Post-quantum zk-SNARKs on Hyperledger Fabric

© Hitachi,Ltd. 2019.All rights reserved.
Post-quantum zk-SNARKs on Hyperledger Fabric
株式会社日立製作所
社会システム研究部
長沼健

© Hitachi,Ltd. 2019. All rights reserved. 2
目次
• ゼロ知識証明とは？
• ブロックチェーンでどうやってゼロ知識証明を使うのか？
• セキュアスマートコントラクト
• Hyperledger Fabricでの実装アーキテクチャ
• 評価実験
• まとめ

目次
• 評価実験
• まとめ

ゼロ知識証明とは？
ゼロ知識証明（zero-knowledge proof）とは、証明者(Prover)が検証者(Verifier)に、
自分の持っている命題が真であることを伝えるのに、真であること以外、
何の知識も伝えることなく証明できるような対話(非対話)知識証明プロトコルである。
by Wikipedia
Alice (Prover)は命題Pが真(True)である事を誰かに証明したい
命題P:
私は二十歳以上だ
命題P:
私はある暗号の秘密鍵
を知っている

Alice (Prover)は命題Pが真(True)である事をBob(Verifier)にゼロ知識証明したい
命題P:
私は二十歳以上だ
命題Pの証明(真である証拠)出せ
運転免許証提示
運転免許証提示でAlice (Prover)は命題Pが真(True)である事をBobに証明
できるがゼロ知識ではない。生年月日から年齢などが漏れている。
どんなものがゼロ知識証明と言えるのか？
Alice Bob

Alice (Prover)は命題Pが真(True)である事をBob(Verifier)にゼロ知識証明したい
Enc(pk, r)
乱数[r]を生成
Bob(Verifier)は自分で生成した乱数[r]を貰うだけなので、
対話終了後に秘密鍵に関する知識をゲットしていない⇒ゼロ知識っぽい
命題P:
私は公開鍵[pk]に対する
秘密鍵を知っている
r
秘密鍵を知っているのでEnc(pk, r)
を復号して平文[r]を計算可能
※当然、AliceがBobに秘密鍵を渡せばPが真である事は
証明できるが、ゼロ知識でない(Bobは秘密鍵に関する情報を得ているので)。

目次
• 評価実験
• まとめ

プラバシー vs 透明性
Blockchain data
Tx Data
ID:101のbitcoinは
Aliceが持っています
Tx Data
ID:100のbitcoinは
Tomが持っています
Tx Data
ID:101のbitcoinは
AliceからBobに送金
されました
Aliceの署名
Tx Data
ID:101のbitcoinは
BobからTomに送金さ
れました
Bobの署名
参照可能参照可能参照可能
透明性プライバシ
Public Blockchainの台帳データはネットワーク上の誰でも参照可能
⇒透明性maxでプライバシーなし
トランザクションデータを暗号化(or hash化)したら、プライバシーは保たれるが、
マイナーがトランザクションの正当性を確認不能になる

もしトランザクションが暗号化されていると・・・
プライバシ保護のためUTXOで送金額が暗号化されたとすると・・・
[inputの金額の合計]=[outputの金額の合計] (手数料は0とする)
また、送金額は0以上の値
BCネットワーク
TX data
[input]
100coin
from: Tom
to: Alice
[output]
Enc(80coin)
from: Alice
to: Bob
[output]
Enc(50coin)
from: Alice
to: Alice
悪いAlice
Aliceは100coin分のunspent transactionのうち80をBobに送金、20をAliceに送金(おつ
り)するが、送金額が暗号化されている事をいいことに、おつりを50に不正に変更。
マイナーは復号化鍵をもっていないので金額不正に気付かない！
Miner or
Endorser
Miner or
Endorser

ブロックチェーンとゼロ知識証明の関係
一般的なゼロ知識証明の使い方
トランザクション内のプライバシ情報を秘匿化した際に正当性をゼロ知識で与える
秘匿化されたTx
+ゼロ知識証明
Tx Data
ID:101のbitcoinは
Aliceが持っています
Tx Data
ID:100のbitcoinは
Tomが持っています
Tx Data
From: ???
To: ???
Amount: ???
Aliceの署名
プライバシ情報は秘匿化されているが、
正当性を示すゼロ知識証明が付いている
Miner or
Endorser
不正は無さそうだ
な！！

