CRS（Common Reference String）

CRS（Common Reference String）とは？

CRSはCommon Reference Stringの略で、ゼロ知識証明システムが使用する、共有された公開暗号パラメーターの集合です。

暗号資産分野では、CRSは主にzk-SNARK、プライバシープロトコル、妥当性証明、zk-rollup、多項式コミットメント、ブロックチェーンのスケーリングシステムとの関連で語られます。

CRSは、証明者が秘密情報を開示せずに証明を作成し、検証者がその証明を確認できるよう、共通の基盤を提供します。

証明者はCRSを使って証明を生成し、検証者は同じCRSを使って証明が有効かどうかを確認します。

ethereum.orgのゼロ知識証明ガイドでは、一部のゼロ知識システムで使われる公開パラメーターを総称してCommon Reference Stringと呼ぶと説明されています。

CRSはパスワード、秘密鍵、ウォレットのシードフレーズ、ユーザーの秘密情報ではありません。

通常は公開情報ですが、その生成方法は非常に慎重に扱う必要があります。

CRSが誠実に生成され、セットアップに使われた秘密情報が破棄されていれば、証明システムは意図どおりに機能します。

CRSが不正に生成されたり、セットアップの秘密情報が保持されたりすると、一部の証明システムでは偽の証明を作成できる可能性があります。

このため、CRSのセキュリティは、暗号資産分野で使われる多くのゼロ知識システムにおいて、最も重要な信頼上の前提の一つです。

暗号資産分野でCRSが重要な理由

ゼロ知識証明は、ブロックチェーンのプライバシー、スケーリング、ID、検証可能な計算における中核技術となっているため、CRSは重要です。

ゼロ知識証明を使うと、ある主張の根拠となるデータを明かさずに、その主張が正しいことを証明できます。

暗号資産分野では、非公開トランザクションが有効であること、オフチェーンのトランザクション群が正しく処理されたこと、またはすべての個人情報を開示せずにユーザーがルールを満たすことなどを証明できます。

効率的なzk-SNARKシステムの多くは、証明の生成と検証の前に公開パラメーターを必要とします。

こうした公開パラメーターがCRS、またはStructured Reference Stringのような関連構造です。

ZKProofのセットアップセレモニーに関する解説では、zk-SNARKが証明と検証の公開パラメーターとしてCRSを利用すると説明されています。

このため、開発者とユーザーの双方にとってCRSの品質が重要になります。

開発者は、CRSが回路、証明システム、セキュリティモデルに適合しているかを把握する必要があります。

ユーザーは、プロトコルが信頼されたセットアップ、ユニバーサルセットアップ、更新可能なセレモニー、または信頼されたセットアップを必要としない透明性の高い証明システムのいずれに依存しているかを把握する必要があります。

暗号資産の投資家やトレーダーにとってCRSは技術的な話題に見えるかもしれませんが、プライバシーコイン、zk-rollup、ブリッジ、証明システム、トークン化アプリケーションの信頼性に影響することがあります。

