Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
2 Definitionen<br />
• Ein<strong>de</strong>utigkeit (engl. binding property): Der Sen<strong>de</strong>r kann <strong>de</strong>n Wert nach <strong>de</strong>r Festlegungsphase<br />
nicht mehr än<strong>de</strong>rn.<br />
• Geheimhaltung (engl. hiding property): Der Empfänger lernt vor <strong>de</strong>r Öffnungsphase<br />
nichts über <strong>de</strong>n Wert.<br />
Ausgehend von Brassard, Chaum und Crépeau wer<strong>de</strong>n Commitments auch manchmal<br />
als blobs bezeichnet [BCC88, BCY89].<br />
Damit kann jetzt die allgemeine Definition <strong>de</strong>s Bit–Commitment–Schemes erfolgen.<br />
Definition 2.16 (Bit–Commitment–Scheme)<br />
Sei (S, E) ein interaktives Beweissystem (S für Sen<strong>de</strong>r und E für Empfänger) und σ ∈<br />
{0, 1} das nur S bekannte Bit. (S, E) ist ein Bit–Commitment–Scheme, wenn gilt<br />
• Geheimhaltung (engl. hiding):<br />
Der Empfänger E kann vor <strong>de</strong>r Öffnung ein 0–Commitment nicht von einem 1–<br />
Commitment unterschei<strong>de</strong>n, selbst wenn er von <strong>de</strong>m Protokoll abweicht. Sei E ∗ eine<br />
beliebige (möglicherweise täuschen<strong>de</strong>) Turing Maschine. Dann sind nach <strong>de</strong>r Festlegungsphase<br />
{viewE ∗((S(σ = 0), E ∗ )(n))}n∈ und {viewE ∗((S(σ = 1), E ∗ )(n))}n∈<br />
statistisch rsp. berechenbar ununterscheidbar.<br />
• Festlegung o<strong>de</strong>r Ein<strong>de</strong>utigkeit (engl. binding):<br />
Seien ν ∈ {0, 1} das nur S bekannte Bit und n ∈ beliebig. Nach <strong>de</strong>r Festlegungsphase<br />
sei viewE((S(ν), E)(n)) ein mögliches ν-Commitment. Dann darf<br />
viewE((S(ν), E)(n)) berechenbar rsp. statistisch nicht gleichzeitig ein mögliches 0–<br />
Commitment und ein mögliches 1–Commitment sein.<br />
Die gemeinsame Eingabe n kann dabei als ein beliebig gewählter Sicherheitsparameter<br />
angesehen wer<strong>de</strong>n.<br />
Anmerkung: Alle nachfolgen<strong>de</strong>n Protokolle von Bit–Commitment–Scheme sind entwe<strong>de</strong>r<br />
statistisch ein<strong>de</strong>utig o<strong>de</strong>r statistisch geheim, aber nicht bei<strong>de</strong>s gleichzeitig, wie bei<br />
Goldreich [Gol01] o<strong>de</strong>r Pfitzmann [Pfi99] nachgelesen wer<strong>de</strong>n kann. Intuitiv besteht <strong>de</strong>r<br />
Grund darin, dass nach <strong>de</strong>r Festlegungsphase entwe<strong>de</strong>r zwei Möglichkeiten <strong>zu</strong>r Öffnung<br />
<strong>de</strong>s Commitments bestehen, dann ist es nicht statistisch ein<strong>de</strong>utig, o<strong>de</strong>r es existiert nur<br />
eine, dann ist es nicht statistisch geheim.<br />
Um mittels eines Commitment–Schemes nicht nur ein einzelnes Bit son<strong>de</strong>rn ganze<br />
Zeichenketten verschlüsseln <strong>zu</strong> können, ist es notwendig, das Bit–Commitment–Scheme<br />
mehrfach entwe<strong>de</strong>r sequenziell o<strong>de</strong>r parallel aus<strong>zu</strong>führen. Es wur<strong>de</strong> nachgewiesen (z.B. in<br />
[GMW86, Gol01]), dass die Geheimhaltung bei sequenzieller Ausführung aller Bit–Commitment–Scheme<br />
erhalten bleibt. Dem entgegen steht jedoch die Erkenntniss, dass dieses<br />
16