目次
• 評価実験
• まとめ

Secure Smart Contractのイメージ
Blockchain data
Smart Contract
SC logic
deploy
引数
arg1
引数
arg2
戻り値
result
この部分を秘匿化(正確にはアクセス制御)したい！
・Alice(contract owner)はSCをBC上にdeploy
・Tom, BobはそのSCに対してargument txを送信
・Alice(or 誰かが)SCをargに対して実行し、結果をBCに記録
この時、arg, resultを適切にアクセス制御したい
(i.e., argは本人とAlice(contract owner)のみ閲覧可能、resultも関係者のみ閲覧可)
SCのロジック自体は誰でも閲覧可能(open)
Alice Tom
Bob

実例：2nd price auction
auction seller
Bidder A
Bidder B
Bidder C
1000円！
2000円！
500円！
Bidder B
落札者
(Winner)
priceは1000円(2nd price)
・各入札者は1度だけ払っても良い最高額を入札する(bidding)
・最高額を入札した人が落札者winnerになる(下の図ではbidder A)
・落札者が支払う金額は入札額2位の人の金額(下の図ではbidder Cの9万円)
※1st priceオークションと違い、払いすぎる心配がない

BC上で2nd priceオークションは可能か？
Blockchain data
Smart Contract
hogehoge
deploy
引数
arg1 = 1000円
引数
arg2 = 2000円引数
arg3 = 500円
戻り値
winner = bidder B
2nd price = 1000円
引数に対してSC実行Bidder A Bidder B Bidder C
【懸念点】引数、戻り値がopenだと・・・
・2nd priceオークションにならない、公開入札(English auction)になる
・Bidder A入札後、Sellerの利得最大化のために、1,999円で入札される(1st price)
・みんなの入札金額、落札者がopenになる(プライバシ問題)
⇒引数、戻り値の暗号化が必要
【懸念点】引数、戻り値を暗号化し、Sellerにのみ開示すると・・・
・Sellerが実行結果を改ざんできる(e.g. 2nd price=1,999円)
Seller

2nd priceオークションのロジック
1: winner = 0
2: max = 0
3: 2nd_price = 0
4:
5: // Nは入札者数
6: for i=0;i<N;i++
7:
8: // 勝者判定
9: if bidder[i].price > max
10: winner = i
11: 2nd_price = max
12: max = bidder[i].price
13:
14: return {winner, 2nd_price}
※疑似コード
後でSellerが実行する。
全員の入札金額はSellerしか知らないので、不正改ざんしてもばれない。

ゼロ知識証明を使って不正改ざんを防止
Blockchain dataChaincode
hogehoge
pk
Seller
Endorser
Phase 1, 2(initialization & deploy):
Sellerは2nd priceオークションのチェインコードをデプロイ
(Fabric)CAはこのチェインコードに対して以下のzk-SNARKのパラメータを生成する
・ゼロ知識証明生成用の鍵pk⇒Sellerに渡す
・ゼロ知識証明検証用の鍵vk⇒Peerに渡す
vk

hogehoge
pk
Seller
Phase 3(betting):
各Bidderはtemp key(KA,KB,KC)を生成し、入札金額のHmac値を台帳に書く
vk
引数
arg1 =
Hmac(KA, 1000)
引数
arg2 =
Hmac(KB, 2000) 引数
arg3 =
Hmac(KC, 500)
Bidder A Bidder B Bidder C
Endorser

hogehoge
pk
Seller
Phase 4(execution): オフライン処理に注意！！
各Bidderはtemp keyと入札金額をSellerに渡す(Logicの引数たち)
Sellerは2nd priceオークションのロジックを実行し、winnerと2nd priceを算出、
確かにロジックを実行した、という証拠にpkを使ってゼロ知識証明[π]を生成
vk
引数
arg1 =
Hmac(KA, 1000)
引数
arg2 =
arg3 =
Hmac(KC, 500)
(KB, 2000)(KA, 1000) (KC, 500)
Endorser

hogehoge
pk
Seller
Phase 5(result):
Sellerは(winner, 2nd price, π)を台帳に書き込む(現状版では戻り値はopen)
が、この際にPeerが[正しい引数(1000, 2000, 500)]で[2nd priceのロジック]が
実行されたかを検証する(invalidならtxは書き込まれない)
この検証は検証鍵[vk]と[π]と台帳上の[HMAC値]のみで可能
vk
引数
arg1 =
Hmac(KA, 1000)
引数
arg2 =
arg3 =
Hmac(KC, 500)
戻り値
winner = Bidder B
2nd
price = 1000円
ZKP: π
Check
Endorser