CRSの仕組み

CRSは、証明システムのすべての参加者に同じ公開参照データを提供します。

証明者はこの参照データを使い、秘密の証人と公開命題から、コンパクトな証明を作成します。

検証者は同じ参照データを使い、システムのルールに従って証明が生成されたかを確認します。

公開命題とは、検証対象となる主張です。

秘密の証人とは、その主張を正しいものにする非公開情報です。

たとえば、ユーザーは取引の詳細をすべて開示せずに、トランザクションがプロトコルのルールに従っていることを証明できます。

CRSは、数学的な命題、秘密の証人、検証アルゴリズムを証明システムが結び付けるのに役立ちます。

多くのzk-SNARKシステムでは、一般のユーザーが証明を生成する前にCRSを作成します。

このセットアップは、特定の1つの回路に特化する場合も、複数の回路をサポートできるほど汎用的な場合もあります。

詳細は、証明システム、暗号学的な前提、実装設計によって異なります。

CRSは、隠れた改ざんの可能性を抑える方法で生成、保管、公開、検証される必要があります。

CRS、SRS、公開パラメーター

CRSは、証明システムが使用する公開参照データを広く指す用語として使われることがよくあります。

SRSはStructured Reference Stringの略で、通常、特別な代数構造を持つ参照文字列を意味します。

公開パラメーターはより広い用語で、CRS、SRS、証明鍵、検証鍵、その他のセットアップ出力を含む場合があります。

一般的な暗号資産関連の議論では、CRSとSRSを同じ意味で使うことがあります。

より技術的な文書では、SRSは通常、特定のSNARKや多項式コミットメント方式で使われるCRSの一種を指します。

KZG多項式コミットメントに関するZKDocsのガイドでは、KZGコミットメント用に事前生成される公開パラメーターを説明し、それらがStructured Reference Stringと呼ばれる場合があると述べています。

