参考文献：

1. [SMP88] Santis A, Micali S, Persiano G. Non-Interactive Zero-Knowledge with Preprocessing[C]//Advances in Cryptology—CRYPTO’88.
2. [LS90] Lapidot D, Shamir A. Publicly verifiable non-interactive zero-knowledge proofs[C]//Advances in Cryptology-CRYPTO’90: Proceedings 10. Springer Berlin Heidelberg, 1991: 353-365.

ZKP with Pre-processing

[SMP88] 提出了一个弱化版本的 NIZK 系统，叫做 ZKP with Pre-processing（PZK）。它是一个 IP 系统，可以明确地分成交互阶段和非交互阶段。在交互阶段，Prover 和 Verifier 仅仅交换一些和要证明的 statement 无关的信息（预处理）；在非交互阶段，Prover 发送 proof 给到 Verifier，后者不必回复。

PZK 应当具备如下的属性：

PZK for Hamiltonicity

[SMP88] 利用 any one-way encryption scheme 构造 PZK，后续 [LS90] 证明 PZK 只需要基于 OWF 存在性。他们构造了一个类似于 Blum’s ZK-PoK for Hamiltonian cycle 的 PZK，它的基础步骤是：

• 在交互阶段，
  1. P 和 V 生成 $n$ 个点的随机 HC，记为 $H$
  2. 将 $H$ 的邻接矩阵的各个 entry 替换为隐藏它的某随机串，记为矩阵 $S\in ({\Sigma }^{\ast }{)}^{n\times n}$
  3. 使得 P 知晓 $H$ 和 $S$，而 V 不知道 $H$ 但是持有 $S$
• 在非交互阶段，P 向 V 证明某个 $n$ 点的图 $G$ 包含 HC
  1. P 生成一个随机置换 $\pi$，将 $H$ 嵌入到 $G$，即 $\pi (H)\subseteq G$
  2. P 将 $\pi (H)$ 对应的（隐藏的）邻接矩阵 $\pi (S)$ 中的那些不是 $G$ 的边的邻接值揭示给 V，同时也发送 $\pi$
  3. V 检查这些被揭示的邻接值（就是检查它们和 $\pi (S)$ 的绑定关系），如果都是 $0$ 则接受（意味着 $\pi (H)$ 包含在 $G$ 内部），否则拒绝

这个过程是 ZK 的，容易被模拟。为了获得 PZK with negl. s.e.，可以这么做：

1. 在交互阶段，P 生成 $l$ 个随机矩阵 $S_1,\cdots ,S_l$ 发送给 V，然后 V 回应 $k$ 个随机比特 $c_1,\cdots ,c_l$
2. 在非交互阶段，假如 $c_i=0$ 那么 P 揭示 $S_i$ 的全部 entry 给 V（检查 $H_i$ 是个 HC），假如 $c_i=1$ 那么 P 就按照上述的基础步骤执行（检查 ${\pi }_i(H_i)\subseteq G$）

这个 PZK 和 Blum’s ZK-PoK 的区别是：前者只在最后的非交互阶段依赖于 $G$（为了 NIZK 只需较弱的假设），而后者的所有通信轮次都依赖于 $G$（为了 NIZK 需要很强的假设）

NIZK with CRS for any NP

[LS90] 把上述 PZK 的交互阶段，使用 common random string（CRS）来预计算：随机生成矩阵序列，使得高概率存在某个矩阵是 Hamiltonian matrix，将它用于上述的 PZK 执行。

为了从 CRS 中获得随机性（注意 CRS 是公开的固定比特串），P 使用 Goldreich-Levin Hard-core 来生成随机的 HC 邻接矩阵：

1. 目标矩阵是 B ∈ { 0 , 1 } n 2 × n 2 B \in \{0,1\}^{n^2 \times n^2} B∈{0,1}n2×n2，使得满足 $Pr(B_{ij}=1)=1/n^3,\forall i,j$
2. [LS90] 将恰好含有 $n$ 个 $1$ 且它们组成了 $n$ 阶置换子矩阵的 $B$ 称之为 proper，将 $n$ 阶置换子矩阵形成了 HC 的 $B$ 称之为 good
3. 将 CRS划分为 $k$ 比特的分块 $r_i$，给定某个 OWP $f$（P 可以求逆，V 不可以求逆），定义 $x_j=f^{-1}(r_{2j+0}),y_j=r_{2j+1}$，计算硬核 $s_j=⟨x_j,y_j⟩(\mathrm{mod}2)$，它们对 V 来说是不可预测的，形成了 hidden random string（HRS）
4. 再将 HRS 划分为 $m=\log (n^3)$ 比特的分块 $a_i$，设置 $b_i=1⟺a_i=2^m-1$，易知 $Pr(b_i=1)=1/n^3$，它们被用于构造随机矩阵 $B$
5. P 可以求逆 $f$ 构造出 $B$，而 V 需要验证它是否是 good 矩阵（要求 P 公开 $b_i$ 及其对应的 $x_j$，于是 V 可用 CRS 可以检验它们），从而被应用到上述的 PZK for HC 中
   1. 如果 $B$ 包含至少 $n+1$ 个 $1$，则揭示其中的 $n+1$ 个位置
   2. 如果 $B$ 包含至多 $n-1$ 个 $1$，则揭示全部的位置
   3. 如果 $B$ 存在某行/某列含有至少两个 $1$，则揭示这两个位置
   4. 现在 $B$ 是 proper 矩阵，揭示并消除那些全零的行/列，获得 $n$ 阶置换阵 $N$
   5. 如果 $N$ 不是汉密尔顿圈，那么揭示全部的位置
   6. 现在 $N$ 是 good 矩阵，它作为某随机 HC 的邻接矩阵，可以被应用到 PZK for HC 中
6. 将上述过程重复 $n^3$ 次，如果每次 V 检验 P 揭示的位置都是正确的，且每次的 PZK for HC 也都是接受，那么 V 就最终接受 P 的声明，否则拒绝

[LS90] 证明了随机矩阵 $B$ 恰好是一个汉密尔顿圈的概率是 $\ge d{n}^{-2}$，其中 $d$ 是某常数。如果使用 $2n^{7}km$ 比特的 CRS 生成 $n^3$ 个这种矩阵，那么以至少 $1-e^{-n}$ 的概率存在某个矩阵是 good 的。对上述的 PZK for HC 重复 $l$ 次以获得 negl. s.e.，则共计需要 $O(n^{7}kml)$ 比特的 CRS。

由于 HC 是一个 NPC 问题，因此假设 OWF/OWP 存在，那么就存在 NIZK with CRS for any NP。