Bulletproofs

迄今为止最快的 Bulletproofs 实现，具有单范围和聚合范围证明、强类型多方计算以及用于证明任意声明的可编程约束系统API（开发中）。

此库使用 Ristretto 实现 Bulletproofs，使用 curve25519-dalek 中的 ristretto255 实现。当在 curve25519-dalek AVX2 后端中使用 并行公式 时，它可以比原始的基于 libsecp256k1 的 Bulletproofs 实现快约两倍来验证64位 rangeproofs。

此库提供了以下实现：

• 使用聚合 rangeproof 构造的单方或多方范围的证明；

• 使用 session types 通过静态强制正确协议流程来聚合多个多方 rangeproof 的在线多方计算；

• 用于表达秩-1约束系统、证明和验证任意语句（不稳定，正在开发中，包含yoloproofs特性）；的可编程约束系统API；

• 针对聚合约束系统证明的在线多方计算（计划中的未来工作）；

这些证明使用Merlin记录实现，允许它们在不改变实现的情况下与其他证明任意组合；

开发路线图可以在里程碑部分找到，位于Github仓库；

约束系统API仅**用于实验**，必须通过指定yoloproofs特性来启用。它不受semver兼容性的约束，并且**未经通知即可更改**；

目前，在crate的发布版本中，yoloproofs特性是禁用的，因此只能通过指定对develop分支的git依赖来使用。这意味着无法使用R1CS API发布crate，因为它**仅用于实验**；

文档

此功能的用户文档可以在此处找到。此外，该库还包含大量关于Bulletproofs如何工作的说明。这些说明可以在库的内部文档中找到；

• 如何使用Bulletproofs；
• 如何使用范围证明协议；
• 如何使用内积证明协议；
• 如何使用聚合协议；
• 如何使用Bulletproof约束系统证明（开发中）；
• 如何使用约束系统归约（开发中）；
• 如何使用聚合约束系统证明（未来工作）；

比较性能

以下表格给出了在Intel Skylake-X i7-7800X (@3.5GHz，禁用Turbo Boost)上证明和验证64位范围证明的比较时间。时间以微秒（越低越好）表示，与最快实现的相对速度相比；

使用curve25519-dalek IFMA后端在Cannonlake i3-8121U上提供1.5倍的额外加速，将验证速度提升强于libsecp的3倍和Monero的7倍，但这些处理器尚未广泛可用。

此crate还包含其他基准测试；有关如何运行所有基准测试的详细信息，请参阅下面的测试和基准部分。

示例

以下示例展示了如何创建和验证32位范围证明。

# // The #-commented lines are hidden in Rustdoc but not in raw
# // markdown rendering, and contain boilerplate code so that the
# // code in the README.md is actually run as part of the test suite.
#
# extern crate rand;
# use rand::thread_rng;
#
# extern crate curve25519_dalek;
# use curve25519_dalek::scalar::Scalar;
#
# extern crate merlin;
# use merlin::Transcript;
#
# extern crate bulletproofs;
# use bulletproofs::{BulletproofGens, PedersenGens, RangeProof};
#
# fn main() {
// Generators for Pedersen commitments.  These can be selected
// independently of the Bulletproofs generators.
let pc_gens = PedersenGens::default();

// Generators for Bulletproofs, valid for proofs up to bitsize 64
// and aggregation size up to 1.
let bp_gens = BulletproofGens::new(64, 1);

// A secret value we want to prove lies in the range [0, 2^32)
let secret_value = 1037578891u64;

// The API takes a blinding factor for the commitment.
let blinding = Scalar::random(&mut thread_rng());

// The proof can be chained to an existing transcript.
// Here we create a transcript with a doctest domain separator.
let mut prover_transcript = Transcript::new(b"doctest example");

// Create a 32-bit rangeproof.
let (proof, committed_value) = RangeProof::prove_single(
    &bp_gens,
    &pc_gens,
    &mut prover_transcript,
    secret_value,
    &blinding,
    32,
).expect("A real program could handle errors");

// Verification requires a transcript with identical initial state:
let mut verifier_transcript = Transcript::new(b"doctest example");
assert!(
    proof
        .verify_single(&bp_gens, &pc_gens, &mut verifier_transcript, &committed_value, 32)
        .is_ok()
);
# }

构建

为了成功编译，您需要安装nightly Rust而不是stable。

您可以使用rustup安装nightly Rust

rustup default nightly

测试和基准

使用 cargo test 运行测试。使用 cargo bench 运行基准测试。此软件包使用 criterion.rs 进行基准测试。

特性

开启 yoloproofs 特性启用对等级-1约束系统证明的支持。它不稳定且不适合部署，仅提供用于测试。

开启 avx2_backend 特性启用 curve25519-dalek 的 AVX2 后端，它使用 并行公式实现曲线算术。要用于 Bulletproofs，必须支持 AVX2 的 target_cpu

RUSTFLAGS="-C target_cpu=skylake" cargo bench --features "avx2_backend"

Skylake-X CPU 的 AVX2 寄存器数量翻倍。要使用它们，尝试

RUSTFLAGS="-C target_cpu=skylake-avx512" cargo bench --features "avx2_backend"

这可以防止 AVX2 并行字段乘法代码中的溢出，但会导致其他地方的代码生成更差 ¯\_(ツ)_/¯

关于

这是一个由 Interstellar 赞助的研究项目，由 Henry de Valence、Cathie Yun 和 Oleg Andreev 开发。