NotesNotes要点

• Groth16 verification can be garbled with native EC group operations instead of Boolean circuits.
• The scheme is a projective partial garbling for conditional disclosure of invalid Groth16 proofs.
• Invalid proofs reveal a garbler-held secret; valid proofs hide it while the proof remains public.
• A rekeying gadget handles pairing when both arguments come from the evaluator, using one private scalar multiplication.
• A composition theorem transforms group encodings into bitwise projective encodings and extends projectivization to quadratic extension fields.
• The BN254 implementation yields a 2.4 MiB garbled program versus 48 GB Boolean garbling; privacy holds under DDH in the ROM.

• Groth16验证方程可用原生椭圆曲线群运算进行混淆，避免布尔电路实现
• 方案为射影部分混淆，用于对无效Groth16证明进行条件披露
• 当证明无效时求值会揭示混淆方持有的秘密；证明有效时秘密保持隐藏，证明本身仍公开
• 针对求值方提供配对两个参数的挑战，引入rekeying gadget，仅需一次私有标量乘法
• 组合定理将群编码转换为逐位射影编码，并把Duty-Free Bits的射影化扩展到二次扩域
• BN254实现生成2.4 MiB混淆程序，远优于48 GB布尔混淆，隐私在随机预言模型下归约至DDH

• Groth16検証はブール回路ではなくネイティブ楕円曲線群演算でガーブリングできる。
• 本方式は無効なGroth16証明の条件付き開示に向けた射影的部分ガーブリングである。
• 無効証明ではガーブラー保有の秘密が開示され、有効証明では隠蔽され、証明自体は公開のままである。
• 評価者が与えるペアリングの両引数に対処するため、1回の秘密スカラー乗算で済むrekeying gadgetを導入する。
• 合成定理により群エンコーディングをビット単位の射影エンコーディングへ変換し、Duty-Free Bitsの射影化を二次拡大体へ拡張する。
• BN254実装のガーブルプログラムは2.4 MiBで、48 GBのブール型ガーブリングより大幅に小さく、DDH仮定とROMでプライバシーを証明する。