CRS（通用参考字符串）

什么是 CRS（通用参考字符串）？

CRS 是 Common Reference String（通用参考字符串）的缩写，是零知识证明系统使用的一组共享公开密码学参数。

在加密货币领域，CRS 最常与 zk-SNARK、隐私协议、有效性证明、zk-rollup、多项式承诺和区块链扩容系统相关。

CRS 为证明者和验证者提供共同基础，使证明者无需披露隐私信息，也能生成并验证证明。

证明者使用 CRS 生成证明，验证者则使用相同的 CRS 检查证明是否有效。

ethereum.org 的零知识证明指南说明，在某些零知识系统中使用的公开参数统称为通用参考字符串。

CRS 不是密码、私钥、钱包助记词或用户秘密。

它通常是公开信息，但其生成方式可能极为敏感。

如果 CRS 以诚信方式生成，且秘密设置材料被销毁，证明系统就可以按预期运行。

如果 CRS 的生成过程不诚实，或秘密设置材料被保留，某些证明系统可能允许生成伪造证明。

因此，在加密货币领域使用的许多零知识系统中，CRS 安全性是最重要的信任假设之一。

CRS 对加密货币为何重要

CRS 很重要，因为零知识证明已成为区块链隐私、扩容、身份和可验证计算的核心技术。

零知识证明让人们能够证明某个陈述属实，而无需披露该陈述背后的隐藏数据。

在加密货币领域，这可能意味着证明一笔隐私交易有效、证明一批链下交易计算正确，或证明用户符合某项规则而不披露全部个人数据。

许多高效的 zk-SNARK 系统需要在生成和验证证明前准备好公开参数。

这些公开参数就是 CRS，或与之密切相关的结构，例如结构化参考字符串（SRS）。

ZKProof 关于设置仪式的讨论说明，zk-SNARK 将 CRS 作为证明和验证的公开参数。

因此，CRS 的质量对开发者和用户都很重要。

开发者需要确认 CRS 是否与电路、证明系统和安全模型匹配。

用户则需要了解协议依赖的是可信设置、通用设置、可更新仪式，还是无需可信设置的透明证明系统。

对加密货币投资者和交易者而言，CRS 听起来可能很技术化，但它可能影响隐私币、zk-rollup、跨链桥、证明系统和代币化应用的可信度。

CRS 如何运作

CRS 为证明系统的所有参与者提供相同的公开参考数据。

证明者使用这些参考数据，将隐私见证和公开陈述转换为简洁证明。

验证者使用相同的参考数据，检查证明是否按照系统规则生成。

公开陈述是待验证的主张。

隐私见证则是使该陈述成立的隐藏信息。

例如，用户可以证明一笔交易符合协议规则，而不披露完整的隐私交易详情。

CRS 帮助证明系统将数学陈述、隐私见证和验证算法联系起来。

在许多 zk-SNARK 系统中，CRS 会在普通用户生成证明前创建。

这一步的设置可能针对单个电路，也可能足够通用，可支持多个电路。

具体细节取决于证明系统、密码学假设和实现设计。

CRS 的生成、存储、发布和验证方式应尽量降低隐蔽篡改的可能性。

CRS、SRS 与公开参数

CRS 通常是证明系统公开参考数据的统称。

SRS 是 Structured Reference String（结构化参考字符串）的缩写，通常指具有特殊代数结构的参考字符串。

“公开参数”是更广义的说法，可以包括 CRS、SRS、证明密钥、验证密钥及其他设置输出。

在非正式的加密货币讨论中，人们有时会将 CRS 和 SRS 当作同义词使用。

在更技术化的文稿中，SRS 通常指某些 SNARK 或多项式承诺方案使用的一种特定 CRS。

ZKDocs 关于 KZG 多项式承诺的指南介绍了 KZG 承诺的预生成公开参数，并指出这些参数有时称为结构化参考字符串。

这一区别很重要，因为不同证明系统使用的设置材料并不相同。

有些系统需要针对特定电路生成 CRS。

有些系统使用通用 SRS，可支持达到特定规模的多个电路。

有些系统采用透明设计，完全不需要可信设置仪式。

开发者应始终核实项目所说的 CRS、SRS、设置参数、证明密钥和验证密钥具体指什么。

可信设置与 CRS

可信设置是某些零知识证明系统生成 CRS 的过程。

之所以称为“可信”，是因为参与者必须相信设置过程正确完成，且所有秘密随机数都已销毁。

这些隐藏的设置材料通常称为“有毒废料”（toxic waste）。

如果攻击者掌握了未销毁的有毒废料，在某些系统中就可能生成虚假证明。

这并不意味着所有 CRS 都不安全。

这意味着某些基于 CRS 的系统，其安全性取决于设置过程是否安全。

可信设置可以由单一参与方执行，但这会带来严重的信任问题。

现代系统通常倾向于采用多方仪式，以减少对单一参与者的依赖。

在许多多方设置仪式的设计中，只要至少一名诚实参与者贡献随机数并销毁其秘密贡献，系统就仍可保持安全。

因此，公开仪式通常力求提高参与度、透明度、可复现性和独立验证能力。

对加密货币用户而言，关键问题不仅是 CRS 是否存在，还包括它是如何生成的。

多方计算仪式

多方计算仪式是一种设置流程，许多相互独立的参与者共同贡献随机数来生成 CRS。

其目的是避免将全部设置秘密交由单个人、公司、验证者群体或开发团队保管。

每位参与者都会向仪式加入熵，然后销毁自己的私密贡献。

在许多仪式设计中，只要至少一名参与者诚实行事，最终 CRS 就能保持安全。

当证明系统需要可信设置，而社区又希望减少对任何单一参与方的信任时，通常会采用这一模式。

Ethereum KZG 仪式是加密货币领域的知名公开仪式案例，用于生成 KZG 承诺所需的设置材料。

Ethereum Foundation 的 KZG 仪式总结将其描述为一项公开流程，为 EIP-4844 提供密码学基础。

仪式应公布足够信息，以便他人审计流程。

良好的仪式设计还应防范恶意贡献、薄弱随机数、软件入侵和集中协调风险。

完善的仪式不能让系统完全没有风险，但可以降低 CRS 背后的信任负担。

CRS 与 zk-SNARK

zk-SNARK 是 Zero-Knowledge Succinct Non-Interactive Argument of Knowledge（零知识简洁非交互式知识论证）的缩写。

