Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
5 Perfekte Zero–<strong>Knowledge</strong> Arguments mit polynomieller Run<strong>de</strong>nzahl<br />
2. E berechnet y = f(x) und überprüft,<br />
• ob die B(hj, y), 1 ≤ j ≤ n − 1, <strong>de</strong>n von S in <strong>de</strong>r Festlegungshase Pkt.<br />
3 übersandten ηj entsprechen und<br />
• ob y = yσ, falls η = 0 bzw. ob y = y1−σ, falls η = 1 ist .<br />
Es ist klar, dass das Protokoll in Polynomialzeit von bei<strong>de</strong>n Parteien ausgeführt<br />
wer<strong>de</strong>n kann. Nachfolgend wird gezeigt, dass es tatsächlich ein perfekt sicheres Bit–<br />
Commitment-Protokoll ist.<br />
5.4 Beweis <strong>de</strong>r Sicherheit<br />
Als erstes wird die grundlegen<strong>de</strong> Eigenschaft als Bit–Commitment–Scheme bewiesen.<br />
Satz 5.2<br />
Falls eine Einweg–Permutation f existiert, dann ist das Schema aus Protokoll 5.1 ein<br />
perfekt–sicheres berechenbar–ein<strong>de</strong>utiges Bit–Commitment–Scheme.<br />
Der Beweis folgt aus <strong>de</strong>n bei<strong>de</strong>n folgen<strong>de</strong>n Sätzen, <strong>de</strong>m Sicherheits-Satz und <strong>de</strong>m<br />
Ein<strong>de</strong>utigkeits-Satz.<br />
Satz 5.3 (Sicherheits-Satz)<br />
Nach <strong>de</strong>r Festlegungsphase ist für je<strong>de</strong>n Empfänger E ∗ das Bit σ informationstheoretisch<br />
sicher verborgen.<br />
Beweis:<br />
Induktiv kann über j geprüft wer<strong>de</strong>n, dass für je<strong>de</strong> Wahl <strong>de</strong>r h1, . . . , hj die bedingte<br />
Wahrscheinlichkeit von y über h1, . . . , hj und η1, . . . , ηj in <strong>de</strong>m von h1, . . . , hj und<br />
η1, . . . , ηj <strong>de</strong>finierten Unterraum gleichverteilt ist. Somit ist die Wahrscheinlichkeit in<br />
<strong>de</strong>r Festlegungsphase bei Pkt. 4, dass y = y0 ist, exakt 1.<br />
Daher wird mit η keine Infor-<br />
2<br />
mation über σ verbreitet.<br />
Satz 5.4 (Ein<strong>de</strong>utigkeits-Satz)<br />
Angenommen, es existiert eine probabilistische polynomiell–beschränkte Maschine S ∗ (n),<br />
die <strong>de</strong>m Protokoll in <strong>de</strong>r Festlegungsphase folgt, und einem ehrlichen Empfänger für ein<br />
σ zwei unterschiedliche Werte mit nichtvernachlässigbarer Wahrscheinlichkeit (bezüglich<br />
<strong>de</strong>r Münzwürfe) ε = ε(n) offenbarte. Dann existierte auch eine probabilistische polynomiell–beschränkte<br />
Maschine A, die für eine nichtvernachlässigbare Anzahl von y ∈<br />
{0, 1} n f invertieren kann.<br />
Beweis:<br />
Es wird eine Maschine A <strong>zu</strong>m Invertieren von f unter Anwendung eines <strong>de</strong>rartigen<br />
S ∗ konstruiert. A hat eine feste Polynomialzeit-Grenze und bricht die Berechnung ab,<br />
45