この違いが重要なのは、すべての証明システムが同じ種類のセットアップ情報を使うわけではないためです。

回路固有のCRSを必要とするシステムもあります。

定められたサイズまでの複数の回路をサポートできるユニバーサルSRSを使うシステムもあります。

信頼されたセットアップセレモニーをまったく必要としない、透明性の高いシステムもあります。

開発者は、プロジェクトがCRS、SRS、セットアップパラメーター、証明鍵、検証鍵をどのような意味で使っているかを必ず確認してください。

信頼されたセットアップとCRS

信頼されたセットアップとは、一部のゼロ知識証明システムでCRSを生成するために使われるプロセスです。

「信頼された」という言葉が使われるのは、セットアップが正しく行われ、秘密の乱数が破棄されたことを参加者が信頼する必要があるためです。

この隠されたセットアップ情報は、しばしば「toxic waste」と呼ばれます。

toxic wasteが攻撃者の手元に残ると、一部のシステムでは偽の証明を作成される可能性があります。

これは、すべてのCRSが危険だという意味ではありません。

CRSを使う一部のシステムのセキュリティは、セットアッププロセスが安全であることに依存するという意味です。

信頼されたセットアップは単独の当事者が実行することもできますが、その場合、強い信頼上の問題が生じます。

そのため、現代のシステムでは、単一の主体への依存を減らすために、複数の参加者によるセレモニーがよく採用されます。

多くの複数参加者型セットアップセレモニーでは、少なくとも1人の誠実な参加者が乱数を提供し、その秘密の寄与を破棄すれば、セキュリティを維持できます。

そのため、公開セレモニーでは通常、参加の拡大、透明性、再現可能性、独立した検証を重視します。

暗号資産ユーザーにとって重要なのは、CRSが存在するかだけでなく、どのように作成されたかです。

マルチパーティ計算セレモニー

マルチパーティ計算セレモニーとは、複数の独立した参加者が乱数を提供してCRSを作成するセットアッププロセスです。

目的は、1人、1社、1つのバリデーターグループ、または開発チームがセットアップ用の秘密情報すべてを管理することを避けることです。

各参加者はセレモニーにエントロピーを加えた後、自身の秘密の寄与を破棄します。

多くのセレモニー設計では、少なくとも1人が誠実に行動すれば、最終的なCRSのセキュリティを維持できます。

この方式は、証明システムが信頼されたセットアップを必要とする一方で、コミュニティが単一の参加者への信頼を減らしたい場合によく使われます。

Ethereum KZGセレモニーは、KZGコミットメント用のセットアップ情報を生成するために実施された、公開セレモニーのよく知られた暗号資産分野の事例です。

Ethereum FoundationによるKZGセレモニーの総括では、EIP-4844の暗号学的基盤を支える公開プロセスとして説明されています。

セレモニーでは、他の人がプロセスを監査できるだけの情報を公開する必要があります。

優れたセレモニー設計には、悪意のある寄与、質の低い乱数、ソフトウェアの侵害、中央集権的な調整に伴うリスクへの対策も含まれます。

優れたセレモニーによってシステムのリスクがなくなるわけではありませんが、CRSをめぐる信頼の負担を軽減できる可能性があります。

CRSとzk-SNARK

zk-SNARKはZero-Knowledge Succinct Non-Interactive Argument of Knowledgeの略です。

多くのzk-SNARKシステムは検証が速く、証明も小さいため、ブロックチェーンでの利用に適しています。

ブロックチェーンではデータの保存や検証に高いコストがかかることがあるため、証明のサイズが小さいことは重要です。

非対話型証明も重要です。証明者は一度証明を作成して公開すれば、後から誰でも検証できます。

多くのSNARK構成では、CRSがこの非対話型モデルを可能にします。

適切なセットアップパラメーターがなければ、証明者と検証者が証明の作成や検証に必要な数学的な参照情報を共有できない場合があります。

SNARKの種類によって、CRSの要件は異なります。

一部の旧来型システムでは、回路ごとに別々の信頼されたセットアップが必要です。

新しいシステムの中には、ユニバーサルまたは更新可能なセットアップモデルを採用するものもあります。

異なる暗号設計によって、信頼されたセットアップの必要性を減らしたり、なくしたりする証明システムもあります。

そのため、暗号資産プロジェクトは、zk-SNARKを使っていると言うだけで説明を終えるべきではありません。

セットアップモデル、CRSの種類、監査プロセス、アップグレード手順を説明する必要があります。

CRSとzk-rollup

zk-rollupとは、妥当性証明を使ってオフチェーンのトランザクション群が正しく処理されたことを証明するブロックチェーンのスケーリングシステムです。

ethereum.orgのzk-rollupドキュメントでは、CRSが証明と検証の公開パラメーターを提供するため、ZK-SNARKプロトコルで必要となる場合があると説明されています。

zk-rollupでは、証明者が多数のトランザクションをまとめて証明を作成します。

ベースとなるブロックチェーンは、バッチ内のすべてのトランザクションを再実行する代わりに、その証明を検証します。

これにより、ベースレイヤーで必要なデータ量や計算量を削減できます。

zk-rollupがCRSベースの証明システムを使う場合、CRSはそのロールアップの信頼性とセキュリティに関わる要素となります。

そのロールアップが信頼されたセットアップを利用しているか、セットアップが回路固有か、将来のアップグレードに新たなセレモニーが必要かをユーザーは確認してください。

不正なCRSや侵害されたCRSは、妥当性証明システムの信頼性を損なう可能性があります。

適切なセットアッププロセスは、ロールアップの証明が偽造されにくいという信頼を支えます。

そのため、CRS設計は単なる学術的な話題ではありません。スケーリングシステムにおける実際のユーザー資金に影響する可能性があります。

CRSとKZGコミットメント

KZGコミットメントは、現代のブロックチェーンのスケーリング研究や実装で使用される多項式コミットメント方式の一つです。

多項式コミットメントを使うと、多項式をコミットした当事者が、その多項式全体を開示せずに、後から値に関する主張を証明できます。

大きなデータ構造をコンパクトに検証できるため、データ可用性、ロールアップのスケーリング、証明システムで役立ちます。

EIP-4844では、Ethereumのスケーリングロードマップの一環としてKZGコミットメントとKZG証明を使う、blobを含むトランザクションが導入されました。

