📜 [專欄新文章] 瞭解神秘的 ZK-STARKs
✍️ Kimi Wu
📥 歡迎投稿： https://medium.com/taipei-ethereum-meetup #徵技術分享文 #使用心得 #教學文 #medium

上一篇關於 zkSNARK扯到太多數學式，導致很難入手，這次介紹 STARK 會盡量減少數學式，以原理的方式跟大家介紹。

STARK 被視為新一代的 SNARK，除了速度較快之外，最重要的是有以下好處1. 不需要可信任的設置（trusted setup），以及
2. 抗量子攻擊

但 STARK 也沒這麼完美，STARK 的證明量(proof size)約 40–50KB，太佔空間，相較於 SNARK 只有288 bytes，明顯大上幾個級距。此外，這篇論文發佈約兩年的時間，就密碼學的領域來說，還需要時間的驗證。

STARK 的 S 除了簡潔（Succinct）也代表了擴展性（Scalable），而T代表了透明性（Transparency），擴展性很好理解，透明性指的是利用了公開透明的算法，可以不需要有可信任的設置來存放秘密參數。
SNARK 跟 STARK 都是基於多項式驗證的零知識技術。差別在於，如何隱藏資訊、如何簡潔地驗證跟如何達到非互動性。

快轉一下 SNARK 是如何運作的。
Alice 有多項式 P(x)、Bob有秘密 s，Alice 不知道 s、Bob 不知道 P(x)的狀況下，Bob 可以驗證P(s)。藉由同態隱藏（Homomorphic Hindings）隱藏Bob的 s → H(s)，藉由 QAP/Pinocchio 達到了簡潔地驗證，然後把 H(s) 放到CRS（Common Reference String），解決了非互動性。細節可以參考之前的文章 。

問題轉換

零知識的第一步，需要先把「問題」轉成可以運算的多項式去做運算。這一小節，只會說明怎麼把問題轉成多項式，至於如何轉換的細節，不會多琢磨。

問題 → 限制條件 → 多項式

在 SNRAK 跟 STARK 都是藉由高維度的多項式來作驗證。也就是若多項式為： x³ + 3x² + 3 = 0，多項式解容易被破解猜出，若多項式為 x^2000000 + x^1999999 + … 則難度會高非常多。

第一步，先把想驗證的問題，轉換成多項式。
這邊以Collatz Conjecture為例子，什麼是Collatz Conjecture呢？（每次都用Fibonacci做為例子有點無聊 XD）
1. 若數字為偶數，則除以2
2. 若數字為奇數，則乘以3再加1 (3n+1)

任何正整數，經由上述兩個規則，最終結果會為 1 。（目前尚未被證明這個猜想一定成立，但也還未找出不成立的數字）

52 -> 26 -> 13 -> 40 -> 20 -> 10 -> 5 -> 16 -> 8 -> 4 -> 2 -> 1.

把每個運算過程的結果紀錄起來，這個叫做執行軌跡（Execution Trace），如上述52 -> 26 -> … -> 1。接著我們把執行軌跡轉換成多項式（由執行軌跡轉成多項式不是這裡的重點，這裡不會贅述，細節可以參考 StarkWare的文章 ）如下

https://medium.com/starkware/arithmetization-i-15c046390862

合成多項式

接著就把這四個限制條件的多項式合成為一個，這個最終的多項式就叫做合成多項式（composition polynomial），而這個合成多項式就是後面要拿來驗證的多項式。

就像一開始提的，SNARK跟STARK都是使用高維度多項式，接著，來介紹STARK是藉由哪些方式，達到零知識的交換、透明性(Transparency)跟可擴展性(Scalability)。

修改多項式維度

這一步是為了後面驗證做準備的。在驗證過程使用了一個技巧，將多項式以2的次方一直遞減為常數項（D, D/2, D/4 … 1），大幅減低了驗證的複雜度。因此，需要先將多項式修改為2^n維度

假設上述的每個限制多項式（不是合成多項式喔）為Cj(x)，維度為 Dj，D >= Dj 且 D 等於2^n，為了達到 D 維度，乘上一個維度（D -Dj）的多項式，

