영지식 증명 프로그래밍 - Circom, Groth16 빌드 증명 및 검증

그렇다면 상황이 조금 더 명확해지기 시작했을 것입니다. 이제 회로를 좀 더 유용하게 만들기 위해 조금 더 강화해 보겠습니다.

연습

6. 왜 1단계가 아닌 example2의 2단계를 실행해야 할까요?

7. 지난 예제의 주요 문제점은 무엇이었으며 어떻게 해결했나요?

8. 코드: 증명을 생성할 수 없을 때까지 example2를 완성하세요.

세 번째 반복

위 회로를 통해 두 비밀 값의 곱을 알고 있음을 보여주었습니다. 이것만으로는 그다지 유용하지 않습니다. 실제 세계에서 유용한 것은 _디지털 서명 체계_입니다. 이를 통해 특정 메시지를 작성했음을 다른 사람에게 증명할 수 있습니다. 이를 위해 ZKP를 어떻게 사용할 수 있을까요? 이를 위해서는 먼저 몇 가지 기본 개념을 이해해야 합니다.

짧은 휴식을 취하고 좋아하는 음료 한 잔을 마시기 좋은 시간입니다.

디지털 서명

디지털 서명은 이미 존재하며 디지털 시대에는 어디에나 존재합니다. 현대 인터넷은 디지털 서명 없이는 작동할 수 없습니다. 일반적으로 디지털 서명은 공개 키 암호화를 사용하여 구현됩니다. 공개 키 암호화에는 개인 키와 공개 키가 있습니다. 개인 키는 본인만 사용하는 반면, 공개 키는 공개적으로 공유되며 사용자의 신원을 나타냅니다.

디지털 서명 체계는 다음과 같은 부분으로 구성됩니다:

• 키 생성: 개인 키와 그에 해당하는 공개 키를 생성합니다

• 서명: 개인 키와 메시지를 사용하여 서명을 생성

• 서명 검증: 메시지가 해당 공개 키로 서명되었는지 확인

구체적인 내용은 다르지만, 위에서 설명한 키 생성 알고리즘과 우리가 작성한 프로그램은 하나의 공통 요소를 공유하는데, 둘 다 _일방향 함수를 사용한다는 점입니다. 더 구체적으로 말하면 _트랩 함수_를 사용한다는 점입니다. 함정 함수는 빠지기는 쉽지만 (숨겨진 사다리를 찾지 못하면) 빠져나오기는 어려운 함정입니다[^30].

공개키 암호화를 사용하면 개인키에서 공개키를 만드는 것은 쉽지만 그 반대의 경우는 매우 어렵습니다. 이전 절차도 마찬가지입니다. 두 비밀 번호가 매우 큰 소수인 경우, 그 곱을 원래 값으로 다시 변환하는 것은 매우 어렵습니다. 최신 공개 키 암호화는 일반적으로 하단에 _타원 곡선 암호화_를 사용합니다.

전통적으로 이러한 디지털 서명 체계와 같은 암호화 프로토콜을 만들려면 많은 작업이 필요하며, 교묘한 수학이 포함된 특정 프로토콜을 만들어야 합니다. 저희는 그렇게 하고 싶지 않았습니다. 대신 ZKP를 사용하여 동일한 결과를 얻을 수 있는 프로그램을 작성하고자 했습니다.

이 대신에:[^31]

우리는 단지 원하는 증명을 생성하고 원하는 증명을 생성하고 그 증명을 검증하는 프로그램을 작성하고 싶습니다.

해시 함수와 커미트먼트

타원 곡선 암호화를 사용하는 대신 _해시 함수_와 _커미트먼트_라는 두 가지 더 간단한 도구를 사용하겠습니다.

해시 함수는 단방향 함수이기도 합니다. 예를 들어, 명령줄에서 SHA-256 해시 함수를 다음과 같이 사용할 수 있습니다:

    commitment = hash(some_secret)
   서명 nbsp;서명 = hash(some_secret, message)

이 시점에서 몇 가지 질문이 있을 수 있습니다. 머릿속에 떠오르는 몇 가지 의문을 해결해 보겠습니다.

첫째, 이것이 왜 작동하며 왜 ZKP가 필요한가요? 누군가 증명을 검증할 때는 약속, 메시지, 서명에만 접근할 수 있습니다. 비밀을 공개하지 않고 약속이 비밀에 해당하는지 직접 확인할 수 있는 방법은 없습니다. 이 경우 증명을 생성할 때 비밀을 "공개"하기 때문에 비밀이 안전하게 유지됩니다.

