Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

3 Zero–Knowledge Proof
einiger Wahrscheinlichkeit sagen kann, welches Zeugnis A verwendet. Das Protokoll ist
Zeugnis–verbergend, wenn am Ende der Kommunikation B kein neues Zeugnis berechnen
kann, welches er nicht schon zu Beginn der Interaktion kannte.
In [FS90a] werden dabei zwei zentrale Resultate bewiesen:
1. Im Gegensatz zu Zero–Knowledge Protokollen bleibt die Zeugnis–ununterscheidbarkeit
auch unter beliebiger Komposition, insbesondere also auch unter paralleler
Ausführung erhalten.
2. Wenn eine Aussage mindestens zwei unabhängige Zeugnisse hat, dann ist jedes
Zeugnis–ununterscheidbare Protokoll für diese Aussage auch Zeugnis–verbergend.
Der entscheidende Unterschied zu Zero–Knowledge Protokollen ist dabei, dass in
dem Ausgabeprotokoll des Provers eines Zero–Knowledge Protokolls überhaupt keine
Information vorhanden ist, die der Verifier nicht auch selber berechnen könnte. Bei einem
Zeugnis–verbergenden Protokoll ist lediglich gefordert, dass in einem Ausgabeprotokoll
des Provers keine Information über das Geheimnis bzw. das Zeugnis enthalten ist.
Definition 3.4 (Zeugnis–ununterscheidbar)
Seien R eine binäre Relation, L = L(R) eine Sprache, x ein genügend großes Wort
aus L und R(x) die Menge der Zeugnisse für x. Ein Beweissystem (P, V) ist Zeugnis–ununterscheidbar
über R, wenn für jeden Verifier V ∗ , alle z1, z2 ∈ R(x)
und jede Hilfsfunktion f(·) für V ∗ die Familien {viewV ∗(P(x, z1), V ∗ (x, f(x)))}x∈L und
{viewV ∗(P(x, z2), V ∗ (x, f(x)))}x∈L ununterscheidbar sind.
Im Unterschied zur Zero–Knowledge Definition wird dabei kein Simulator benötigt.
In [FS90a] wird bewiesen, dass unter der Voraussetzung der Existenz von Einweg–
Funktionen jede N P Sprache ein Zeugnis–ununterscheidbares Beweissystem mit konstanter
Rundenzahl hat.
Das Konzept des Zeugnis–verbergends ist eine mögliche Alternative zu Zero–Knowledge.
Es stellt geringere Anforderungen als Zero–Knowledge, erfüllt aber in vielen Fällen
die Sicherheitsanforderungen in kryptographischen Protokollen.
Im Rahmen dieser Arbeit ist die Eigenschaft eines Protokolls, Zeugnis–verbergend
zu sein, nicht weiter relevant, so dass auf weitergehende Erläuterungen verzichtet wird.
3.6 Statistisch Korrekt versus Berechenbar Korrekt
Eine weitere Unterscheidungsmöglichkeit bei bekannten Zero–Knowledge Protokollen ist
die aus der Sicht des Verifiers, d.h. dass nach dem Grad der Korrektheit des Provers
unterschieden wird. 9
9 Siehe dazu Definition 4.1, Korrektheitsbedingung, auf Seite 37
34