முழுமையான vs கணினிச் செயலாக்க பூஜ்ஜிய-அறிவு: இந்த வேறுபாடு உண்மையில் என்ன பொருள்?

கிரிப்டோ துறையில் உள்ளவர்கள் "பூஜ்ஜிய-அறிவுச் சான்றுகள்" பற்றிப் பேசும்போது, ஒரு witness-ஐ வெளிப்படுத்தாமல் ஒரு கூற்றை நிரூபிக்கும் SNARK, STARK, range proof அல்லது வேறொரு நெறிமுறையை அவர்கள் குறிக்கலாம். அந்தச் சுருக்கப் பெயர் ஒன்றுக்கொன்று சாராத பல அச்சுகளை மறைக்கிறது: தனியுரிமை முழுமையானதாகவோ, புள்ளியியல் சார்ந்ததாகவோ, கணினிச் செயலாக்கம் சார்ந்ததாகவோ இருக்கலாம்; soundness தகவல்-கோட்பாட்டுச் சார்ந்ததாகவோ கணினிச் செயலாக்கம் சார்ந்ததாகவோ இருக்கலாம்; நெறிமுறை ஊடாடக்கூடியதாகவோ ஊடாடாததாகவோ இருக்கலாம்; Fiat–Shamir போன்ற ஒரு தொகுப்பி பாதுகாப்பு மாதிரியையே மாற்றலாம்.

பெயரிடப்பட்ட ஒரு குடும்பத்திற்கு எப்போதும் ஒரே வகை உண்டு என்பது முக்கியப் பாடம் அல்ல. நீங்கள் பயன்படுத்தவிருக்கும் சரியான கட்டமைப்புக்கான theorem-ஐயும் செயலாக்கத்தையும் படிக்க வேண்டும் என்பதே முக்கியப் பாடம்.

ஒரு பூஜ்ஜிய-அறிவுச் சான்றின் அமைப்பு

பாரம்பரிய அமைப்பு இதுதான்: verifier வேறு எதையும் அறிந்துகொள்ளாமல், ஒரு கூற்று உண்மை என்று அவரை நம்ப வைக்க prover விரும்புகிறார். இங்கு "உண்மை" என்பது, "H(x) = y-ஐ நிறைவேற்றும் ஓர் x எனக்குத் தெரியும்", "இந்த வரைபடத்தில் ஒரு பாதை எனக்குத் தெரியும்" அல்லது "தனிப்பட்ட உள்ளீடுகளில் இந்த நிரலைச் சரியாக இயக்கினேன்" என்பது போன்றதாக இருக்கலாம்.

முறைசாரா விளக்கத்தில், witness இல்லாமலேயே verifier-ன் பார்வையை மீண்டும் உருவாக்க முடிந்தால் ஒரு proof system பூஜ்ஜிய-அறிவு கொண்டதாகும். முறைசார்ந்த வரையறையில், ஒரு simulator பொதுக் கூற்றைப் பெறுகிறது — மேலும் பாதுகாப்பு மாதிரி அனுமதிக்கும் setup அல்லது oracle எதுவாக இருந்தாலும் அதையும் பெறுகிறது — ஆனால் witness-ஐப் பெறுவதில்லை; உண்மையான ஊடாடலுடன் குறிப்பிட்ட விதத்தில் தொடர்புடைய ஒரு பார்வையை அது உருவாக்குகிறது. எந்த verifier-கள் இந்த வரையறைக்குள் அடங்குவர் என்பதையும் வரையறைகள் குறிப்பிடுகின்றன: honest-verifier zero-knowledge என்பது எந்தவொரு தீங்கிழைக்கும் verifier-க்கு எதிரான பாதுகாப்பைவிடப் பலவீனமானது.

"வேறுபடுத்திப் பார்க்க முடியாதது" என்பதன் பொருளில்தான் பூஜ்ஜிய-அறிவின் மூன்று வகைகள் வேறுபடுகின்றன.