所以最終的合成多項式，如下

其中的αj、βj是由驗證者(verifier)所提供，所以最終的多項式是由證明方(prover)跟驗證方所共同組成。

*這小節的重點是將多項式修改成D維度，覺得多項式太煩可忽略

FRI

FRI 的全名是”Fast RS IOPP”（RS = “Reed-Solomon”, IOPP = “Interactive Oracle Proofs of Proximity”）。藉由FRI可以達到簡潔地驗證多項式。在介紹FRI 之前，先來討論要怎麼證明你知道多項式 f(x) 為何？

RS 糾刪碼：

糾刪碼的概念是把原本的資料作延伸，使得部分資料即可以做驗證與可容錯。其方式是將資料組成多項式，藉由驗證多項式來驗證資料是否正確。舉例來說，有d個點可以組成 d-1 維的多項式 y = f(x)，藉由驗證 f(z1) ?= y，來確定 z1是否是正確資料。

回到上面的問題，怎麼證明知道多項式？最直接的方式就是直接帶入點求解。藉由糾刪碼的方式，假設有d+1個點，根據Lagrange插值法，可以得到一個 d 維的多項式 h(x)，如果如果兩個多項式在（某個範圍內）任意 d 點上都相同（ f(z) = h(z), z = z1, z2…zd），即可證明我知道 f(x)。但是我們面對的是高維度的多項式，d 是1、2百萬，這樣的測試太沒效率，且不可行。FRI 解決了這個問題，驗證次數由百萬次變成數十次。

降低複雜度

假設最終的合成多項式為 f(x)，藉由將原本的1元多項式改成2元多項式，以減少多項式的維度。假設 f(x) = 1744 * x^{185423}，加入第二變數 y，使 y = x^{1000}，所以多項式可改寫為 g(x, y) = 1744*x^{423}*y^{185}。藉由這樣的方式，從本來10萬的維度變成1千，藉由這種技巧大幅降低多項式的維度。在 FRI 目前的實做，是將維度對半降低 y = x²（f(x) = g(x, x²)）。

此外，還有另一個技巧，將一個多項式拆成兩個較小的多項式，把偶數次方跟奇數次方拆開，如下：

f(x)= g(x²) + xh(x²)

假如：

f(x) = a0 + a1x + a2x² + a3x³ + a4x⁴ + a5x⁵
g(x²) = a0 + a2x² + a4x⁴, （g(x) = a0 + a2x + a4x²）
h(x²) = a1x + a3x² + a5x⁴, （h(x) = a1 + a3x + a5x² ）

藉由這兩個方法，可以將高維度的多項式拆解，重複地將維度對半再對半，以此類推到常數項。而 FRI 協議在流程上包含兩階段 — 「提交」跟「查詢」。

提交階段：提交階段就如同上述過程，將多項式拆解後，由驗證者提供一亂數，組成新的多項式，再繼續對多項式拆解，一直重複。

f(x) = f0(x) = g0(x²) + x*h0(x²)
==> f1(x) = g0(x) + α0*h0(x), ← α0（驗證者提供）
==> f2(x) = g1(x) + α1*h1(x), ← α1（驗證者提供）
==> . . .

查詢階段：這個階段要驗證證明者所提交的多項式 f0(x), f1(x), f2(x), … 是否正確，這邊運用一個技巧，帶入任意數 z 及 -z（這代表在選域的時候，需滿足 L²= {x²：x ∊ L}，這邊不多提）。所以可以得

f0(z) = g0(z²) + z*h0(z²)
f0(-z) = g0(z²) -z*h0(z²)

藉由兩者相加、相減，及可得g0(z²)、h0(z²)，則可以計算出f1(z²)，再推導出f1(x)，以此類推驗證證明者傳來的多項式。

Interactive Oracle Proofs (IOPs)

藉由FRI（RS糾刪碼、IOPs），將驗證次數由數百萬降至20–30次（log2(d)），達到了簡潔地驗證。不過，我們解決了複雜度，但還有互動性！

* 與SNARK比較 ：SNARK在驗證方面利用了QAP跟Pinocchio協定。

非互動性

藉由 Micali 建構（Micali construction）這個概念來解釋如何達到非互動的驗證。Micali 建構包括兩部分，PCPs（Probabilistically checkable proof）跟雜湊函數。PCPs 這是一個隨機抽樣檢查的證明系統。簡單來說，證明者產出一個大資料量的證明（long proof），經由隨機抽樣來驗證這個大資料量的證明。過程大約是這樣，證明者產出證明𝚿，而驗證者隨機確認 n 個點是否正確。

