Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
5 Perfekte Zero–<strong>Knowledge</strong> Arguments mit polynomieller Run<strong>de</strong>nzahl<br />
Die Zero–<strong>Knowledge</strong> Eigenschaften <strong>de</strong>s Protokolls entsprechen <strong>de</strong>r Definition 3.1 mit<br />
folgen<strong>de</strong>n Än<strong>de</strong>rungen:<br />
• Die Maschine M ∗ hat lediglich eine erwartete polynomielle Laufzeitbeschränkung.<br />
• {view S<br />
E ∗(x)}x∈L und {M ∗ (x)}x∈L sind i<strong>de</strong>ntisch.<br />
Das verwen<strong>de</strong>te Bit–Commitment–Scheme entspricht <strong>de</strong>m Grundprinzip aus Definition<br />
2.16. Es wird nachfolgend konkretisiert:<br />
Definition 5.1 (Perfekt sicheres Commitment–Scheme)<br />
Sei (S, E) ein interaktives Beweissystem, σ ∈ {0, 1}, p ein beliebiges Polynom und n ein<br />
genügend großer Sicherheitsparameter. Ein Protokoll heißt perfekt sicheres Commitment–Scheme,<br />
wenn gilt:<br />
• Geheimhaltung: Wenn S <strong>de</strong>m Protokoll folgt, kann E nach <strong>de</strong>r Festlegungsphase<br />
{view S(σ)<br />
E (n)}n∈ mit keiner größeren Wahrscheinlichkeit als 1<br />
2<br />
+ 1<br />
p(n) schätzen.<br />
• Festlegung: Wenn E <strong>de</strong>m Protokoll folgt, kann S nach <strong>de</strong>r Festlegungsphase mit<br />
einer Wahrscheinlichkeit von min<strong>de</strong>stens 1 − 1 nur einen möglichen Wert auf-<br />
p(n)<br />
<strong>de</strong>cken.<br />
Anmerkung: Man beachte, dass für die Definition <strong>de</strong>s perfekt sicheren Commitment–<br />
Schemes <strong>de</strong>r Empfänger E nicht polynomiell beschränkt sein muss. Es wird betont, dass<br />
die Geheimhaltung nicht darauf aufbaut, dass E polynomiell beschränkt ist. Reicht eine<br />
polynomielle Rechenzeit für E jedoch aus, so wird das Verfahren ” effizient“ genannt,<br />
worauf sich das vorliegen<strong>de</strong> Protokoll konzentriert.<br />
Bei <strong>de</strong>r Definition <strong>de</strong>r Eigenschaften, die das Bit–Commitment haben muss, wur<strong>de</strong><br />
ein Szenario vorausgesetzt, in <strong>de</strong>m {view S<br />
E(n)}n∈ von E nicht mit einer höheren Wahr-<br />
scheinlichkeit als 1<br />
2 geschätzt wer<strong>de</strong>n kann. Im Allgemeinen15 bekommt E während <strong>de</strong>r<br />
Kommunikation aber möglicherweise Informationen übermittelt, die es E erlauben könnten,<br />
mit einer Wahrscheinlichkeit größer als 1 <strong>zu</strong> schätzen. Die Definition für diesen Fall<br />
2<br />
sieht vor, dass <strong>de</strong>r Vorteil, <strong>de</strong>n E als Ergebnis <strong>de</strong>r Festlegungsphase gewinnt, kleiner als<br />
1 sein muss. Alle Resultate <strong>de</strong>s vorgestellten Protokolls umfassen diesen allgemeinen<br />
p(n)<br />
Fall.<br />
Definition 5.2 (Polynomzeit simulierbar)<br />
Ein Commitment–Scheme wird als in Polynomzeit simulierbar (im Hinblick auf <strong>de</strong>n<br />
Empfänger) bezeichnet, wenn für einen Empfänger E ∗ die Wahrscheinlichkeitsverteilung<br />
{view S<br />
E ∗(x)}x∈L als Teil von {M ∗ (x)}x∈L in erwarteter Polynomialzeit gemäß Zero–<strong>Knowledge</strong><br />
Definition simuliert wer<strong>de</strong>n kann.<br />
15 Da das vorliegen<strong>de</strong> Protokoll für alle Einweg–Permutationen gültig ist, sind diesbezüglich keine Ein-<br />
schränkungen möglich.<br />
43