두 번째로, 공개 키 암호화 대신 ZKP 내부에서 이러한 해시 함수와 약속을 사용하는 이유는 무엇인가요? ZKP 내에서 공개 키 암호화를 사용할 수 있으며, 그렇게 하는 데에는 타당한 이유가 있습니다. 제약 조건 측면에서 보면 위의 옵션보다 구현하는 데 훨씬 더 많은 비용이 듭니다. 따라서 위의 옵션보다 더 느리고 복잡합니다. 다음 섹션에서 살펴보겠지만 해시 함수의 선택은 매우 중요합니다.

마지막으로, 이미 공개 키 암호화가 있는데 왜 ZKP를 사용할까요? 이 간단한 예시에서는 ZKP를 사용할 필요가 없지만, 이 글의 시작 부분에서 언급한 그룹 서명 예시와 같이 더 흥미로운 애플리케이션을 위한 빌딩 블록 역할을 합니다. 결국, 우리는 _프로그래밍 암호화_를 원합니다.

많네요! 다행히도 한 고비는 넘겼습니다. 이제 코딩을 시작하겠습니다. 처음에 위의 내용을 완전히 이해하지 못하더라도 걱정하지 마세요. 이러한 추론 방식에 익숙해지려면 시간이 좀 걸릴 것입니다.

코드로 돌아가기

example3 디렉토리에서 작업을 시작하겠습니다.

디지털 서명을 구현하기 위해 가장 먼저 해야 할 일은 키를 생성하는 것입니다. 이는 공개 키 암호화에서 개인 키와 공개 키에 해당합니다. 키는 신원(증명자인 사용자)에 해당하므로 각각 identity_secret와 identity_commitment라고 부르겠습니다. 이들은 함께 신원 쌍을 형성합니다.

이것들은 우리가 서명하는 메시지가 있는 회로의 입력으로 사용됩니다. 공개 출력으로 서명, 커미트먼트, 메시지를 갖게 됩니다. 이를 통해 누군가가 서명이 실제로 올바른지 확인할 수 있습니다.

회로의 입력으로 ID 쌍이 필요하므로 이를 별도로 생성합니다:just generate_identity

이것은 다음과 같은 결과를 생성합니다:

   include 

포세이돈 해시 템플릿은 다음과 같이 사용됩니다:

< code>   component main {public [identity_commitment, message ]} = SignMessage();

기본적으로 우리 회로에 대한 모든 입력은 비공개입니다. 이를 통해 identity_commitment와 message를 공개로 명시적으로 표시합니다. 이는 공개 출력의 일부가 된다는 의미입니다.

이 정보를 통해 example3.circom 회로를 완성할 수 있는 충분한 지식을 갖추게 될 것입니다. 여전히 문제가 해결되지 않는다면 전체 코드는 example3-solution.circom를 참조하세요.

이전과 마찬가지로 회로를 빌드하고 신뢰할 수 있는 설정의 2단계를 실행해야 합니다:

   {
   "identity_. secret":  "21879[...]  7915",
   "message": "42"
  "}

신원 쌍을 자유롭게 변경할 수 있습니다. 를 just generate_identity를 사용하여 직접 생성한 ID 쌍으로 자유롭게 변경할 수 있습니다. 결국, 여러분은 자신의 신원을 비밀로 유지하고 싶을 것입니다!

메시지가 문자열로 참조된 숫자("42")일 뿐이라는 것을 알 수 있습니다. 안타깝게도 제약 조건이 수학적으로 작동하는 방식(선형 대수 및 _산술 회로_ 사용)으로 인해 문자열이 아닌 숫자만 사용할 수 있습니다. 회로가 내부적으로 지원하는 유일한 연산은 덧셈과 곱셈과 같은 기본적인 산술 연산입니다. [^37]

이제 증명을 생성하고 검증할 수 있습니다:

    ["48968 [...] 5499", "48269 [...] 7915",  "42"]

이것은 각각 서명, 약속, 메시지에 해당합니다.

조심하지 않으면 어떻게 일이 잘못될 수 있는지 살펴봅시다. [38]

먼저, input.json에서 ID 약속을 임의의 것으로 변경하면 어떻게 될까요? 더 이상 증명을 생성할 수 없다는 것을 알 수 있습니다. 이는 회로 내부에서 여전히 신원 약속을 확인하고 있기 때문입니다. 신원 비밀과 약속 사이의 관계를 유지하는 것이 중요합니다.

둘째, 출력에 메시지를 포함하지 않으면 어떻게 되나요? 우리는 증명을 받고 검증을 받습니다. 하지만 메시지는 _무엇이든_ 될 수 있으므로 실제로 특정 메시지를 보냈다는 것을 증명하지는 못합니다. 마찬가지로 공개 출력에 신원 약속을 포함하지 않으면 어떻게 될까요? 즉, 신원 약속은 무엇이든 될 수 있으므로 실제로 누가 메시지에 서명했는지 알 수 없습니다.

