Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

5 Perfekte Zero–Knowledge Arguments mit polynomieller Rundenzahl
5.1 Hintergrund
Das Protokoll hat zwei Stufen. Zuerst wird gezeigt, wie ein informationstheoretisch sicheres
Bit–Commitment–Scheme zwischen zwei polynomiell beschränkten Maschinen
entworfen wird, welches auf jeder Einweg–Permutation aufbaut. Die Grundidee dazu
wurde, jedoch unter anderen Voraussetzungen, von Ostrovsky, Venkatesan und Yung in
[OVY91] für unbeschränkte Maschinen veröffentlicht. Über dieses Verfahren hinaus ist
das jetzt vorgestellte Protokoll so beschaffen, dass es in einer erwarteten polynomiellen
Zeit simulierbar ist. Danach wird eine Reduktion des ” perfekt-sicheren simulierbaren
Bit–Commitment–Schemes“ auf ” perfekte Zero–Knowledge Argument“ angewendet. Das
grundsätzliche Schema, um verschiedene Commitments mit verschiedenen Zero–Knowledge
Systemen zu verbinden, wurde u.a. [IY87] entnommen.
In dem vorgestellten Protokoll werden ausschließlich polynomiell–beschränkte Teilnehmer
vorausgesetzt. Es wurde ausdrücklich als Modell für die kryptographische Anwendung
entwickelt. Ferner werden keine Trapdoor Eigenschaften benutzt, da Bit–Commitments
und sichere interaktive Beweise keine Entschlüsselung benötigen sondern lediglich
die Urbilder der Commitments beweisen sollen.
5.2 Modell und Definitionen
Die zugrunde liegende Arbeit [NOVY92] beschreibt kein ” vollständiges“ Zero–Knowledge
Argument, sondern lediglich den dafür wichtigsten Teil der Bit–Commitments für eine
Reduktion auf ein Zero–Knowledge Argument. Die Teilnehmer des Bit–Commitment-
Protokolls werden als Sender S und Empfänger E bezeichnet. In einer tatsächlichen
Implementation eines Zero–Knowledge Arguments mit diesem Bit–Commitment–Scheme
kann daher der Prover P als Sender oder Empfänger der Commitments vorkommen.
Dieses ist abhängig davon, wie und für welchen Zweck das vorgestellte Bit–Commitment–Scheme
in einem Zero–Knowledge Argument eingesetzt wird.
Zugrunde liegt ein interaktives Argumentsystem mit Zusatzeingabe gemäß Abschnitt
12, Seite 37, so dass beide Maschinen polynomiell–beschränkt sind. Es wird unterstrichen,
dass S zwar nur polynomielle Zeit benötigt, um das Protokoll zu erfüllen. Die Sicherheit
bleibt aber auch erhalten, wenn S unbegrenzte Rechenkapazität hätte.
Die Zusatzeingabe für den Sender S liegt in Form eines ” Zeugnisses“ für die Behauptung
vor. Der Empfänger E erhält keine Zusatzeingabe.
O.b.d.A wird hier angenommen, dass der Beweis eine Lösung für ein beliebiges SAT-
Problem darstellt (andernfalls kann jedes N P-Problem zusammen mit dem Zeugnis als
Zusatzeingabe erst auf SAT reduziert werden). Am Ende des Protokolls akzeptiert E den
Beweis oder weist ihn zurück.
finanziellen Transaktionsprotokollen eingesetzt, obwohl er nicht mehr als sicher gilt und Ende der
90er Jahre des letzten Jarhunderts bereits innerhalb weniger Tagen berechnet werden konnte.
42