முழுமையான பூஜ்ஜிய-அறிவு

வரையறையின் மாதிரிக்குள், simulator-ன் வெளியீடும் உண்மையான பார்வையும் முற்றிலும் ஒரே விநியோகத்தைக் கொண்டிருக்கும். கணித ரீதியாக, அந்த இரு விநியோகங்களும் ஒன்றே. ஒன்றான விநியோகங்களை எந்தக் கணக்கீட்டாலும் வேறுபடுத்த முடியாது; இருப்பினும் theorem எதை மாதிரியாக்குகிறதோ அதற்கு மட்டுமே இந்த உத்தரவாதம் பொருந்தும். Public input-கள், circuit-ன் அமைப்பு, நேரம், செயலாக்கப் பிழைகள் மற்றும் side channel-கள் இன்னமும் வெளிப்படலாம்.

மாதிரியாக்கப்பட்ட transcript-ஐப் பொறுத்தவரை, இது தகவல்-கோட்பாட்டுத் தனியுரிமைக் கூற்று. இது தகவல்-கோட்பாட்டு soundness-ஐக் குறிக்காது; setup மற்றும் செயலாக்கம் சார்ந்த அனுமானங்களையும் நீக்காது.

புள்ளியியல் பூஜ்ஜிய-அறிவு

simulator-ன் வெளியீடு உண்மையான பார்வைக்கு புள்ளியியல் ரீதியாக நெருக்கமாக இருக்கும். பாதுகாப்பு அளவுருவில் மொத்த மாறுபாட்டு தூரம் புறக்கணிக்கத்தக்கதாக இருக்கும்; எனவே கணக்கீட்டு வரம்பற்ற வேறுபடுத்திக்குக்கூட புறக்கணிக்கத்தக்க சாதகம் மட்டுமே கிடைக்கும். "புறக்கணிக்கத்தக்கது" என்பது, ஒரு கட்டத்திற்குப் பிறகு ஒவ்வொரு தலைகீழ் பல்லுறுப்பையும்விடச் சிறியது என்று பொருள்; அது ஒரு குறிப்பிட்ட exponential விகிதத்தைக் குறிக்க வேண்டியதில்லை.

விநியோகங்கள் முற்றிலும் ஒன்றாக இருக்க வேண்டியதில்லை என்பதால், புள்ளியியல் ZK முழுமையான ZK-ஐவிடப் பலவீனமானது. ஆனால் அதன் தனியுரிமை வரம்பு, வேறுபடுத்தியைத் திறமையான கணக்கீட்டுக்குள் கட்டுப்படுத்துவதை அடிப்படையாகக் கொண்டதல்ல.

கணினிச் செயலாக்க பூஜ்ஜிய-அறிவு

simulator-ன் வெளியீடும் உண்மையான பார்வையும் கணினிச் செயலாக்க ரீதியாக வேறுபடுத்த முடியாதவை: குறிப்பிடப்பட்ட அனுமானங்களுக்கும் மாதிரிக்கும் உட்பட்டு, எந்த நிகழ்தகவுசார் பல்லுறுப்புக் கால வேறுபடுத்திக்கும் புறக்கணிக்கத்தக்க அளவைவிட அதிகச் சாதகம் கிடைக்காது.

இது புள்ளியியல் அல்லது முழுமையான வேறுபடுத்த முடியாத தன்மையைவிடப் பலவீனமானது. பின்னர் ஓர் அனுமானம் தோல்வியடைந்தால், தனியுரிமைக்கான proof இனி பொருந்தாமல் போகலாம்; அந்த உண்மை மட்டும், காப்பகப்படுத்தப்பட்ட transcript-கள் witness-ஐ வெளிப்படுத்துகின்றன என்பதைக் காட்டாது. கசிவை ஒவ்வொரு கட்டமைப்புக்கும் தனித்தனியாகப் பகுப்பாய்வு செய்ய வேண்டும்.