생각 연습으로 이 두 가지 주요 제약 조건 중 하나를 생략하면 어떻게 될지 생각해 보세요.

• identity_commitment === identityHasher.out

• 서명 <== signatureHasher.out

축하합니다, 이제 암호화를 프로그래밍하는 방법을 알았습니다! [^39]

연습

9. 디지털 서명 체계의 세 가지 구성 요소는 무엇인가요?

10. 포세이돈과 같은 "ZK 친화적 해시 함수"를 사용하는 목적은 무엇인가요?

11. 프로미스란 무엇인가요? 디지털 서명 체계에서 어떻게 사용할 수 있나요?

12. 아이덴티티 약속과 메시지를 공개로 표시하는 이유는 무엇인가요?

13. 신원 약속과 서명 제약 조건이 필요한 이유는 무엇인가요?

14. 코드: 증명을 생성하고 검증할 때까지 <코드>예시3를 작성하세요.

다음 단계

위와 같은 디지털 서명 체계와 이 글에서 살펴본 몇 가지 요령을 사용하면 글의 서두에 언급한 그룹 서명 체계를 구현하는 데 필요한 모든 도구를 갖추게 됩니다. [^40]

스켈레톤 코드는 <코드>예제4에 있습니다. 5~10줄의 코드만 있으면 됩니다. 유일한 새로운 구문은 대부분의 다른 언어와 동일한 방식으로 작동하는 for 루프입니다. [^41].

이 회로를 사용하면 다음을 수행할 수 있습니다.

• 메시지에 서명

• 세 가지 중 하나임을 인증(신원 확인)

• 하지만 어느 쪽인지 밝히지 않음

퍼즐이라고 생각하시면 됩니다. 핵심 인사이트는 기본적으로 산술적인 표현으로 요약됩니다. 가능하면 종이 위에서 풀어보세요. 막히면 이전과 마찬가지로 해결 방법을 확인하세요.

마지막으로, 추가적인 도전을 원한다면 다음과 같이 몇 가지 확장 방법을 시도해 보세요.

1. 그룹에 원하는 만큼 많은 사람을 허용하세요

2. 새 회로 <코드>공개를 구현하여 다음을 증명합니다. 특정 메시지에 서명하지 않았음을 증명하는 새로운 회로 <코드>거부 구현

3. 기존 도구를 사용하여 이러한 암호화 프로토콜을 만드는 것은 엄청난 작업이며, 많은 전문 지식이 필요합니다. [ZKP를 사용하면 이러한 문제를 프로그래밍 작업으로 처리하여 오후에 효율적이고 위험하지 않게 만들 수 있습니다. 이것은 우리가 할 수 있는 일의 빙산의 일각에 불과합니다.

   연습

   15. 그룹 서명과 일반 서명의 차이점은 무엇인가요? 어떻게 사용할 수 있나요?

   질문

   이 질문은 선택 사항이며 더 많은 작업이 필요합니다.

   1. IsZero()가 어떻게 구현되는지 알아보세요.

   2. 코드: 위의 그룹 서명 체계를 완성합니다(예제4 참조).

   3. 코드: 위의 그룹 서명 예제를 확장하여 더 많은 사람을 허용하고 reveal 및/또는 deny 회로를 구현합니다.

   4. 18세임을 증명하기 위해 "ZK 신원" 시스템을 어떻게 설계하시겠습니까? 증명하고 싶은 다른 속성은 무엇인가요? 높은 수준에서 이를 어떻게 구현할 것이며 어떤 어려움이 있을까요? 기존 솔루션을 조사하여 구현 방식을 더 잘 이해하세요.

   5. 이더와 같은 퍼블릭 블록체인의 경우, 더 빠르고 저렴하며 더 많은 트랜잭션을 허용하기 위해 레이어 2(L2)를 사용하기도 합니다. ZKP를 사용하여 L2를 어떻게 설계할 수 있을까요? 여러분이 생각하는 몇 가지 과제를 설명하세요. 기존 솔루션을 조사하여 구현 방식을 더 잘 이해합니다. ## 결론

   이 튜토리얼 소개에서는 기본적인 영지식 증명(ZKP)을 처음부터 작성하고 수정하는 방법을 익혔습니다. 프로그래밍 환경을 설정하고 기본 회로를 작성했습니다. 그런 다음 그럴듯한 설정을 수행하고 증명을 생성하고 검증했습니다. 몇 가지 문제를 파악하고 회로를 개선하면서 변경 사항을 테스트했습니다. 그 후 해시 함수와 약속을 사용하여 기본적인 디지털 서명 체계를 구현했습니다.

