Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

2 Definitionen
• Eindeutigkeit (engl. binding property): Der Sender kann den Wert nach der Festlegungsphase
nicht mehr ändern.
• Geheimhaltung (engl. hiding property): Der Empfänger lernt vor der Öffnungsphase
nichts über den Wert.
Ausgehend von Brassard, Chaum und Crépeau werden Commitments auch manchmal
als blobs bezeichnet [BCC88, BCY89].
Damit kann jetzt die allgemeine Definition des Bit–Commitment–Schemes erfolgen.
Definition 2.16 (Bit–Commitment–Scheme)
Sei (S, E) ein interaktives Beweissystem (S für Sender und E für Empfänger) und σ ∈
{0, 1} das nur S bekannte Bit. (S, E) ist ein Bit–Commitment–Scheme, wenn gilt
• Geheimhaltung (engl. hiding):
Der Empfänger E kann vor der Öffnung ein 0–Commitment nicht von einem 1–
Commitment unterscheiden, selbst wenn er von dem Protokoll abweicht. Sei E ∗ eine
beliebige (möglicherweise täuschende) Turing Maschine. Dann sind nach der Festlegungsphase
{viewE ∗((S(σ = 0), E ∗ )(n))}n∈ und {viewE ∗((S(σ = 1), E ∗ )(n))}n∈
statistisch rsp. berechenbar ununterscheidbar.
• Festlegung oder Eindeutigkeit (engl. binding):
Seien ν ∈ {0, 1} das nur S bekannte Bit und n ∈ beliebig. Nach der Festlegungsphase
sei viewE((S(ν), E)(n)) ein mögliches ν-Commitment. Dann darf
viewE((S(ν), E)(n)) berechenbar rsp. statistisch nicht gleichzeitig ein mögliches 0–
Commitment und ein mögliches 1–Commitment sein.
Die gemeinsame Eingabe n kann dabei als ein beliebig gewählter Sicherheitsparameter
angesehen werden.
Anmerkung: Alle nachfolgenden Protokolle von Bit–Commitment–Scheme sind entweder
statistisch eindeutig oder statistisch geheim, aber nicht beides gleichzeitig, wie bei
Goldreich [Gol01] oder Pfitzmann [Pfi99] nachgelesen werden kann. Intuitiv besteht der
Grund darin, dass nach der Festlegungsphase entweder zwei Möglichkeiten zur Öffnung
des Commitments bestehen, dann ist es nicht statistisch eindeutig, oder es existiert nur
eine, dann ist es nicht statistisch geheim.
Um mittels eines Commitment–Schemes nicht nur ein einzelnes Bit sondern ganze
Zeichenketten verschlüsseln zu können, ist es notwendig, das Bit–Commitment–Scheme
mehrfach entweder sequenziell oder parallel auszuführen. Es wurde nachgewiesen (z.B. in
[GMW86, Gol01]), dass die Geheimhaltung bei sequenzieller Ausführung aller Bit–Commitment–Scheme
erhalten bleibt. Dem entgegen steht jedoch die Erkenntniss, dass dieses
16