Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
Zur Vorbereitung auf das Bit–Commitment–Scheme einigen sich der Prover und Verifier
auf ein große Primzahl p, für die beide die Faktorisierung von p − 1 kennen. Derartige
Primzahlen können mittels effizienter Verfahren gefunden werden. Darüber hinaus
einigen sich Prover und Verifier über ein erzeugendes Element α ∈ ∗ p. Aufgrund der
polynomiellen Berechenbarkeit sind beide Eigenschaften von beiden Teilnehmern leicht
zu prüfen.
Diese beiden Parameter α und p müssen nicht bei jeder Kommunikation geändert
werden. Zusammen mit der Faktorisierung von p − 1 können sie öffentlich bekannt sein
und von einem Trust-Center verwaltet werden, wenn sie einmal überprüft wurden. Ist
eine Zahl i ∈ p−1 gegeben, kann sehr leicht α i berechnet werden. Es ist aber kein
effizienter Algorithmus bekannt, diesen Prozess zu invertieren, wenn die Faktoren von
p − 1 groß genug gewählt wurden.
Um ein Bit ν ∈ {0, 1} in einem Commitment zu verschlüsseln, wählt zuerst der
Empfänger ein beliebiges s ∈ ∗ p und sendet es dem Sender. Dieser wählt ein zufälliges
r ∈R p−1 und berechnet x = α r s ν . Diese x ist das Commitment und wird dem
Empfänger gesendet. Das r wird dabei vom Sender geheim gehalten. Soll das Commitment
geöffnet werden, wird das r vom Sender an den Empfänger gesendet, der einfach
x = α r s ν überprüfen kann.
Da die exp α Funktion eine Permutation ist, kann jedes Element aus ∗ p dafür genutzt
werden, sowohl eine 0 als auch eine 1 in einem Commitment zu verschlüsseln, welche über
∗ p gleichverteilt sind. Daher ist es für den Empfänger informationstheoretisch unmöglich,
ein 0–Commitment von einem 1–Commitment zu unterscheiden.
6.3 Täuschungsmöglichkeit des Provers
Unter bestimmten Voraussetzungen kann mit dem bisherigen Verfahren der Prover immer
noch betrügen. Dazu ein ein kleines Beispiel:
Beispiel 8
In Schritt 2 des Protokolls 6.1 verschlüsselt der Verifier seine Wahl, dass das Bit y später
in Schritt 4 vom Prover geöffnet werden soll, mit einem zufällig gewählten r ∈R p−1 und
berechnet e = α r s y . Dieses Commitment wird an den Prover gesendet, der seinerseits
ein Bit x = y in einem Commitment mit x = α q e mit einem zufällig gewählten q ∈R
p−1 erstellt. Bis jetzt kann der Prover dieses Commitment natürlich nicht wechselseitig
öffnen. Nichtsdestotrotz wird der Verifier sein r in Schritt 4 öffnen und an den Prover
senden. Jetzt hat der Prover die Möglichkeit, sein Commitment von x als Bit y mittels
eines ” Zeugnisses“ q + r zu öffnen, da x = α q+r s y gilt (q und r sind Elemente von p−1
und werden modulo p − 1 addiert).
Dieses Problem enspringt nicht dem Protokoll 6.1 sondern wohnt der unzureichenden
Definition des Bit–Commitment–Schemes inne. Es reicht nicht aus, per Definition zu
55