does如何帮助确保zcash协议的安全？

Question

我一直在第2部分和第4部分的Explaining SNARKs系列之间来回走动。

• 在第二部分中，有人声称Bob对多项式有一个概念，并希望通过发送$(g，s.g，.，s^d.g)$和检查答案$P(s).g$来测试Alice是否知道它。
• 在第四部分中，我们指出，现在Alice返回两个多项式$a‘= P(s).g$和$b'=\alpha P(s).g$，分别由$(g，s.g，.，s.g^D.G)$和$(alpha.g，\alpha s.g，.，α^D.G)$计算。但是现在Bob只检查$b‘=\alpha.a.a’$，如果是这样，那么Alice很可能知道$(c_0，.，c_d)$。

My问题：知道d的用途是什么？

• 如果Bob知道$P$，并且<>Alice不使用P正确回答的概率很低，那么可验证性就已经得到了保证。
• 如果在alpha中，<>Alice返回$a‘=\β.g$和$b’=\ .g$，则我们有$b'=\alpha。一美元。因此，如果Bob只检查是否相等，他可能会被愚弄。

我真想知道我错过了什么..。

Answer 1

两点：

• 鲍勃不知道$P$，这部分是协议的要点。
• 爱丽丝可以用$\alpha$-对$(a'，b') = (\beta，\alpha\beta g)$来响应，这没有什么问题。这意味着她的系数是$c_0=\beta，c_i=0$代表$i>1$。

但是，只有当她的系数$(c_0，\cdots，c_d)$实际上为QAP提供了一个解决方案时，这才会对她有任何好处。

Answer 2

这证明了爱丽丝用了(g，S)G，.。。、S d.G)和(α)。G，αS.G，.。。、αS d.(G)相同的线性组合。

需要额外的测试(稍后在教程或本教程在这里中解释)，以确保由我们的QAP的有效解决方案产生的线性组合。