   영지식 증명 없이는 구현하기 어려운 그룹 서명을 구현할 수 있을 만큼의 기술과 도구도 배웠습니다.

   영지식 증명을 작성하는 데 필요한 정신적 모델을 더 잘 이해하고 실제로 편집-실행-디버그 주기를 더 잘 이해할 수 있기를 바랍니다. 이는 어떤 기술 스택을 사용하든 앞으로 작성하게 될 다른 영지식 증명 프로그램을 위한 좋은 토대가 될 것입니다.

   감사의 말

   초고를 읽고 피드백을 제공해 주신 Hanno Cornelius, Marc Köhlbrugge, Michelle Lai, lenilsonjr, Chih-Cheng Liang에게 감사드립니다.

   이미지

   • 부르바키 회의 1938 - 위키미디어를 통해 알 수 없음, 퍼블릭 도메인^[11]

   • < p>하르트만의 얼룩말 - J. Huber, CC BY-SA 2.0, 위키미디어[12]

   • 트랩도어 거미 - P.S. Foresman, 퍼블릭 도메인 위키미디어](https://commons.wikimedia.org/wiki/File:Trapdoor_(PSF\"위키미디어").png)

   • 킹슬리 락박스 - P.S. . 포레즈맨, 퍼블릭 도메인, 위키미디어 경유^[13]

   참고

   [1] AI 번역기 : https://learnblockchain.cn/people/19584

   [2] 번역팀: https://learnblockchain.cn/people/412

   [3] learnblockchain.co.uk /article...: https://learnblockchain.cn/article/9178

   [4]제로 지식에 대한 친절한 소개: https://learnblockchain.cn/article/6184

   [5] git 리포지토리: https://github.com/oskarth/zkintro-tutorial

   [6] git 리포지토리: https://github.com/oskarth/zkintro-tutorial

   [7]여기: https://docs.circom.io/getting-started/installation/

   [8]zkrepl.dev: https://zkrepl.dev/

   [9]공식 문서: https://docs.circom.io/circom-language/signals/

   [10]친숙한 영지식 증명 소개: https://learnblockchain.cn/article/6184

   [11]위키미디어: https://commons.wikimedia.org/wiki/File:Bourbaki_congress1938.png

   [12]위키미디어: https://commons.wikimedia.org/wiki/File:Hartmann_zebras_hobatereS.jpg< /em>

   [13]위키미디어: https://commons.wikimedia.org/wiki/File. Kingsley_lockbox.jpg

   [14]AI 번역기: https://learnblockchain. cn/people/19584

   [15] 여기: https://github.com/lbc-team/. 개척자/블롭/마스터/번역/9178.md

   [16]^2]:  참조: [ 연방주의자 논문 (위키백과): https://en.wikipedia.org/wiki/The_Federalist_Papers#Authorship

   [17]^3]: [부르바키 (위키백과) 참조: https://en.wikipedia.org/wiki/Nicolas_Bourbaki#Membership< /p>

   [18]^8]:  상상할 수 있듯이 제약 조건을 작성하는 것은 상당히 어렵습니다. Circom의 제약 조건에 대한 자세한 내용은 [https://docs.circom.io/circom-language/constraint-generation/: https://docs.circom.io/circom-language/ constraint-generation/

   [19]^12]:  선형 제약조건은 덧셈만으로 표현할 수 있는 것으로 선형 조합으로 표현할 수 있습니다. 이는 상수를 사용한 곱셈과 동일합니다. 주목해야 할 점은 선형 제약 조건이 비선형 제약 조건보다 간단하다는 것입니다. 자세한 내용은 [제약 조건 생성: https://docs.circom.io/circom-language/constraint-generation/

   < span style="font-size: 14px;">[20]산술 회로: https://docs.circom.io/background/background/#arithmetic-circuits

   [21]^13]:  수학적으로, 우리가 하고 있는 것은 Az * Bz = Cz< 가 유지되며, 여기서 Z=(W,x,1). A,B 및 C입니다. 는 행렬이고,W는 증인(비공개 입력)이며,x는 공개 입력/출력입니다. 이를 알아두면 유용하지만, 회로를 작성할 때 이를 반드시 이해할 필요는 없습니다. 자세한 내용은 [1등급 제약 조건 시스템: https://docs.circom.io/background/background/#rank-1-constraint-system