நெறிமுறைக் குடும்பம் அதன் வகையை ஏன் தீர்மானிப்பதில்லை

கணினிச் செயலாக்க soundness, setup அல்லது வேறு மாதிரிகள் அனுமதிக்கப்படும்போது, முழுமையான பூஜ்ஜிய-அறிவு ஒரு சிறிய கூற்று வகுப்பிற்கு மட்டுமே வரம்பிடப்படுவதில்லை. Groth, Ostrovsky மற்றும் Sahai, ஒவ்வொரு NP language-க்கும் முழுமையான non-interactive zero-knowledge argument ஒன்றை உருவாக்கினர். இது மற்ற மாதிரிகளுக்கான கீழ் வரம்புகளுடன் முரண்படுவதில்லை: ஒரு argument-க்கு கணினிச் செயலாக்க soundness இருக்கும்; NIZK பொதுவாக common reference string ஒன்றைப் பயன்படுத்தும்.

அடிக்கடி மேற்கோள் காட்டப்படும் Goldreich–Krawczyk முடிவும், perfect ZK மற்றும் NP-க்கு எதிரான ஒட்டுமொத்த சாத்தியமின்மைக் கூற்றைவிடக் குறுகியது. மூன்று சுற்று மற்றும் black-box simulation கொண்ட constant-round public-coin நெறிமுறைகளின் வரம்புகள் உட்பட, சுற்றுகள் மற்றும் composition தொடர்பான கீழ் வரம்புகளை அது நிரூபிக்கிறது. வெளிப்பாட்டுத் திறன் கொண்ட NP argument ஒன்றால் முழுமையான பூஜ்ஜிய-அறிவைக் கொண்டிருக்க முடியாது என்று அது நிறுவுவதில்லை.

பெயர் அடிப்படையிலான வகைப்பாடு ஏன் பாதுகாப்பற்றது என்பதை நடைமுறை system-கள் காட்டுகின்றன:

• Groth16: அசல் pairing அடிப்படையிலான argument முழுமையான பூஜ்ஜிய-அறிவைக் குறிப்பிடுகிறது; அதேவேளையில் soundness கணினிச் செயலாக்கம் சார்ந்தது.
• PLONK: தேர்ந்தெடுக்கப்படும் polynomial commitment மற்றும் compilation எதைக் கசியவிடுகின்றன என்பதைப் பொறுத்தே இறுதிப் பண்பு அமையும் என்பதால், அதன் idealized polynomial-protocol வரையறையிலிருந்து பூஜ்ஜிய-அறிவை அந்த ஆய்வுக்கட்டுரை திட்டமிட்டே விலக்கிவைக்கிறது.
• Bulletproofs: ஊடாடக்கூடிய aggregate range proof, முழுமையான honest-verifier zero-knowledge கொண்டதாக நிரூபிக்கப்பட்டுள்ளது. அதன் பிறகு Fiat–Shamir வழியாக ஊடாடாத நெறிமுறையை அந்த ஆய்வுக்கட்டுரை பெறுகிறது; random-oracle மாதிரியில் அதை ஆய்வு செய்கிறது.
• STARK-கள்: அசல் ஆய்வுக்கட்டுரையின் அடிப்படையான STIK முழுமையான ZK-ஐக் கொண்டிருக்கலாம். அதன் hash அடிப்படையிலான ஊடாடக்கூடிய compilation-உம், random-oracle ஊடாடாத compilation-உம் கணினிச் செயலாக்க ZK கொண்டவையாக விவரிக்கப்படுகின்றன.

செயலாக்கங்கள் blinding, batch நெறிமுறைகள், recursion, transcript மாற்றங்கள் அல்லது setup சோதனைகளைச் சேர்க்கலாம் அல்லது விடலாம். சந்தைப்படுத்தலில் பயன்படுத்தப்படும் குடும்பப் பெயரை அல்ல, உண்மையில் deployment செய்யப்பட்ட கட்டமைப்பை வகைப்படுத்துங்கள்.

செயல்முறை எடுத்துக்காட்டு: commitment scheme-கள்

Commitment scheme-கள் இந்த வேறுபாட்டைத் தெளிவாகக் காட்டுகின்றன.

