zk-SNARK: argumentos sucintos no interactivos

Un zk-SNARK (Zero-Knowledge Succinct Non-interactive ARgument of Knowledge) es una prueba que: (1) ofrece conocimiento cero, (2) es sucinta (prueba pequeña y verificación rápida independientemente del tamaño del cálculo), (3) no es interactiva (una única cadena de prueba).

Los protocolos Sigma funcionan para afirmaciones sencillas (conocimiento del logaritmo discreto). Para cálculos complejos —"ejecuté correctamente esta función sobre entradas privadas"— necesitamos un sistema de pruebas de propósito general. Los SNARK demuestran cálculos arbitrarios en un tiempo de verificación O(1).

Primero, el cálculo se expresa como un circuito aritmético: un grafo dirigido acíclico de puertas de suma y multiplicación sobre un cuerpo finito. Ejemplo: demostrar que conoce x tal que x^3 + x + 5 = 35 sin revelar que x=3. El circuito tiene aproximadamente 5 puertas.

Un circuito aritmético se convierte en R1CS: un conjunto de restricciones (A*z)*(B*z) = C*z, donde z es un vector con todos los valores de los cables. Cada puerta de multiplicación se convierte en una restricción. El probador debe encontrar z que satisfaga todas las restricciones sin revelar los cables privados.

R1CS se convierte en un QAP: polinomios A(x), B(x), C(x) tales que A(x)*B(x)-C(x) es divisible por un polinomio objetivo t(x) si y solo si se satisfacen las restricciones. El probador demuestra que conoce un cociente polinómico H(x) sin revelar el testigo.

Groth16 (2016) es el SNARK general más eficiente. Después de una configuración confiable (generación de CRS), el probador produce una prueba formada por 3 elementos de grupo (aproximadamente 192 bytes para BLS12-381). Verificación: 3 operaciones de emparejamiento. La prueba tiene un tamaño constante independientemente del tamaño del circuito.

Groth16 requiere una configuración confiable para cada circuito: se generan residuos tóxicos (un secreto aleatorio), se calcula la cadena de referencia común y, después, se destruyen los residuos tóxicos. Si los residuos sobreviven, un adversario puede falsificar pruebas. Las ceremonias multipartitas (Powers of Tau) distribuyen la confianza.

PLONK (2019) utiliza una configuración confiable universal: una sola ceremonia funciona para todos los circuitos hasta un límite de tamaño. No se necesita una configuración específica para cada circuito. La contrapartida son pruebas ligeramente más grandes que las de Groth16. Se utiliza en implementaciones de ZK-EVM (Polygon Hermez, zkSync Era).

Los STARK (Scalable Transparent ARguments of Knowledge) no requieren una configuración confiable y utilizan funciones hash (seguras frente a ataques cuánticos). La contrapartida son pruebas más grandes (decenas de KB frente a 200 bytes). Se utilizan en StarkWare/StarkNet y en el lenguaje Cairo. Los SNARK son más pequeños; los STARK son resistentes a la computación cuántica.

Groth16 utiliza emparejamientos bilineales: e: G1 × G2 → GT, donde e(a*P, b*Q) = e(P,Q)^{ab}. Esto permite comprobar identidades polinómicas en el exponente sin revelar los valores. La curva BLS12-381 está optimizada para realizar emparejamientos Groth16 de forma eficiente.

Tiempo de generación de pruebas de Groth16 para un circuito de 10^6 puertas: aproximadamente 10 segundos en una CPU moderna. Verificación: aproximadamente 1 ms. Esta asimetría es intencionada: el probador (quien realizó el cálculo pesado) hace el trabajo; el verificador (el nodo de la cadena de bloques) realiza un trabajo casi nulo.

¿Cuál es el principal inconveniente de Groth16 frente a PLONK?

Los zk-SNARK demuestran cálculos arbitrarios mediante pruebas de tamaño constante. Flujo: cálculo → circuito aritmético → R1CS → QAP → prueba SNARK. Groth16 es el más eficiente (configuración confiable para cada circuito); PLONK utiliza una configuración universal. Siguiente tema: aplicaciones de las ZKP en blockchain.