许多 zk-SNARK 系统验证速度快、证明体积小，因此适用于区块链。

小型证明很重要，因为区块链存储和验证成本可能很高。

非交互式证明也很重要，因为证明者只需生成一次证明并发布，任何人都可以在之后验证。

在许多 SNARK 构造中，CRS 有助于实现这种非交互模式。

缺少正确的设置参数时，证明者和验证者可能没有生成和验证证明所需的共同数学参考数据。

不同的 SNARK 系列对 CRS 的要求各不相同。

一些较早的系统要求为每个电路单独进行可信设置。

一些较新的系统采用通用设置或可更新设置模式。

有些证明系统通过采用不同的密码学设计，减少或消除了对可信设置的需求。

因此，加密项目不能只说自己使用 zk-SNARK 就不再作进一步说明。

项目还应解释设置模式、CRS 类型、审计流程和升级路径。

CRS 与 zk-rollup

zk-rollup 是一种区块链扩容系统，它通过有效性证明验证链下交易批次是否被正确处理。

ethereum.org 的 zk-rollup 文档说明，ZK-SNARK 协议可能需要 CRS，因为它为有效性证明的生成和验证提供公开参数。

在 zk-rollup 中，证明者为一批交易生成一个证明。

基础区块链验证该证明，而不是重新执行批次中的每笔交易。

这可以减少基础层所需的数据和计算量。

如果 rollup 使用基于 CRS 的证明系统，CRS 就是其信任和安全机制的一部分。

用户应关注该 rollup 是否使用可信设置、设置是否针对特定电路，以及未来升级是否需要新的仪式。

错误或遭到入侵的 CRS 可能削弱有效性证明系统。

完善的设置流程有助于增强信心，使人相信 rollup 的证明难以伪造。

因此，CRS 设计并非纯粹的学术议题，它可能影响扩容系统中的真实用户资金。

CRS 与 KZG 承诺

KZG 承诺是一种多项式承诺方案，应用于现代区块链扩容研究和部署。

多项式承诺允许参与者对多项式作出承诺，并在之后证明有关其数值的主张，而无需披露整个多项式。

这适用于数据可用性、rollup 扩容和证明系统，因为它可以简洁地验证大型数据结构。

EIP-4844 引入了携带 blob 的交易，并将 KZG 承诺和 KZG 证明纳入 Ethereum 扩容路线图。

EIP-4844 规范介绍了 blob 交易以及协议设计中的 KZG 证明验证。

KZG 承诺依赖结构化设置材料。

这类设置材料通常称为 SRS，可以将其理解为一种专门形式的 CRS。

基于 KZG 的系统能否安全运行，取决于设置过程中是否销毁某些秘密设置随机数。

因此，KZG 仪式在加密工程领域备受关注。

KZG SRS 不只是一个技术文件，因为使用它的应用可能会长期依赖它。

通用 CRS 与电路专用 CRS

电路专用 CRS 是为某个特定电路或计算生成的。

如果电路发生变化，项目可能需要重新进行设置。

这可能不太方便，因为区块链应用通常会随着时间升级。

通用 CRS 或通用 SRS 可支持达到特定规模或复杂度上限的多个电路。

这可以简化开发，因为多个应用能够重复使用相同的设置材料。

可更新 CRS 允许新的参与者在原始设置后继续加入随机数。

由于设置可以持续接收新的贡献，这可能提高信任度。

通用和可更新设计之所以重要，是因为它们降低了反复举行可信设置仪式的运营负担。