ஒரு commitment என்பது ஏறத்தாழ, "v என்ற மதிப்பை c என்ற முத்திரையிட்ட உறைக்குள் பூட்டி, அந்த உறையை உங்களிடம் கொடுத்து, பின்னர் v-ஐ வெளிப்படுத்துகிறேன். முதலில் பூட்டிய மதிப்பையே வெளிப்படுத்தினேன் என்பதை உங்களால் சரிபார்க்க முடியும்; ஆனால் நான் அதை வெளிப்படுத்தும் முன் v-ஐ உங்களால் பார்க்க முடியாது" என்பதாகும்.

இதற்கு இரண்டு பாதுகாப்புப் பண்புகள் உள்ளன:

• மறைப்புத்தன்மை (Hiding) — அந்த உறை v பற்றிய எதையும் வெளிப்படுத்தாது.
• பிணைப்புத்தன்மை (Binding) — முதலில் commitment செய்த மதிப்புக்கு மாறான ஒரு மதிப்புடன் அந்த உறையை என்னால் திறக்க முடியாது.

வழக்கமான ஊடாடாத classical அமைப்பில், முக்கியத்துவமுள்ள ஒரு commitment ஒரே நேரத்தில் முழுமையாக மறைப்பதாகவும் முழுமையாகப் பிணைப்பதாகவும் இருக்க முடியாது: முழுமையான மறைப்புக்கு commitment விநியோகங்கள் ஒன்றுடன் ஒன்று மேற்பொருந்த வேண்டும்; முழுமையான பிணைப்புக்கு ஒவ்வொன்றுக்கும் தனித்துவமான opening தேவை. எந்தப் பண்பு தகவல்-கோட்பாடு சார்ந்தது, எது கணினிச் செயலாக்கம் சார்ந்தது என்பதை கட்டமைப்புகளும் setup மாதிரிகளும் தீர்மானிக்கின்றன.

Pedersen commitment-கள், அவற்றின் வழக்கமான group setup-ல் முழுமையாக மறைப்பவையாகவும் கணினிச் செயலாக்க ரீதியாகப் பிணைப்பவையாகவும் உள்ளன. generator-களுக்கு இடையிலான discrete-log தொடர்பை அறிந்துகொள்வது binding-ஐ உடைக்கலாம்; ஆனால் commitment-ன் முழுமையான மறைப்பு விநியோகத்தைப் பின்னோக்கி நீக்காது. c = H(v || r) போன்ற hash commitment பொதுவாக கணினிச் செயலாக்க hiding மற்றும் binding அனுமானங்களுடன் பகுப்பாய்வு செய்யப்படுகிறது; போதுமான randomness மற்றும் message entropy-யையும் அதன் hiding சார்ந்துள்ளது.

எந்தப் பண்பு எவ்வளவு காலம் நிலைத்திருக்க வேண்டும் என்பதைப் பொறுத்தே உங்களுக்குத் தேவையான கட்டமைப்பு அமையும். நீண்டகாலத் தனியுரிமைக்குத் தகவல்-கோட்பாட்டு hiding சாதகமாக இருக்கலாம்; ஆனால் முழு நெறிமுறை இன்னமும் metadata-வைக் கசியவிடலாம் அல்லது வேறொரு இடத்தில் கணினிச் செயலாக்க ZK-ஐச் சார்ந்திருக்கலாம். ஓர் அனுமானம் தோல்வியடைந்த பிறகு binding-ஐப் பொதுவாக மீண்டும் "நிரூபித்து" சரிசெய்ய முடியாது; retention மற்றும் migration திட்டங்களை deployment-க்கு முன்பே வடிவமைக்க வேண்டும்.