EIP-4844の仕様では、プロトコル設計におけるblobトランザクションとKZG証明の検証について説明されています。

KZGコミットメントは、構造化されたセットアップ情報に依存します。

このセットアップ情報は一般にSRSと呼ばれ、CRSの特殊な形式とみなすことができます。

KZGベースのシステムのセキュリティは、セットアップ時に特定の秘密乱数が破棄されていることに依存します。

このため、KZGセレモニーは暗号資産分野のエンジニアリングで大きな注目を集めています。

KZG SRSは単なる技術ファイルではありません。利用するアプリケーションにとって、長期にわたる暗号学的な依存要素となる可能性があります。

ユニバーサルCRSと回路固有CRS

回路固有のCRSは、特定の回路または計算のために生成されます。

回路が変更されると、新たなセットアップが必要になる場合があります。

ブロックチェーンアプリケーションは時間の経過とともにアップグレードされることが多いため、これは不便な場合があります。

ユニバーサルCRSまたはユニバーサルSRSは、一定のサイズまたは複雑さの上限まで、複数の回路をサポートできます。

多くのアプリケーションが同じセットアップ情報を再利用できるため、開発が容易になる場合があります。

更新可能なCRSでは、元のセットアップ後に新たな参加者が乱数を追加できます。

セットアップに新しい寄与を継続的に追加できるため、信頼性が高まる可能性があります。

ユニバーサル方式や更新可能な方式が重要になったのは、信頼されたセットアップセレモニーを繰り返す運用負担を軽減するためです。

ただし、ユニバーサルだからといって無制限という意味ではありません。

ユニバーサルCRSにも通常、適用範囲、前提条件、対応する楕円曲線、回路サイズの上限、実装ルールがあります。

開発者は、構築するアプリケーションにCRSが適合するかを引き続き確認する必要があります。

透明性の高い証明システムとCRS

透明性の高い証明システムは、信頼されたセットアップセレモニーを必要としません。

代わりに、公開乱数、ハッシュ関数、または秘密のセットアップ情報を必要としない別の構成を利用する場合があります。

zk-STARKは、多くのzk-SNARKのような信頼されたセットアップCRSを必要としないため、透明性の高い証明システムと説明されることがよくあります。

これが、一部のブロックチェーンアプリケーションでSTARKベースのシステムが有力視される理由の一つです。

その代わり、透明性の高いシステムでは、証明サイズ、検証コスト、証明者側のコスト、実装要件が異なる場合があります。

信頼されたセットアップが不要なシステムが、あらゆる用途で自動的に優れているわけではありません。

CRSベースのSNARKは、より小さな証明と効率的な検証を実現できる場合があります。

透明性の高い証明システムは、異なる性能上のトレードオフを受け入れることで、セットアップへの信頼を減らせる場合があります。

優れたプロトコル設計では、セキュリティ上の前提、コスト、性能、開発者向けツール、監査の品質、長期的な保守性を比較します。

ユーザーにとって重要な点はシンプルです。ZKシステムにはCRSが必要なものもあれば、信頼されたCRSを不要にする設計のものもあります。

CRSのセキュリティリスク

CRSに関する最大のリスクは、セットアップが侵害されることです。

秘密のセットアップ情報が破棄されていない場合、一部の証明システムでは攻撃者が証明を偽造できる可能性があります。

ブロックチェーンが偽の証明を有効なものとして受け入れると、偽造のリスクは深刻なものになり得ます。

決済システムでは、非公開残高のルールやシールドされたトランザクションの有効性が脅かされる可能性があります。

ロールアップでは、オフチェーンの状態遷移の正しさが脅かされる可能性があります。

ブリッジでは、入金、出金、クロスチェーン状態に関する主張が脅かされる可能性があります。

別のリスクとして、回路または証明システムに適合しないCRSを使うことがあります。

CRS、回路、証明鍵、検証鍵、実装の不整合は、セキュリティを損なったり、証明の失敗を招いたりする可能性があります。

3つ目のリスクは、セレモニーの透明性が不十分なことです。

ユーザーがCRSの生成方法を検証できなければ、プロジェクトチームの説明を信頼せざるを得ません。

4つ目のリスクは、セットアップ時のソフトウェア管理が不十分なことです。

マルウェア、質の低い乱数、隠れたバックドア、安全でないビルドプロセスは、セレモニーを損なう可能性があります。

したがって、CRSのセキュリティは暗号学上の問題であると同時に、運用上のセキュリティ問題でもあります。

開発者によるCRSの利用方法

開発者は、証明の生成と検証に依存するアプリケーションを構築する際にCRSを使用します。

CRSは、信頼できるリリースからダウンロードしたり、セレモニーで生成したり、ソフトウェアに組み込んだり、プロトコル仕様で参照したりする場合があります。

証明者側のソフトウェアはセットアップ情報を使い、回路に対する有効な証明を生成します。

検証者側のソフトウェアは、関連する検証情報を使って効率的に証明を確認します。

スマートコントラクトシステムでは、検証鍵をオンチェーンの検証コントラクトに配置する場合があります。

これにより、ブロックチェーンは秘密の証人を確認せずに証明の有効性を検証できます。

開発者は、CRSが正しいセレモニーから取得されたものであり、使用する証明システムの正確なバージョンに適合していることを確認しなければなりません。

また、ハッシュ、署名、再現可能なビルド、公式ドキュメント、監査報告書も確認する必要があります。

セットアップのわずかな不一致でも、検証失敗、ガス代の浪費、アプリケーションの障害、セキュリティの低下につながる可能性があります。

そのため、本番環境のZKシステムでは、セットアップファイルを重要なインフラとして扱います。

CRSとプライバシーコイン

zk-SNARKを使用するプライバシー重視の暗号資産システムでは、歴史的にCRSが重要な役割を果たしてきました。

プライバシープロトコルでは、ゼロ知識証明を使い、機密性の高いトランザクション情報を開示せずに、シールドされたトランザクションが有効であることを証明できます。

初期の効率的なzk-SNARK設計は、信頼されたセットアップセレモニーに依存することがよくありました。

Zcashは、信頼されたセットアップと、その後のセットアップ廃止が主要な研究テーマとなった、よく知られた暗号資産プロジェクトの一つです。

zk-SNARKに関するZcashの解説では、ZcashがHalo 2を用いたOrchardのシールド型決済プロトコルを導入し、Haloが信頼されたセットアップを不要にしながら、非公開のデジタル決済をサポートすると説明されています。