在STARK，我們希望達到：1.小的證明量，2.非互動。隨機抽樣可以讓達到小的證明量，那互動性呢? 想法很簡單，就是預先抽樣，把原本 PCPs 要做的事先做完，然後產出只有原本證明 𝚿 抽樣出的幾個區塊當作證明。但想也知道，一定不會是由證明者抽樣，因為這樣就可以作假。這裡是使用 Fiat-Shamir Heuristic 來作預先取樣。

首先，先把證明 𝚿組成 merkle tree，接著把 merkle root 做雜湊可得到一亂數 𝛒，而 𝛒 就是取樣的索引值。將利用𝛒取出來的區塊證明、區塊證明的 merkle tree 路徑跟 merkle root, 組一起，即為STARK 證明 𝛑。

到目前，只使用雜湊函數這個密碼學的輕量演算法。而雜湊函數的選擇是這個證明系統唯一的全域參數（大家都需要知道的），不像是 SNARK 有 KCA 使用的(α, β, 𝛾)等全域的秘密參數，再藉由 HH（同態隱藏）隱藏這些資訊來產生 CRS。因為證明的驗證是靠公開的雜湊函數，並不需要預先產生的秘密，因此 STARK 可以達到透明性，也不用可信任的設置。

接著，將FRI中需要互動的部分（驗證者提供 α 變數），使用上述的 PCP + Fiat-Shamir Heuristic， 即可達到非互動性。

* 與SNARK比較： SANRK 的非互動性是將所需的全域參數放到CRS中，因為全域參數是公開的，所以CRS裡的值使用了 HH 做隱藏。

MIMC

大部分證明系統，會使用算數電路來實作，此時，電路的複雜程度就關係到證明產生的速度。 STARK 的雜湊函數選用了電路複雜度較簡單的 MIMC，計算過程如下：

https://vitalik.ca/general/2018/07/21/starks_part_3.html

這樣的計算有另一個特性，就是無法平行運算，但卻又很好驗證，因此也很適合 VDF 的運算。Vitalik有一個使用 MIMIC 作為 VDF 的提案。

ps. 反向運算比正向慢百倍，所以會是反向計算，正向驗證

從上面的解釋，可以理解為什麼 STARK 不需要可信任設置，至於為什麼能抗量子？因為 SNARK 中使用了 HH 來隱藏秘密，而 HH 是依靠橢圓曲線的特性，但橢圓曲線沒有抗量子的特性（也就是可以從公鑰回推私鑰）。而STARK在整個過程中只使用了雜湊函數，而目前還沒有有效的演算法能破解雜湊函數，因此可以抵抗抗量子攻擊。

有錯誤或是不同看法，歡迎指教

參考：
StarkDEX Deep Dive: the STARK Core Engine
STARK 系列文：
STARK Math: The Journey Begins
Arithmetization I
Arithmetization II
Low Degree Testing
A Framework for Efficient STARKs
Vitalik 系列文：
STARKs, Part I: Proofs with Polynomials
STARKs, Part II: Thank Goodness It’s FRI-day
STARKs, Part 3: Into the Weeds
ZK-STARKs — Create Verifiable Trust, even against Quantum Computers
https://ethereum.stackexchange.com/questions/59145/zk-snarks-vs-zk-starks-vs-bulletproofs-updated

Originally published at http://kimiwublog.blogspot.com on November 12, 2019.

瞭解神秘的 ZK-STARKs was originally published in Taipei Ethereum Meetup on Medium, where people are continuing the conversation by highlighting and responding to this story.