ZK rollup-களுக்கும் L2 system-களுக்கும் இது ஏன் முக்கியம்

ஒவ்வொரு "ZK rollup"-உம் பரிவர்த்தனைத் தரவை மறைக்கிறது என்று கருதாதீர்கள்: பல rollup-கள் validity proof-களை முதன்மையாக கணக்கீட்டின் சரியான தன்மையை உறுதிப்படுத்தப் பயன்படுத்தி, state-ஐ மீண்டும் உருவாக்கத் தேவையான பரிவர்த்தனைத் தரவை வெளியிடுகின்றன. தனியுரிமை என்பது பயன்பாடு மற்றும் நெறிமுறையின் பண்பு; "ZK" என்ற எழுத்துகளின் தவிர்க்க முடியாத விளைவு அல்ல.

witness-களைப் பாதுகாக்கும் system ஒன்றைப் பொறுத்தவரை, பின்வரும் கேள்விகளைத் தனித்தனியாகக் கேளுங்கள்:

• சரியாக எது பொதுவில் உள்ளது? Public input-கள், state transition-கள், circuit-ன் அமைப்பு, proof நேரம் மற்றும் data-availability தகவல்கள், simulator-ன் கூற்றுக்கு வெளியே தகவல்களை வெளிப்படுத்தலாம்.
• ZK theorem என்ன? முழுமையானதா, புள்ளியியல் சார்ந்ததா, கணினிச் செயலாக்கம் சார்ந்ததா; honest verifier-க்கா, malicious verifier-க்கா; setup, oracle மற்றும் composition மாதிரிகள் எவை என்பதைச் சரிபாருங்கள்.
• Soundness theorem என்ன? ஒரு proof முழுமையான ZK-ஐயும் கணினிச் செயலாக்க soundness-ஐயும் கொண்டிருக்கலாம். ஒரு curve அனுமானம் உடைக்கப்பட்டால், வரலாற்று witness-களை வெளிப்படுத்தாமலேயே போலிச் சான்றுகளை உருவாக்க வழிவகுக்கலாம்.
• காப்பகப்படுத்தப்பட்ட transcript-களை எது பாதுகாக்கிறது? BN254 discrete-log உடைப்பு, பழைய ஒவ்வொரு proof-ஐயும் தானாகவே "unblind" செய்யக்கூடியதாக மாற்றாது. எந்த transcript கூறுகள் witness-ஐ மறைக்கின்றன, எந்த அனுமானங்கள் அவற்றைப் பாதுகாக்கின்றன என்பதைத் தீர்மானியுங்கள்.
• Quantum அச்சுறுத்தல் மாதிரி என்ன? போதுமான திறனுள்ள quantum கணினிக்கு pairing மற்றும் discrete-log அடிப்படையிலான soundness பாதிக்கப்படக்கூடியது. Hash அடிப்படையிலான STARK வடிவமைப்புகள் post-quantum கணக்கீட்டுச் சரியான தன்மையை இலக்காகக் கொண்டுள்ளன; ஆனால் குறிப்பிட்ட hash அளவுருக்கள், Grover வகை வேக அதிகரிப்புகள், Fiat–Shamir/random-oracle மாதிரி மற்றும் செயலாக்கத் தேர்வுகள் இன்னமும் முக்கியம். அசல் STARK ஆய்வுக்கட்டுரையே, முழுமையான ZK கொண்ட தகவல்-கோட்பாட்டு அடுக்கையும், கணினிச் செயலாக்க ZK கொண்ட compiled realization-களையும் வேறுபடுத்துகிறது.

ஓர் எளிய முடிவெடுக்கும் மரம்

உற்பத்திப் பயன்பாட்டிற்காக ஒரு ZK system-ஐத் தேர்ந்தெடுக்கிறீர்கள் என்றால்:

