Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

3 Zero–Knowledge Proof
3 Zero–Knowledge Proof
3.1 Definition des Zero–Knowledge Proofs
Aufgrund der besonderen Bedeutung der Zero–Knowledge Proofs sowohl in der theoretischen
Kryptographie als auch in der theoretischen Informatik wurden in der Folgezeit
unzählige Arbeiten über dieses Thema veröffentlicht. Neben den Hauptarbeiten
von Goldwasser, Micali und Rackoff [GMR85] sowie Goldreich, Micali und Widgerson
[GMW86] sowie ähnlich gelagerten Arbeiten wie die Arthur–Merlin Games von Babai
[Bab85] oder eine praxisnähere Abwandlung der Arbeiten aus [GMR85] durch Tompa
und Woll [TW87] ist als allgemeine Einführung insbesondere das Grundlagenwerk von
Goldreich [Gol01] zu erwähnen.
In dieser Arbeit soll nur ein einführender Überblick über Zero–Knowledge Proofs
gegeben werden, um dann in Kapitel 4 ab Seite 36 darauf aufbauend die Zero–Knowledge
Arguments zu definieren.
Kurz gesagt bedeutet Zero–Knowledge Proof ein interaktives Beweissystem (P, V ),
wenn dem Verifier V in der Interaktion mit dem Prover P für eine Eingabe x ∈ L keine
Information vermittelt wird, die V nicht selber aus x ohne Interaktion mit P berechnen
kann. Das gilt auch für einen eventuell täuschenden Verifier V ∗ . Zero–Knowledge ist
eine Eigenschaft des Prover P. Sie besagt, wie sicher P gegen Angriffe ist, die auf die
Herausgabe von Informationen gerichtet sind.
Zur Prüfung der Zero–Knowledge Eigenschaft wird daher ein formales Kriterium
benötigt, mit dem die Ausgabe von P während der gesamten Kommunikationsphase
mit beliebigen Verifiern V ∗ überprüft werden kann. Zur Prüfung wird für jede Maschine
V ∗ ein polynomiell–beschränkter Simulator konstruiert, so dass sich die Ausgabe dieses
Simulators (berechenbar) nicht von dem für V ∗ sichtbaren Protokoll unterscheidet.
Definition 3.1 (Zero–Knowledge Proof)
Sei (P, V ∗ ) ein interaktives Beweissystem für eine Sprache L mit x ∈ L. Dann hat
(P, V ∗ ) die Zero–Knowledge Eigenschaft bzw. ist ein Zero–Knowledge Proof, wenn für
jede Maschine V ∗ eine probabilistische polynomiell–beschränkte Maschine M ∗ existiert,
so dass die beiden Familien von Wahrscheinlichkeitsverteilungen {view P
V ∗(x)}x∈L und
{M ∗ (x)}x∈L (berechenbar) ununterscheidbar sind.
Dabei ist zu beachten, dass berechenbar ununterscheidbar eine Schwächung der Sicherheit
des Provers bedeutet, da in der Praxis der Verifier nach der Kommunikation
erheblich mehr Zeit und gegebenenfalls eine höhere Berechnungskomplexität zur Verfügung
haben kann, um aus dem Kommunikationsprotokoll eventuell doch noch weitere
Informationen zu berechnen.
30