Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

7 Berechenbare Zero–Knowledge Arguments mit konstanter Rundenzahl
Algorithmus, der für einen ε großen Teil von h ∈R Hn eine Kollision für h mit einer
Wahrscheinlichkeit von O(ε 2 ) erzeugt. Das steht im Widerspruch zur Kollisionsresistenz
gegen n log n große Widersacher der Hn Familie.
Nicht-uniforme Simulation: Der Beweis dafür, dass Protokoll 7.7 die Simulationseigenschaft
erfüllt, ist ähnlich dem der uniformen (Lemma 7.2). Es muss gezeigt werden,
dass ein Simulator S GenProt ′ für Protokoll 7.7 existiert, so dass für jeden polynomiell
großen Verifier V ∗ S GenProt ′(V ∗ ) ein Tupel (v, σ) ausgibt, so dass v berechenbar unun-
terscheidbar von view ∗
V (·) ist und dass σ ein Zeugnis dafür ist, dass das zu v gehörende
Kommunikationsprotokoll τ aus Λ ist.
Protokoll 7.8
Eingabe:
• 1 n : Sicherheitsparameter
• V ∗ : Ein polynomiell großer Schaltkreis (o.B.d.A. ist V ∗ deterministisch).
Simulierter Schritt V1: (Auswahl einer Hashfunktion) Berechnung von h =
V ∗ (): Die erste Nachricht von V ∗ .
Simulierter Schritt P2: (Commitment für V ∗ ’s Programm) Bezeichne Π den
Algorithmus für die nächste Nachricht von V ∗ . Berechnung eines zufälligen
w ∈R Com(h(Π), s), wobei s ∈R {0, 1} poly(n) Münzwürfe für das
Commitment–Scheme sind.
Simulierter Schritt V3: (Berechnung der Antwort von V ∗ ) Berechnung der
Antwort von V ∗ auf die Nachricht w. Das heißt, r = Π(w) = V ∗ (w).
Ausgabe: Das Tupel (v, σ) mit v als die Sicht w und σ = (Π, s) als Zeugnis
für (h, w, r) ∈ Λ.
Protokoll 7.8 ist ein Simulator für Protokoll 7.7. Die Ausgabe von Protokoll 7.8 ist
ein Tupel (v, σ), so dass v = w ist (was das Kommunikationsprotokoll (h, w, r) mit
h = V ∗ (·) und r = V ∗ (w) impliziert) und σ = (Π, s) ein Zeugnis für v ∈ Λ ist. Die zwei
Eigenschaften, die von (v, σ) benötigt werden, sind folgende:
1. v ist berechenbar ununterscheidbar von view ∗
V (·) in einer realen Ausführung. Dieses
folgt aus dem Umstand, dass Com ein Commitment–Scheme ist und somit
Com(h(Π)) ununterscheidbar von Com(h(O 3n )) ist.
2. Das zu v passende Kommunikationsprotokoll τ ist aus Λ und σ ist ein Zeugnis dafür.
Das zu v passende Kommunikationsprotokoll ist (h, w, r). Das Tupel σ = (Π, s)
ist ein Zeugnis dafür, da w = Com(h(Π), s) ist und Π(w) in einer polynomiellen
Anzahl von Schritten (und damit kleiner als |r|
log log |r|
5 ) r ausgibt. Zu beachten
ist dabei, dass die Zeit zum Verifizieren, dass σ ein Zeugnis für τ ist, tatsächlich
polynomiell zur Laufzeit von V ∗ ist.
95