1. இரகசியத்தையும் அதைத் தக்கவைக்க வேண்டிய காலத்தையும் வரையறுங்கள். எந்த witness புலங்களும் தொடர்புகளும், எவ்வளவு காலம் தனிப்பட்டதாக இருக்க வேண்டும் என்பதைத் துல்லியமாகக் கூறுங்கள்.
2. Deployment செய்யப்பட்ட theorem-ஐ அடையாளம் காணுங்கள். சரியான நெறிமுறை version, blinding படிகள், commitment scheme, compiler, setup, random-oracle அனுமானங்கள் மற்றும் verifier வகுப்பு ஆகியவற்றைப் பதிவு செய்யுங்கள்.
3. தனியுரிமையைக் கணக்கீட்டின் சரியான தன்மையிலிருந்து பிரித்துப் பாருங்கள். முழுமைத்தன்மை, soundness, knowledge soundness மற்றும் extractability ஆகியவற்றிலிருந்து தனியாக ZK வகையை ஆவணப்படுத்துங்கள்.
4. செயலாக்க எல்லையைச் சோதியுங்கள். Side channel-கள், தவறாக அமைக்கப்பட்ட setup, பலவீனமான randomness, பொதுவில் தெரியும் metadata, circuit பிழைகள் மற்றும் பாதுகாப்பற்ற transcript மறுபயன்பாடு ஆகியவை சரியான theorem-ஐத் தோற்கடிக்கலாம்.
5. கிரிப்டோகிராஃபிக் migration-க்குத் திட்டமிடுங்கள். ஒரு curve, hash, setup அல்லது compiler அனுமானம் பலவீனமடைந்தால், எதிர்கால verification-க்கும் காப்பகப்படுத்தப்பட்ட transcript-களுக்கும் என்ன நடக்கும் என்பதைக் குறிப்பிடுங்கள்.

சரியான சமரசத் தேர்வு ஒவ்வொரு பயன்பாட்டுக்கும் உரியது. ஒரு குடும்பப் பெயர் மட்டும் பாதுகாப்பு முடிவாகாது.

இதைப் பற்றி Namefi எப்படிச் சிந்திக்கிறது

எதிர்கால டொமைன் உரிமை செயல்முறை, டொமைனை வெளிப்படுத்தாமல் ஆன்-செயின் registry ஒன்றில் உறுப்பினராக இருப்பதையோ ஒரு credential-ஐ வைத்திருப்பதையோ நிரூபிக்கக்கூடும். எது பொதுவில் உள்ளது, credential எவ்வாறு வழங்கப்பட்டு ரத்துசெய்யப்படுகிறது, chain தரவு ஏற்கெனவே உரிமையாளரை அடையாளம் காட்டுகிறதா, எந்த verifier மற்றும் setup மாதிரிகள் ஏற்றுக்கொள்ளத்தக்கவை ஆகியவற்றைப் பொறுத்தே பொருத்தமான நெறிமுறை அமையும். Namefi தற்போது அத்தகைய செயல்முறையைச் செயல்படுத்துகிறது என்று இந்தக் கட்டுரை கூறவில்லை. தனியுரிமை மற்றும் soundness theorem-களைத் தனித்தனியாகக் குறிப்பிடுவதும் ஒவ்வொரு அனுமானத்தையும் பதிவு செய்வதுமே பொறியியல் விதி.

ஆதாரங்களும் மேலதிக வாசிப்பும்

• Goldreich, Micali, Wigderson — செல்லுபடித் தன்மையைத் தவிர வேறெதையும் வெளிப்படுத்தாத சான்றுகள் (J. ACM 1991).
• Goldreich மற்றும் Krawczyk — பூஜ்ஜிய-அறிவு proof system-களின் composition பற்றி (1996).
• Pedersen — ஊடாடாத, தகவல்-கோட்பாட்டு ரீதியாகப் பாதுகாப்பான சரிபார்க்கக்கூடிய இரகசியப் பகிர்வு (1991).
• Ben-Sasson, Bentov, Horesh, Riabzev — அளவிடக்கூடிய, வெளிப்படையான, post-quantum பாதுகாப்புடைய கணக்கீட்டுச் சரியான தன்மை (STARK ஆய்வுக்கட்டுரை, 2018).
• Groth, Ostrovsky, Sahai — NP-க்கான முழுமையான ஊடாடாத பூஜ்ஜிய-அறிவு (2005).
• Groth — Pairing அடிப்படையிலான ஊடாடாத argument-களின் அளவு பற்றி (Groth16, 2016).
• Gabizon, Williamson, Ciobotaru — PLONK (2019).
• Bünz மற்றும் பலர் — Bulletproofs (2018).