この進化は、CRSの設計が時とともに変化することを示しています。

初期のシステムでは、小さな証明と実用的な性能を得るために、信頼されたセットアップを受け入れる場合があります。

後続のシステムでは、セットアップへの信頼を減らす、またはプロトコルの重要な部分から取り除く証明設計へ移行する場合があります。

ユーザーにとって重要なのは、プライバシーに関する主張を、セットアップの前提と併せて評価することです。

優れたプライバシープロトコルは、何を隠すのかだけでなく、どのような信頼上の前提が必要かも説明する必要があります。

CRSとブロックチェーンのアップグレード

新しい回路や証明システムに新たなセットアップ情報が必要となる場合があるため、ブロックチェーンのアップグレードではCRSが課題になることがあります。

プロトコルがトランザクションルール、スケーリング設計、証明システムを変更すると、既存のCRSでは不十分になる可能性があります。

回路固有のセットアップでは、大規模なアップグレードの際に新しいセレモニーが必要となる場合があります。

ユニバーサルセットアップは柔軟性を高める可能性がありますが、依然として制限があります。

プロトコルチームは、セットアップの変更をどのように提案、監査、実行、公開、有効化するかを計画する必要があります。

アップグレードによって証明の前提が知らないうちに弱まらないという信頼をユーザーが持てるよう、ガバナンスも重要です。

適切なアップグレードプロセスでは、旧セットアップ、新セットアップ、移行リスク、検証上の変更を文書化する必要があります。

分散型システムでは、CRSの変更が証明の有効性に依存するすべてのユーザーに影響する可能性があるため、コミュニティによるレビューが重要です。

預け入れ、出金、非公開残高、ロールアップの状態ルートを保護するシステムでは、特に重要です。

そのため、CRSのガバナンスは暗号資産の長期的なセキュリティの一部です。

CRSベースの暗号資産プロジェクトを評価する方法

最初に確認するのは、そのプロジェクトがCRSベースの証明システムを使っているかどうかです。

次に、CRSが単独の当事者によって生成されたのか、公開の複数参加者型セレモニーで生成されたのかを確認します。

3つ目に、セットアップが回路固有、ユニバーサル、更新可能のいずれであるかを確認します。

4つ目に、セレモニーの記録、ソフトウェア、パラメーター、検証手順が公開されているかを確認します。

5つ目に、独立した研究者や監査人がセットアップと証明システムをレビューしているかを確認します。

6つ目に、将来のアップグレードで新しいセットアップが必要になるかを確認します。

7つ目に、パラメーターのハッシュを公式リリースと照合してユーザーが検証できるかを確認します。

8つ目に、セットアップが侵害された場合の影響をプロジェクトが説明しているかを確認します。

9つ目に、証明システムの脆弱性に対する緊急対応計画があるかを確認します。

10番目に、その証明システムがプロトコルで保護する価値に適しているかを確認します。

こうした質問を通じて、ユーザーはマーケティング上の主張にとどまらず、実際の暗号学的な前提を評価できます。

CRSに関するよくある誤解

よくある誤解の一つは、CRSを秘密にしておく必要があるというものです。

ほとんどの証明システムではCRSは公開されており、危険なのは、破棄すべきセットアップ時の秘密乱数が残ることです。

もう一つの誤解は、すべてのゼロ知識システムに信頼されたセットアップが必要だというものです。

信頼されたセットアップセレモニーを避ける透明性の高い証明システムもあります。

3つ目の誤解は、1つのCRSがあらゆるアプリケーションに使えるというものです。

CRSは、証明システム、楕円曲線、回路サイズ、または特定のアプリケーション設計に紐づいている場合があります。

