_1,\cdots,t_N$t1​,⋯,tN​按相同的permutation $\pi$π进行permute，计算$s_i=t_{\pi(i)}+d_i$si​=tπ(i)​+di​。Prover给Verifier发送$s_1,\cdots,s_N$s1​,⋯,sN​。【length为$N$N】
4）Prover：提供证明$s_i$si​ have been formed correctly, using the same permutation $\pi$π that used to form $c$c。
Common Input: $ck$ck、$c$c、$c_d$cd​、$(s_1,\cdots,s_N)$(s1​,⋯,sN​)以及$t_1,\cdots,t_N$t1​,⋯,tN​。
Prover’s witness: permutation $\pi\in\sum_{N}$π∈∑N​。
证明：$s_1,\cdots,s_N$s1​,⋯,sN​中的permutation $\pi$π和commitment $c$c中的permutation $\pi$π是相同的。

• Verifier：challenge $\lambda$λ
• Common input：构建向量$(m_1,\cdots,m_N)=(\lambda\cdot 1+t_1,\cdots,\lambda\cdot N+t_N)$(m1​,⋯,mN​)=(λ⋅1+t1​,⋯,λ⋅N+tN​)（构建依据为$c$c为a commit to a permutation of the numbers $1,\cdots,N$1,⋯,N）。
• Prover：
  （1）利用witness permutation $\pi$π构建向量$(m_{\pi(1)},\cdots,m_{\pi(N)})=(\lambda\pi(1)+t_{\pi(1)},\cdots, \lambda\pi(N)+t_{\pi(N)})$(mπ(1)​,⋯,mπ(N)​)=(λπ(1)+tπ(1)​,⋯,λπ(N)+tπ(N)​)，引入随机值$\rho=r\lambda+r_d$ρ=rλ+rd​，Prover可计算$c_{\lambda}=com_{ck}(\lambda\pi(1)+t_{\pi(1)},\cdots,\lambda\pi(N)+t_{\pi(N)};\rho)=com_{ck}(m_{\pi(1)},\cdots,m_{\pi(N)};\rho)$cλ​=comck​(λπ(1)+tπ(1)​,⋯,λπ(N)+tπ(N)​;ρ)=comck​(mπ(1)​,⋯,mπ(N)​;ρ)。
  实际上，利用commitment的加法同态性，Verifier和Prover均可获得$c_{\lambda}= c^{\lambda}c_dcom_{ck}(s_1,\cdots,s_N;0)$cλ​=cλcd​comck​(s1​,⋯,sN​;0)。
  从而$c_{\lambda}$cλ​为common input，无需传递。
  （2）已知$c_{\lambda}= com_{ck}(m_{\pi(1)},\cdots,m_{\pi(N)};\rho)$cλ​=comck​(mπ(1)​,⋯,mπ(N)​;ρ)和$(m_1,\cdots,m_N)$(m1​,⋯,mN​)，证明Prover知道相应的permutation $\pi$π和randomizer $\rho$ρ：（显然地，可以借助博客博客A Verifiable Secret Shuffle of Homomorphic Encryptions学习笔记第二节的“shuffle of known contents 明文shuffle证明”来实现。同时注意，其中的challenge $x$x可复用以上（1）中的challenge $\lambda$λ）
• Prover和Verifier：均计算$c_{\lambda}= c^{\lambda}c_dcom_{ck}(s_1,\cdots,s_N;0)$cλ​=cλcd​comck​(s1​,⋯,sN​;0)。
• Prover：复用$x=\lambda$x=λ，复用之前的$c_d=-c_d,c=c_{\lambda}$cd​=−cd​,c=cλ​，从而有：
  

由此，即完成整个permutation $\pi$π零知识证明。

3. Groth2012的permutation $\pi$π零知识证明

Stephanie Bayer和Jens Groth 2012年论文《Efficient Zero-Knowledge Argument for Correctness of a Shuffle》的思路为：
Prover’s witness: permutation $\pi\in\sum_{N}$π∈∑N​。
Common Input: public commitment key $ck$ck。【length为$n+1$n+1】（将$(\pi(1),\cdots,\pi(N))$(π(1),⋯,π(N))向量以$n$n行$m$m列的矩阵表示，减少$ck$ck的长度减少$m$m倍。）
证明：在不暴露permutation $\pi$π的前提下，Verifier给challenge(s)，Prover respond，Verifier需验证：Prover确实知道某permutation $\pi$π；Prover respond的消息内采用了相同的permutation $\pi$π。

1）Prover：将$(\pi(1),\cdots,\pi(N))$(π(1),⋯,π(N))向量以$n$n行$m$m列的矩阵表示$A=(\vec{a}_1,\cdots,\vec{a}_m)=\{\pi(i)\}_{i=1}^N$A=(a1​,⋯,am​)={π(i)}i=1N​，逐列进行commit $\vec{c}_A=com_{ck}(A;\vec{r})=(com_{ck}(\vec{a}_1;r_1),\cdots,com_{ck}(\vec{a}_m;r_m))$cA​=comck​(A;r)=(comck​(a1​;r1​),⋯,comck​(am​;rm​))，其实就是对数字$1,\cdots,N$1,⋯,N的permutation commit。
将$\vec{c}_A$cA​发送给Verifier。【length为$m$m】【第一组commitment】
2）Verifier：Challenges $x$x。【length为$1$1】
3）Prover：采用相同的permutation $\pi$π构建$n$n行$m$m列的矩阵$B=(\vec{b}_1,\cdots,\vec{b}_m)=\{x^{\pi(i)}\}_{i=1}^N$B=(b1​,⋯,bm​)={xπ(i)}i=1N​，逐列进行commit $\vec{c}_B=com_{ck}(B;\vec{s})=(com_{ck}(\vec{b}_1;s_1),\cdots,com_{ck}(\vec{b}_m;s_m))$cB​=comck​(B;s)=(comck​(b1​;s1​),⋯,comck​(bm​;sm​))
Prover给Verifier发送$\vec{c}_B$cB​。【length为$m$m】【第二组commitment】
4）Prover：提供证明$\vec{c}_B$cB​ have been formed correctly, using the same permutation $\pi$π that used to form $\vec{c}_A$cA​。
Prover提供argument，证明其知道相应的openings of the commitments to permutations of respectively $1,…,N$1,…,N和$x^1,…,x^N$x1,…,xN，同时证明这两组commitment采用的是相同的permutation。【即第二组commitment是对$x^1,…,x^N$x1,…,xN permuted in an order that was fixed before the prover saw $x$x】。

• 4.1 为了证明两组commitment采用的是相同的permutation，Verifier给Prover random challenges $y$y和$z$z。
• 4.2 Prover commit to 一系列 $d_1-z=y\pi(1)+x^{\pi(1)}-z,…,d_N-z=y\pi(N)+x^{\pi(N)}-z$d1​−z=yπ(1)+xπ(1)−z,…,dN​−z=yπ(N)+xπ(N)−z。使用product argument，即可证明$\prod_{i=1}^{N}(d_i-z)= \prod_{i=1}^{N}(yi+x^i-z)$∏i=1N​(di​−z)=∏i=1N​(yi+xi−z)等式成立。【想象其为$z$z的N阶多项式，$d_i$di​是对其root根$yi+x^i$yi+xi的permute，基于Schwartz-Zippel lemma可知，针对特定的$z$z值Prover伪造找到相应$d_i$di​值使该等式成立的概率不高于$\frac{N}{q-1}$q−1N​，可忽略。同理，针对$y$y值，Prover伪造两组commitment使等式成立的概率也可忽略。】