👏 歡迎轉載分享鼓掌

能清算什麼　◎曹開
　
倘若我是一個小數點
在世界函數裡孤苦伶丁
你就變成「無窮極數」
要用四捨五入的原則
把我清算掉
　
倘若我是一個常數
維護著詼諧的公式
你就變做無常的變數
要用逆定理
把我清算歸零
　
倘若我是一個有理數
在人生的方程式裡循規蹈矩
你就變做無理數
軌跡便形成偽理想圓
要把我套牢清算
　
倘若我是一個異數
顯得瀟灑磊落
你就化做冥頑的符號
利用層層隔絕的圈套
把我錮禁清算
　
但是，倘若我將來空空
去做一個零騎士
你就是化做虛數　運用劫數
在我的駕馭下
你還能清算什麼呢？
　
—
　
◎作者簡介
　
曹開（1929-1997）
　
　　自號「小數點」，台灣彰化縣員林人，豐原商業專修學校畢業。台中師範學校肄業期間，因白色恐怖事件波及，判處十年徒刑。在獄期間，獨創數學詩。
　
—
　
◎小編Aleatory賞析
　
為了鞏固政權的手段，國民黨在台灣戒嚴時代，施行許多思想控制政策。其中最為殘酷與不人道的方法，就是施行「白色恐怖」。這是一場歷時三四十年的隱形人權迫害，由當時的獨裁者蔣介石親手參與，讓無數受難者一生痛苦。在台灣社會尚未重視轉型正義以前，即使活著出獄，受難者仍飽受社會眼光所苦。
　
這次要跟你介紹的詩人「曹開」，他的許多詩作，都與白色恐怖時代服牢獄生活有關。
　
在台灣文學史中，為數不少的作者，例如楊逵、柏楊、陳列等，都曾親歷被捕、服刑與獄後長期受監視的人生。他們很可能只是參加了讀書會，接觸了左派色彩的書籍，就被國民黨政府貼上「政治犯」的標籤。
　
曹開前輩也是這個背景下的受難者。1951年，臺灣警備總司令部將他送往綠島，日日勞動、「感訓」與禁閉，長達十年。在這個狀態下，他也開始從事創作。1959年出獄後，他寫作不綴，卻獨守形影。直到晚年，偶然他受到鼓勵，將作品發表，才逐漸受文壇注意。
　
借用藝評家約翰伯格（John Burger）的說法，我們或許可以將曹開先生的創作動力，用「去除記憶」來理解：「為了去除縈繞心的記憶，為了一勞永逸地取出心中的影像並至於紙上。這些不堪忍受的影像，或許是甜蜜的、悲傷的、可怕的、誘人的、殘酷的。」在精選了他的詩作《小數點之歌-曹開數學詩集》中，我們將可以讀到一段又一段，藉由詩歌，他與這段殘酷歲月的無盡對話。
　
在這首〈能清算什麼〉當中，你應當已經能夠理解，何謂「清算」，是誰將清算誰。
　
最有意思的是，曹開使用了大量運用數學意象，融入作品。這不僅是數學上的有效試算，也隱喻了暴力，以及受難者與加害者的關係。
　
你當可發現，在這首詩中，「你」藉著各式的「數學運算」來「清算」「我」。請注意詩人怎麼形容「我」與「你」：「我」是「小數點、孤苦伶丁、維護著詼諧、循規蹈矩、瀟灑磊落的異數」，其中，「小數點」還是曹開自比的隱喻；「你」則化用各種手段，包括「四捨五入」（清除）、「逆定理」（歸零）、「偽理想圓」（套牢）、「化做頑冥的符號」（隔絕）等等，你可以發現曹開用了許多學運算上「反過來」的邏輯，這是我們通常很少使用的算法，在這裡，或許有「非常態」的意思。
　
詩作的最後一段，我們或許能比對曹開其他詩作中「零」的意象，進行更深入的理解。他曾寫道：「無數的Ｏ／不是千瘡萬孔／它們是許多／啟悟的烙印」。這裡的「零（Ｏ）」是彈孔的意象，也是死亡的鐵證。在〈能清算什麼〉末段，「你」壓制「我」的關係發生了逆轉。「我」的逆轉，卻很可能是悲傷的嘲諷：當我「將來空空／去做一個零騎士」，「我」才真正的脫離「你」（威權系統）的「清算」。
　
離開清算，讓我們重新回到「理解」的路途。有機會的話，也不妨親自到綠島人權園區，感受前輩們的過去。
　
希望藉由這首詩，打開你看見白色恐怖受難前輩的心靈地圖。
　
－
　
美編：泱泱

#每天為你讀一首詩 #曹開 #能清算什麼 #小數點之歌 #白色恐怖
https://cendalirit.blogspot.com/2019/08/20190817.html

Python基礎程式語言應用證照班第9次上課

01_上傳作業與重點回顧與證照406題
02_證照406不定數迴圈-BMI計算解答
03_證照408奇偶數個數計算解答
04_410繪製等腰三角形解答
05_502題乘積解答
06_504次方計算解答
07_506題一元二次方程式不包含函式解答
08_506題一元二次方程式包含函式解答

