Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

5 Perfekte Zero–Knowledge Arguments mit polynomieller Rundenzahl
Die Zero–Knowledge Eigenschaften des Protokolls entsprechen der Definition 3.1 mit
folgenden Änderungen:
• Die Maschine M ∗ hat lediglich eine erwartete polynomielle Laufzeitbeschränkung.
• {view S
E ∗(x)}x∈L und {M ∗ (x)}x∈L sind identisch.
Das verwendete Bit–Commitment–Scheme entspricht dem Grundprinzip aus Definition
2.16. Es wird nachfolgend konkretisiert:
Definition 5.1 (Perfekt sicheres Commitment–Scheme)
Sei (S, E) ein interaktives Beweissystem, σ ∈ {0, 1}, p ein beliebiges Polynom und n ein
genügend großer Sicherheitsparameter. Ein Protokoll heißt perfekt sicheres Commitment–Scheme,
wenn gilt:
• Geheimhaltung: Wenn S dem Protokoll folgt, kann E nach der Festlegungsphase
{view S(σ)
E (n)}n∈ mit keiner größeren Wahrscheinlichkeit als 1
2
+ 1
p(n) schätzen.
• Festlegung: Wenn E dem Protokoll folgt, kann S nach der Festlegungsphase mit
einer Wahrscheinlichkeit von mindestens 1 − 1 nur einen möglichen Wert auf-
p(n)
decken.
Anmerkung: Man beachte, dass für die Definition des perfekt sicheren Commitment–
Schemes der Empfänger E nicht polynomiell beschränkt sein muss. Es wird betont, dass
die Geheimhaltung nicht darauf aufbaut, dass E polynomiell beschränkt ist. Reicht eine
polynomielle Rechenzeit für E jedoch aus, so wird das Verfahren ” effizient“ genannt,
worauf sich das vorliegende Protokoll konzentriert.
Bei der Definition der Eigenschaften, die das Bit–Commitment haben muss, wurde
ein Szenario vorausgesetzt, in dem {view S
E(n)}n∈ von E nicht mit einer höheren Wahr-
scheinlichkeit als 1
2 geschätzt werden kann. Im Allgemeinen15 bekommt E während der
Kommunikation aber möglicherweise Informationen übermittelt, die es E erlauben könnten,
mit einer Wahrscheinlichkeit größer als 1 zu schätzen. Die Definition für diesen Fall
2
sieht vor, dass der Vorteil, den E als Ergebnis der Festlegungsphase gewinnt, kleiner als
1 sein muss. Alle Resultate des vorgestellten Protokolls umfassen diesen allgemeinen
p(n)
Fall.
Definition 5.2 (Polynomzeit simulierbar)
Ein Commitment–Scheme wird als in Polynomzeit simulierbar (im Hinblick auf den
Empfänger) bezeichnet, wenn für einen Empfänger E ∗ die Wahrscheinlichkeitsverteilung
{view S
E ∗(x)}x∈L als Teil von {M ∗ (x)}x∈L in erwarteter Polynomialzeit gemäß Zero–Knowledge
Definition simuliert werden kann.
15 Da das vorliegende Protokoll für alle Einweg–Permutationen gültig ist, sind diesbezüglich keine Ein-
schränkungen möglich.
43