Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
Dieses erste Bit–Commitment–Scheme, mit dem der Verifier seine Wahl an den Prover
übermittelt, muss dabei in Bezug auf die Geheimhaltung nur für die Dauer der Kommunikation
sicher sein. Eine berechenbare Sicherheit reicht dabei aus, wenn aufgrund
der gewählten Sicherheitsparameter gewährleistet ist, dass der Prover in den wenigen
Sekunden oder Minuten bis zum Aufdecken der gewählten Bits den kryptographischen
Algorithmus nicht brechen kann.
6.1 Grobkonzept des Algorithmus
Somit besteht der grundlegende Algorithmus des Protokolls von Brassard, Crépeau und
Yung aus folgenden Schritten. Dabei handelt es sich nur um einen groben Überblick. Die
Einzelheiten, insbesondere welche Parameter ausgetauscht werden und welche Inhalte
bzw. Bedeutungen die xk, yk und zk haben, werden im weiteren Verlauf dargestellt.
Protokoll 6.1 (Grobkonzept des Algorithmus)
Gemeinsame Eingabe:
• k: Sicherheitsparameter
• p und α, die nachfolgend in den zahlentheoretischen Voraussetzungen
erläutert werden.
Schritt V1: Der Verifier wählt ein s ∈ ∗ p und sendet es. Er wählt weiterhin
Bits y1, . . . , yk und sendet sie in einem Commitment.
Schritt P2: Der Prover sendet seinen Beweis x1, . . . , xk in einem Commitment.
Schritt V3: Der Verifier entschlüsselt seine Öffnungsaufforderungen y1, . . . , yk
für den Prover.
Schritt P4: Der Prover entspricht den Forderungen und sendet die gewünschten
z1, . . . , zk.
6.2 Zahlentheoretische Voraussetzungen
Das Verfahren beruht auf der Schwierigkeit, den diskreten Logarithmus einer ganzen
Zahl zu berechnen, siehe Abschnitt 2.8.5 ab Seite 27. Neben der multiplikativen Gruppe
∗ p = {1, . . . , p − 1} wird hier zusätzlich die additive Gruppe p−1 = {0, . . . , p − 2}
benötigt, in der modulo p − 1 addiert wird. Beide Gruppen enthalten dieselbe Anzahl an
Elementen. Für alle a, b, ν ∈ mit der Eigenschaft a ≡ 0 (mod p) und b ≡ ν (mod p−1)
gilt nach einem Satz von Fermat a b ≡ a ν (mod p). In diesem Sinne existiert ein x i für ein
x ∈ ∗ p und ein i ∈ p−1. Sei α ein erzeugendes Element von ∗ p. Dann ist die Funktion
exp α : p−1 → ∗ p, die definiert wird als exp α(i) = α i , eine Permutation.
54