Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

5 Perfekte Zero–Knowledge Arguments mit polynomieller Rundenzahl
wenn die Grenze überschrittten wird. Unter der Annahme, dass eine Menge Ω von ε(n)
Bruchteilen von Zeichenketten existiert, und unter der Voraussetzung, dass S ∗ mit ω ∈ Ω
initialisiert wird, kann S ∗ zwei unterschiedliche Werte von σ nach der Festlegungsphase
von n − 1 Runden aufdecken. Mit der Festlegung eines beliebigen aber festen ω wird S ∗
als deterministische Maschine betrachtet. Das ist möglich, weil A mit dem Zufallsband
von S ∗ wiederholt ausgeführt werden kann und initialisiert wird mit ωi, i := 1, ..., m = 1
ε2 und der Wahrscheinlichkeit der ωi ∈ Ω von 1 − e−√m ∗
. Daher wird S nachfolgend als
determinstischer Algorithmus betrachtet.
Die Antworten ηi von S ∗ auf die Fragen hi von E definieren einen Baum T mit
Wurzel, dessen Kanten aus {0, 1} markiert werden. Ein Pfad von der Wurzel zu einem
Blatt ist durch die Zuweisung von h1, . . . , hn−1 definiert und wird mit den η1, . . . , ηn−1
gekennzeichnet. Ein Knoten U in Stufe i entspricht einem Zustand von S ∗ nach i − 1
Schritten und wird definiert durch h1, . . . , hi−1 und η1, . . . , ηi−1. Die abgehenden Kanten
von U entsprechen den 2 n−i möglichen Fragen von E. Diese Kanten werden mit den
Antworten von S ∗ markiert. Zu beachten ist, dass die Antwort aufgrund einer möglichen
Täuschung seitens S ∗ nicht konsistent sein muss und auf dieselbe Frage unterschiedliche
Antworten in Abhängigkeit der vorhergehenden Fragen gegeben werden könnten.
Bezeichne u ein Blatt, dann ist {yo(u), y1(u)} die Menge, die aus den Antworten von
S ∗ folgt. u wird als gut bezeichnet, wenn gilt: Sei u durch die Fragen von E festgelegt.
Dann kann S ∗ das Bit–Commitment auf zwei unterschiedliche Wege öffnen; S ∗ invertiert
sowohl y0(u) als auch y1(u).
Protokoll 5.2 (Beschreibung von A)
A erhält als Eingabe eine zufällige Zeichenkette y ∈ {0, 1} n und versucht y
zu invertieren. Um f −1 (y) zu berechnen, versucht A, ein gutes Blatt u zu
finden, so dass y ∈ {y0(u), y1(u)} gilt. An der Wurzel beginnend entwickelt
A Knoten für Knoten einen Pfad, der zu y konsistent ist. Sei j fest gewählt
mit n − 8 log
ε + 1 . Für j Runden führt A folgendes aus: Für 1 ≤ i < j
sind in Runde i die h1, . . . , hi−1 definiert, so dass die Marken η1, . . . , ηi−1 mit
ηi = B(hi, y) bestehen. Dann wird ein zufälliges h aus 0i−11{0, 1} n−i gewählt.
Anmerkung: h ist linear unabhängig von hk für k < i. Wenn die Kante h
die Markierung B(h, y) hat, wird hi = h und der Pfad wird durch den neuen
Knoten erweitert. Andernfalls wird S ∗ auf den Zustand vor seiner Antwort zurückgesetzt
und ein neuer Kandidat für hi wird ausgewählt. Das wird solange
wiederholt, bis entweder ein erfolgreiches hi gefunden wurde oder kein Kandidat
mehr übrig ist. Im diesem Fall bricht A die weitere Berechnung ab. Wenn A
die j-te Stufe erreicht, schätzt A die restlichen n − j Fragen hj, hj+1, . . . , hn−1
und prüft, ob der Pfad zu dem Blatt zu B(y, hi) konsistent markiert ist. Wenn
das der Fall und das erreichte Blatt gut ist, konnte A y invertieren.
46