完整教學
http://goo.gl/aQTMFS

吳老師教學論壇
http://www.tqc.idv.tw/

教學論壇(之後課程會放論壇上課學員請自行加入)：
https://groups.google.com/g/tcfst_python_2021_2

證照基礎程式語言 (Python 3)證照
Python 第1類：基本程式設計
技能內容：變數與常數、指定敘述、標準輸入輸出、運算式、算術運算子、數學函式的應用、格式化的輸出Python 第2類：選擇敘述
技能內容：if、if...else、if…elifPython 第3類：迴圈敘述
技能內容：while、for…inPython 第4類：進階控制流程
技能內容：常用的控制結構、條件判斷、迴圈Python 第5類：函式(Function)
技能內容：函式使用、傳遞參數、回傳資料、內建函式、區域變數與全域變數

上課用書：
Python 3.x 程式語言特訓教材（第二版）
作者： 蔡明志, 財團法人中華民國電腦技能基金會
出版社：全華
出版日期：2018/12/20
定價：490元

吳老師 110/9/9

EXCEL,VBA,Python,自強工業基金會,EXCEL,VBA,函數,程式設計,線上教學,PYTHON安裝環境

Python基礎程式語言應用證照班第9次上課

01_上傳作業與重點回顧與證照406題
02_證照406不定數迴圈-BMI計算解答
03_證照408奇偶數個數計算解答
04_410繪製等腰三角形解答
05_502題乘積解答
06_504次方計算解答
07_506題一元二次方程式不包含函式解答
08_506題一元二次方程式包含函式解答

完整教學
http://goo.gl/aQTMFS

吳老師教學論壇
http://www.tqc.idv.tw/

教學論壇(之後課程會放論壇上課學員請自行加入)：
https://groups.google.com/g/tcfst_python_2021_2

證照基礎程式語言 (Python 3)證照
Python 第1類：基本程式設計
技能內容：變數與常數、指定敘述、標準輸入輸出、運算式、算術運算子、數學函式的應用、格式化的輸出Python 第2類：選擇敘述
技能內容：if、if...else、if…elifPython 第3類：迴圈敘述
技能內容：while、for…inPython 第4類：進階控制流程
技能內容：常用的控制結構、條件判斷、迴圈Python 第5類：函式(Function)
技能內容：函式使用、傳遞參數、回傳資料、內建函式、區域變數與全域變數

上課用書：
Python 3.x 程式語言特訓教材（第二版）
作者： 蔡明志, 財團法人中華民國電腦技能基金會
出版社：全華
出版日期：2018/12/20
定價：490元

吳老師 110/9/9

EXCEL,VBA,Python,自強工業基金會,EXCEL,VBA,函數,程式設計,線上教學,PYTHON安裝環境

Python基礎程式語言應用證照班第9次上課

01_上傳作業與重點回顧與證照406題
02_證照406不定數迴圈-BMI計算解答
03_證照408奇偶數個數計算解答
04_410繪製等腰三角形解答
05_502題乘積解答
06_504次方計算解答
07_506題一元二次方程式不包含函式解答
08_506題一元二次方程式包含函式解答

完整教學
http://goo.gl/aQTMFS

吳老師教學論壇
http://www.tqc.idv.tw/

教學論壇(之後課程會放論壇上課學員請自行加入)：
https://groups.google.com/g/tcfst_python_2021_2

證照基礎程式語言 (Python 3)證照
Python 第1類：基本程式設計
技能內容：變數與常數、指定敘述、標準輸入輸出、運算式、算術運算子、數學函式的應用、格式化的輸出Python 第2類：選擇敘述
技能內容：if、if...else、if…elifPython 第3類：迴圈敘述
技能內容：while、for…inPython 第4類：進階控制流程
技能內容：常用的控制結構、條件判斷、迴圈Python 第5類：函式(Function)
技能內容：函式使用、傳遞參數、回傳資料、內建函式、區域變數與全域變數

上課用書：
Python 3.x 程式語言特訓教材（第二版）
作者： 蔡明志, 財團法人中華民國電腦技能基金會
出版社：全華
出版日期：2018/12/20
定價：490元

吳老師 110/9/9

EXCEL,VBA,Python,自強工業基金會,EXCEL,VBA,函數,程式設計,線上教學,PYTHON安裝環境