Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

5 Perfekte Zero–Knowledge Arguments mit polynomieller Rundenzahl
5.3 Perfekt–sicheres simulierbares Bit–Commitment
Das perfekt–sichere Schema wird nachfolgend aufgeführt und dessen Sicherheit bewiesen.
Grob skizziert funktioniert es wie folgt. Der polynomielle Sender S generiert eine
Bit-Verschlüsselung, die von zwei möglichen Verteilungen stammt. Der Sender wird die
Verschlüsselung aber nur als Element einer der beiden Verteilungen öffnen können, auch
wenn die Verteilungen identisch sind.
Das Schema baut auf beliebige Einweg–Permutationen auf.
Protokoll 5.1 (Perfekt–sicheres simulierbares Bit–Commitment)
Sei (S, E) ein interaktives Beweissystem mit Zusatzeingabe, f eine starke Einweg–Permutation
auf {0, 1} n , σ ∈ {0, 1} das nur S bekannte Bit und B(x, y)
das Skalarprodukt mod 2 von x und y.
Festlegungsphase:
1. Der Sender S wählt ein zufälliges x ∈R {0, 1} n und berechnet y = f(x). S
hält sowohl x als auch y vor E geheim.
2. Der Empfänger E wählt h1, . . . , hn−1 ∈ {0, 1} n so, dass jedes hi einen
zufälligen Vektor über GF (2) in der Form 0 i−1 1{0, 1} n−i darstellt. Zufällig
in diesem Sinn bedeutet, dass nach i−1 Nullen eine 1 folgt, an die sich eine
beliebige Wahl für die letzten n − i Positionen anschließt. Die h1, . . . , hn−1
sind linear unabhängig über GF (2).
3. Für j von 1 bis n − 1 gilt
• E sendet hj an S.
• S berechnet ηj = B(hj, y) und sendet ηj an E.
4. Zu diesem Zeitpunkt existieren genau zwei Vektoren y0, y1 ∈ {0, 1} n , die
ηj = B(hj, yi) erfüllen 16 mit i ∈ {0, 1} und 1 ≤ j ≤ n − 1. Dabei wird
y0 als der lexikographisch kleinere der beiden Vektoren definiert. S und E
berechnen beide y0 und y1.
Sei
η =
5. S berechnet η und sendet es an E.
Öffnungsphase:
1. S sendet σ und x an E.
0 wenn y = yσ
1 wenn y = y1−σ
16 Dass zwei Vektoren ηj = B(hj, yi) erfüllen, liegt an der Eigenschaft von B(x, y) und daran, dass die
h1, . . . , hn−1 linear unabhängig über GF(2) sind.
44