目次
• 評価実験
• まとめ

Hyperledger Fabricでの実装アーキテクチャ
・ゼロ知識証明したいコントラクトをユーザが指定
・Fabric CAがコントラクトのロジックに対して、ゼロ知識証明生成鍵/検証鍵を生成
・ゼロ知識証明生成鍵をユーザ、検証鍵をEndorserに配布
・ユーザはendorsementの際に、ゼロ知識証明を生成、txに付与
・Endorserは検証鍵を使ってゼロ知識証明を検証
BCネットワーク
Endorserユーザ
Fabric CA
PK
(証明生成鍵) VK(証明検証鍵)
Chaincode
hogehoge
Chaincode
hogehoge
TX+ZKP: π

修正版：2nd priceオークションのロジック
1: winner = 0
2: max = 0
3: 2nd_price = 0
4:
5: // Nは入札者数
6: for i=0;i<N;i++
7:
8: // 入力値の不正チェック
9: if bidder[i].hashed_price != hmac(bidder[i].hash_key, bidder[i].price)
10: abort()
11:
12: // 勝者判定
13: if bidder[i].price > max
14: winner = i
15: 2nd_price = max
16: max = bidder[i].price
17:
18: return {winner, 2nd_price}
※疑似コード
ロジックに入力金額の不正が無いかチェックする機能を追加(8～10行目)
ZKP + verification keyと公開情報のみを用いて、上記のロジックが
確かに実行された事を確認可能(verifiable computation)

目次
• 評価実験
• まとめ

性能評価実験
0.0
5.0
10.0
15.0
20.0
25.0
0 5000 10000 15000 20000 25000 30000 35000
0.0000
0.0002
0.0004
0.0006
0.0008
0.0010
0.0012
0 5000 10000 15000 20000 25000 30000 35000
回路サイズ回路サイズ
処
理
時
間
(
秒
)
処
理
時
間
(
秒
)
ユーザ処理
ゼロ知識証明生成
Endorser処理
ゼロ知識証明検証
評価方法
量子計算機への耐性を考慮し、LWE暗号方式をベースに方式設計
zk-SNARKの標準ライブラリlibsnarkの一部機能を利用し実装
様々な回路サイズ(スマートコントラクトのサイズ)に対して評価実験を実施
実験結果(評価PCはIntel(R) Core(TM) i7-9700K CPU @ 3.60GHz ×8)
・ユーザ側の処理時間(ゼロ知識証明生成)は回路サイズに比例して増加
⇒Hash関数の評価には210秒, 300GBのメモリが必要になる計算
・Endorserの処理時間(ゼロ知識証明検証)は回路サイズによらず1msec程度

目次
• 評価実験
• まとめ

まとめ
やったことのまとめ
1. 量子計算機耐性を有するzk-SNARK方式を設計、libsnarkへ実装
2. Hyperledger Fabric向けの実装アーキテクチャを設計、Endorsement
Peerへゼロ知識証明の検証機能をプラグイン実装
3. ゼロ知識証明初心者向けに、いくつかのガジェット作成
今後の課題
1. ゼロ知識証明生成の処理軽量化
2. Universal Circuitへの対応(Fabric CAの処理軽量化＆trustless)
3. 初心者向け＆開発効率向上に向けたガジェットの拡充
4. ユーザ証明書の属性、資格情報をゼロ知識証明する機能等

Post-quantum zk-SNARKs on Hyperledger Fabric

Post-quantum zk-SNARKs on Hyperledger Fabric

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to Post-quantum zk-SNARKs on Hyperledger Fabric

Similar to Post-quantum zk-SNARKs on Hyperledger Fabric (20)

More from Hyperleger Tokyo Meetup

More from Hyperleger Tokyo Meetup (20)

Recently uploaded

Recently uploaded (9)