问史塔克对BulletProofs？(更新)

EN

你的一些观点是有效的(例如，咆哮和斯塔克斯都比防弹更快)，但也有一些错误：

1. STARKs在验证级别上比SNARKs更快(1.6s比2.3 s)，而对于验证者来说，协议稍微慢一些(16 is比10 is)。
2. 如果用较短的字节表示，防弹衣只比STARKs小(1,300 B比45,000 B)，而比SNARKs大(1,300 B对288 B)

主要的区别(优点和缺点)是什么？

根据令人敬畏的ZKP回购的说法：

根据埃琳娜·纳迪林斯基( Elena )的“幻灯片”(Devcon4)的说法：

据Zooko‘s的主旨来自Devcon4的报道：

据科技暑期学校的Eli (STARKware) 主旨 (请注意，最后一张图片测量的是一个子集和求解器，可能比上面比较中的计算要复杂得多)：

斯塔克斯几乎比四处咆哮都要好:他们需要较弱的密码假设，不需要可信的设置，并且具有量子后抵抗能力。但他们有一个很大的缺点，因为证据是巨大的。

对于某些应用程序，比如我必须工作的应用程序，这是完全不可行的。我们不得不在几百字节的Snark证明和几百千字节的鲜明证明之间进行选择。那一个因素对我们来说是个杀手。

在斯塔克斯，核实的时间也比咆哮的时间大得多。前者是随时间增长的O(poly n)，而对于Snarks则是线性的，这是一个很小的常数，特别是在复杂电路中。请记住，这里是门的数目。

例如，拿一个电路来证明你知道某个哈希值的预图像.输入将是该输入的大小，如果使用SHA256，则为32字节。然而，对于这个函数，门的数目将是数万个，您可以看到，对于SNARK的验证时间是可以忽略不计的。

上表中的数字极具误导性。他们不会告诉你你有什么样的电路，以及n有多大。取决于你的电路有多复杂，它们可能有很大的不同。我更喜欢使用渐近表示法，在本论文中有一个很好的表(第3页)。

AFAIK防弹衣更短，但要验证它们需要更长的时间比Starks，从而使它无法扩展为区块链tx模糊。