不过，“通用”并不意味着没有限制。

通用 CRS 通常存在范围、假设、支持的曲线、最大电路规模和实现规则等限制。

开发者仍需确认 CRS 是否适合其应用。

透明证明系统与 CRS

透明证明系统不需要可信设置仪式。

它可能采用公开随机数、哈希函数或其他无需秘密设置材料的构造。

zk-STARK 通常被描述为透明系统，因为它们不像许多 zk-SNARK 那样需要可信设置 CRS。

这也是 STARK 系统对部分区块链应用具有吸引力的原因之一。

权衡之处在于，透明系统的证明大小、验证成本、证明者成本或实现要求可能有所不同。

无需可信设置的系统并不代表在所有用途中都更好。

基于 CRS 的 SNARK 可能提供更小的证明和更高效的验证。

透明证明系统可能降低设置方面的信任要求，但需要接受其他性能权衡。

良好的协议设计会比较安全假设、成本、性能、开发者工具、审计质量和长期可维护性。

对用户而言，关键点很简单：有些 ZK 系统需要 CRS，有些系统则旨在避免依赖可信 CRS。

CRS 安全风险

CRS 面临的最大风险是设置过程遭到入侵。

如果秘密设置材料没有被销毁，在某些证明系统中，攻击者可能伪造证明。

伪造风险可能十分严重，因为区块链可能会接受虚假证明，并将其视为有效。

在支付系统中，这可能威胁隐私余额规则或隐蔽交易的有效性。

在 rollup 中，这可能威胁链下状态转换的正确性。

在跨链桥中，这可能威胁有关存款、提现或跨链状态的主张。

另一个风险是将错误的 CRS 用于错误的电路或证明系统。

CRS、电路、证明密钥、验证密钥和实现之间不匹配，可能破坏安全性或导致证明失败。

第三个风险是仪式透明度不足。

如果用户无法验证 CRS 的生成过程，就只能相信项目团队的说法。

第四个风险是设置过程中的软件卫生不佳。

恶意软件、随机数质量不佳、隐藏后门或不安全的构建流程都可能破坏仪式。

因此，CRS 安全既是密码学问题，也是运营安全问题。

开发者如何使用 CRS

开发者在构建依赖证明生成和验证的应用时会使用 CRS。

CRS 可能从可信发布渠道下载、通过仪式生成、嵌入软件，或由协议规范引用。

证明者软件使用设置材料为电路生成有效证明。

验证者软件使用相关验证材料高效地检查证明。

在智能合约系统中，验证密钥可能会放入链上验证合约。

这样，区块链就可以在不查看隐私见证的情况下验证证明是否有效。

开发者必须确保 CRS 来自正确的仪式，并与准确的证明系统版本匹配。

开发者还应检查哈希、签名、可复现构建、官方文档和审计报告。

哪怕设置稍有不匹配，也可能导致验证失败、Gas 费浪费、应用故障或安全性降低。

因此，生产级 ZK 系统会将设置文件视为关键基础设施。

CRS 与隐私币

历史上，CRS 对使用 zk-SNARK 的隐私型加密货币系统十分重要。

隐私协议可以使用零知识证明，在不暴露敏感交易详情的情况下证明隐蔽交易有效。

早期高效的 zk-SNARK 设计通常依赖可信设置仪式。

Zcash 是最知名的加密货币项目之一，其可信设置及后续取消设置成为重要研究主题。

Zcash 对 zk-SNARK 的说明指出，Zcash 通过 Halo 2 引入了 Orchard 隐蔽支付协议，并介绍了 Halo 如何取消可信设置，同时支持隐私数字支付。