4つ目の誤解は、信頼されたセットアップは必ず危険だというものです。

適切に設計された複数参加者型セレモニーでは、少なくとも1人の誠実な参加者による寄与が攻撃者に知られなければ、信頼を軽減できます。

5つ目の誤解は、CRSは開発者だけに関係するため、ユーザーは気にする必要がないというものです。

実際には、CRSはプライバシープロトコル、ロールアップ、ブリッジ、証明ベースのアプリケーションの安全性に影響する可能性があります。

よくある質問

暗号資産分野でCRSとは何を意味しますか？

CRSはCommon Reference Stringを意味し、一部のゼロ知識証明システムで証明の生成と検証に使用される公開参照データです。

CRSとSRSは同じですか？

CRSはより広い概念であり、SRSは通常、特定のSNARKや多項式コミットメント方式で使われる構造化されたCRSを指します。

zk-SNARKにCRSが必要なのはなぜですか？

多くのzk-SNARKでは、証明者と検証者が、非対話型の証明の生成と検証を支える公開パラメーターを共有するためにCRSが必要です。

CRSは非公開ですか？

いいえ。CRSは通常公開情報ですが、信頼されたセットアップを使うシステムでは、生成に使われた秘密の乱数を破棄しなければなりません。

信頼されたセットアップにおけるtoxic wasteとは何ですか？

toxic wasteとは、攻撃者が保持している場合に、一部の証明システムで偽の証明を作成できる可能性がある秘密のセットアップ情報です。

CRSセレモニーとは何ですか？

CRSセレモニーとは、1人以上の参加者が証明システム用の公開参照文字列を生成するセットアッププロセスです。

複数参加者型セレモニーが使われるのはなぜですか？

CRSの生成時に、単一の信頼された参加者への依存を減らすために使われます。

zk-STARKに信頼されたCRSは必要ですか？

zk-STARKは一般に透明性の高い証明システムと説明され、多くのzk-SNARKシステムのような信頼されたセットアップCRSを必要としません。

不正なCRSによって暗号資産が危険にさらされることはありますか？

はい。プロトコルが残高、出金、ブリッジの主張、ロールアップの状態に影響する偽の証明を受け入れる場合、侵害されたCRSは危険なものとなります。

ユーザーはCRSの信頼上の前提をどのように確認できますか？

プロジェクトのドキュメント、セレモニーの記録、パラメーターのハッシュ、監査、証明システムの詳細、アップグレード手順を確認できます。

まとめ

CRS（Common Reference String）はゼロ知識暗号の基礎的な概念であり、現代の暗号資産システムにおける重要なセキュリティ上のテーマです。

証明者が証明を作成し、検証者がそれを確認するための共有公開パラメーターを提供します。

多くのzk-SNARKシステムでは、CRSは信頼されたセットアップによって作成されます。そのため、セットアッププロセスは高いセキュリティと透明性をもって実施する必要があります。

秘密のセットアップ情報が破棄され、セレモニーが適切に設計されていれば、CRSベースのシステムは効率的でコンパクトな証明検証を支えられます。

秘密のセットアップ情報が侵害されると、一部のシステムは証明の偽造に対して脆弱になる可能性があります。

このため、プライバシープロトコル、zk-rollup、KZGコミットメント、ブリッジ、IDシステム、その他の証明ベースの暗号資産アプリケーションにおいて、CRSの設計が重要です。

重要なポイントは、CRSは通常公開情報である一方、その生成に伴う信頼上の前提を理解する必要があるということです。

ゼロ知識証明を使う暗号資産プロジェクトを評価する際は、CRSの生成方法、セットアップが信頼型か透明型か、ユニバーサルか回路固有か、将来のアップグレードで証明パラメーターをどのように扱うかを確認してください。