   [22]^15]:  Friendly Intro 기사에서 언급했듯이, 지캐시가 주최한 2016년 행사에 대한 좋은 일반인용 팟캐스트가 있으며, [여기: https://>에서 찾아볼 수 있습니다. radiolab.org/podcast/ceremony

   [23]^17]:  우리는 이를 N 중 1의 신뢰 모델이라고 부릅니다. 신뢰 모델에는 여러 가지가 있지만, 가장 익숙한 것은 다수가 올바른 결정을 내릴 것이라고 믿는 다수결 원칙입니다. 이는 기본적으로 민주주의와 다수결 투표가 작동하는 방식입니다. [: #user-content-fnref-17

   [24]^22]: _암호화 난이도 가정_이라고도 합니다. 계산 난이도 가정(위키백과) 참조: https://en.wikipedia.org/wiki/Computational_hardness_assumption#Common_cryptographic_hardness_assumptions

   [25]^23]:  자세한 내용은 [https://en.wikipedia.org/wiki/]를 참조하세요. 정수_인수분해: https://en.wikipedia.org/wiki/Integer_factorization

   [26]^24]:  _asserts_를 추가할 수 있지만, 이는 실제로 제약 조건이 아니며 입력을 정리하는 데만 사용됩니다. 작동 방식에 대한 자세한 내용은 [https://docs.circom.io/circom-language/code-quality/code-assertion/: https://docs.circom.io/circom-language/code-을 참조하세요. quality/code-assertion/

   [27]https://www.chainsecurity.com/ blog/circom-assertions-misconceptions-and-deception: https://www.chainsecurity.com/blog/circom-assertions-misconceptions-and- deceptions

   [28]^25]:  0xPARC의 이 자료는 글쓰기 기술에 대해 더 자세히 알아보고 싶다면 훌륭한 자료입니다. Circom) 회로: [https://learn.0xparc.org/materials/circom/learning-group-1/circom-1/: https://learn.0xparc.org/materials/circom/ learning-group-1/circom-1/

   [29]^26]:  쓰기 제약의 특성으로 인해 이러한 상황이 자주 발생합니다. https://en.wikipedia.org/wiki/Truth_table: https://en.wikipedia.org/wiki/Truth_table

   [30]^27]:  circomlib에 대한 자세한 내용은 [https://github.com/iden3/circomlib: https://github.com/ iden3/circomlib

   [31]^28]:  참조: [https://github.com/iden3 /circomlib/blob/master/circuits/comparators.circom: https://github.com/iden3/circomlib/blob/master/circuits/comparators.circom< /em>

   [32]^29]:  사람들은 종종 프로젝트 간에 이것을 공유합니다 ptau 파일을 프로젝트 간에 공유하여 보안을 강화합니다. 자세한 내용은 [https://github.com/privacy-scaling-explorations/perpetualpowersoftau: https://github.com/privacy-scaling- explorations/perpetualpowersoftau

   [33] https://github.com/ iden3/snarkjs: https://github.com/iden3/snarkjs

   [34]^30] 여기서 사다리는 우리가 '어려운' 반대 방향으로 나아갈 수 있게 해주는 일종의 가치를 나타냅니다. 사다리를 자물쇠로 생각할 수도 있습니다. 자물쇠는 쉽게 잠글 수 있지만 열쇠가 없으면 열기가 어렵습니다. 트랩도어 기능은 보다 공식적으로 정의된 [https://en.wikipedia.org/wiki/Trapdoor_function: https://en.wikipedia.org/wiki/Trapdoor_function

   [35]^31]:  Wikipedia의 스크린샷. ECDSA(위키백과) 참조: https://en.wikipedia.org/wiki/Elliptic_Curve_Digital_Signature_Algorithm#Signature_verification_algorithm

   [36]^38]:  실제 디지털 서명 체계에서는 여러 메시지를 주고받을 때 암호화 난수를 도입할 수도 있습니다. 이는 누군가가 나중에 동일한 서명을 재사용할 수 있는 리플레이 공격을 방지하기 위한 것입니다. https://en.wikipedia.org/wiki/Replay_attack: https://en.wikipedia.org/wiki/Replay_attack

   [37]^40]:  ZKP에서 그룹 서명을 구현하는 것은 0xPARC에서 영감을 얻었으며, [https://0xparc.org/blog/zk-group-sigs: https:// 0xparc.org/blog/zk-group-sigs

   [38]^41]:  참조: [https:// docs.circom.io/circom-language/control-flow/: https://docs.circom.io/circom-language/control-flow/

   [39]^42]:  반면, [https://eprint.iacr.org/2015/043.pdf: https://eprint]과 같은 그룹 서명을 구현하는 논문은 다음과 같습니다. iacr.org/2015/043.pdf