这一演进说明 CRS 设计会随时间变化。

早期系统可能会接受可信设置，以获得更小的证明和实用的性能。

后续系统可能转向降低设置信任要求，或在协议关键部分完全取消设置的证明设计。

对用户而言，重要的是应结合设置假设评估隐私声明。

完善的隐私协议应说明它隐藏了哪些信息，以及需要哪些信任假设。

CRS 与区块链升级

区块链升级可能带来 CRS 相关挑战，因为新的电路或证明系统可能需要新的设置材料。

如果协议更改交易规则、扩容设计或证明系统，旧 CRS 可能不再适用。

重大升级可能需要针对电路专用设置重新举行仪式。

通用设置可能提供更大的灵活性，但仍有局限。

协议团队必须规划如何提出、审计、执行、发布和启用设置变更。

治理同样重要，因为用户需要确信升级不会悄然引入更弱的证明假设。

良好的升级流程应记录旧设置、新设置、迁移风险和验证变更。

在去中心化系统中，社区审查十分重要，因为 CRS 变更可能影响所有依赖证明有效性的用户。

对于保障存款、提现、隐私余额或 rollup 状态根的系统而言，这一点尤其重要。

因此，CRS 治理也是加密货币长期安全的一部分。

如何评估基于 CRS 的加密项目

首先要确认项目是否使用基于 CRS 的证明系统。

其次要确认 CRS 是由单一参与方生成，还是通过公开的多方仪式生成。

第三要确认设置是电路专用、通用还是可更新的。

第四要确认仪式记录、软件、参数和验证说明是否公开。

第五要确认独立研究人员或审计机构是否审查过设置和证明系统。

第六要确认未来升级是否需要新的设置。

第七要确认用户能否将参数哈希与官方发布版本进行核对。

第八要确认项目是否说明设置遭到入侵会造成什么后果。

第九要确认系统是否为证明系统漏洞制定了应急响应计划。

第十要确认该证明系统是否适合协议所保障的资产价值。

这些问题有助于用户超越营销说法，评估实际的密码学假设。

关于 CRS 的常见误解

一种误解是 CRS 必须保密。

在大多数证明系统中，CRS 是公开的；真正的风险在于生成 CRS 时使用、且应被销毁的秘密随机数。

另一种误解是所有零知识系统都需要可信设置。

有些证明系统是透明的，无需可信设置仪式。

第三种误解是一个 CRS 可以用于所有应用。

CRS 可能受证明系统、曲线、电路规模或特定应用设计限制。

第四种误解是可信设置必然不安全。

如果至少有一份诚实贡献不为攻击者所知，设计良好的多方仪式可以降低信任风险。

第五种误解是 CRS 只是开发者需要关心的事，用户无须了解。

实际上，CRS 可能影响隐私协议、rollup、跨链桥或基于证明的应用是否安全。

常见问题

CRS 在加密货币领域是什么意思？

CRS 是 Common Reference String（通用参考字符串）的缩写，是某些零知识证明系统用于生成和验证证明的公开参考数据。

CRS 与 SRS 是一回事吗？

CRS 是更广义的术语，而 SRS 通常指某些 SNARK 和多项式承诺方案使用的一种结构化 CRS。

为什么 zk-SNARK 需要 CRS？

许多 zk-SNARK 需要 CRS，以便证明者和验证者共享支持非交互式证明生成和验证的公开参数。

CRS 是私密的吗？

不是。CRS 通常是公开的，但在可信设置系统中，用于生成 CRS 的秘密随机数必须销毁。

可信设置中的“有毒废料”是什么？

“有毒废料”是秘密设置材料；在某些证明系统中，如果攻击者保留这些材料，就可能生成虚假证明。

什么是 CRS 仪式？

CRS 仪式是由一个或多个参与者为证明系统生成公开参考字符串的设置流程。

为什么要采用多方仪式？

多方仪式旨在减少 CRS 生成过程对单一可信参与者的依赖。

zk-STARK 需要可信 CRS 吗？

zk-STARK 通常被视为透明证明系统，因为它们不像许多 zk-SNARK 系统那样需要可信设置 CRS。

不良 CRS 会危及加密货币资金吗？

会。如果协议接受伪造证明，并因此影响余额、提现、跨链桥主张或 rollup 状态，遭到入侵的 CRS 就可能造成严重风险。

用户如何了解 CRS 的信任假设？

用户可以查看项目文档、仪式记录、参数哈希、审计报告、证明系统详情和升级流程。

结语

CRS（通用参考字符串）是零知识密码学的基础概念，也是现代加密系统的重要安全议题。

它提供共享的公开参数，使证明者能够生成证明，验证者能够检查证明。

许多 zk-SNARK 系统通过可信设置生成 CRS，因此必须以严格的安全和透明标准处理设置过程。

如果秘密设置材料被销毁，且仪式设计完善，基于 CRS 的系统就可以支持高效、简洁的证明验证。

如果秘密设置材料遭到泄露，某些系统可能容易受到伪造证明攻击。

因此，CRS 设计关系到隐私协议、zk-rollup、KZG 承诺、跨链桥、身份系统和其他基于证明的加密应用。

关键要点是：CRS 通常是公开的，但必须了解其生成过程背后的信任假设。

评估零知识加密项目时，应了解 CRS 如何生成、设置是可信还是透明、设置是通用还是电路专用，以及未来升级将如何处理证明参数。