Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
6 Perfekte Zero–<strong>Knowledge</strong> Arguments mit konstanter Run<strong>de</strong>nzahl<br />
verhin<strong>de</strong>rn, dass ein Sen<strong>de</strong>r sein Commitment nicht zwei<strong>de</strong>utig öffnen kann. Zusätzlich<br />
ist erfor<strong>de</strong>rlich, dass <strong>de</strong>r Sen<strong>de</strong>r <strong>zu</strong>m Zeitpunkt <strong>de</strong>r Erstellung <strong>de</strong>s Commitments weiß,<br />
wie er das Commitment öffnen kann. Mit an<strong>de</strong>ren Worten darf es nicht möglich sein, ein<br />
Bit <strong>zu</strong> verschlüsseln, welches noch nicht bekannt ist.<br />
Entsprechen<strong>de</strong> Commitments wer<strong>de</strong>n von Brassard, Crépau und Yung als ” EPRblobs“<br />
bzw. als EPR–Commitments bezeichnet. 19 Die Gefahr dieser EPR-Commitments<br />
besteht darin, dass diese nachträglich entwe<strong>de</strong>r 0–Commitments o<strong>de</strong>r 1–Commitments<br />
wer<strong>de</strong>n können, wenn <strong>de</strong>r Prover weitere Informationen vom Verifier erhält.<br />
Es wird daher ein Unterprozess <strong>zu</strong>r Commitment Zertifizierung eingeführt. Dieses<br />
erlaubt <strong>de</strong>m Prover <strong>de</strong>n Verifier davon <strong>zu</strong> überzeugen, dass ein gegebenes Commitment<br />
nicht EPR ist, ohne irgendwelche Informationen darüber <strong>zu</strong> veröffentlichen, ob es sich<br />
um ein 0–Commitment o<strong>de</strong>r ein 1–Commitment han<strong>de</strong>lt.<br />
6.4 Commitment Zertifizierung<br />
Sei x ein nicht–EPR Commitment das aktuelle Commitment und ν ∈ {0, 1} die Bezeichnung<br />
für x als ν–Commitment. Sei ferner z das Zeugnis <strong>de</strong>s Provers, dass dieser das<br />
Commitment öffnen kann, d.h. x = α z s ν . Um <strong>de</strong>n Verifier davon überzeugen <strong>zu</strong> können,<br />
dass er das Commitment x öffnen kann, erzeugt <strong>de</strong>r Prover k <strong>zu</strong>sätzliche Kontroll–<br />
Commitments u1, . . . , uk, in<strong>de</strong>m er k <strong>zu</strong>fällige Bits b1, . . . , bk <strong>zu</strong>sammen mit v1, . . . , vk<br />
in p−1 wählt und ui = α vi s bi mit 1 ≤ i ≤ k berechnet. Diese Kontroll Commitments<br />
wer<strong>de</strong>n <strong>de</strong>m Verifier übergeben. An diesem Punkt wählt <strong>de</strong>r Verifier <strong>zu</strong>fällige Öffnungsauffor<strong>de</strong>rungen<br />
h1, . . . , hk ∈ {0, 1} und sen<strong>de</strong>t diese <strong>de</strong>m Prover. Für je<strong>de</strong>s hi = 0 öffnet<br />
<strong>de</strong>r Prover die Kontroll Commitments ui, in<strong>de</strong>m er bi und vi übersen<strong>de</strong>t. Für je<strong>de</strong>s hi = 1<br />
zeigt <strong>de</strong>r Prover, dass er das aktuelle Commitment x dann und nur dann öffnen kann,<br />
wenn er das Kontroll Commitment ui öffnen kann. Dies geschieht folgen<strong>de</strong>rmaßen:<br />
• Falls ν = bi ist, berechnet <strong>de</strong>r Prover wi = vi − z und sen<strong>de</strong>t es <strong>de</strong>m Verifier, <strong>de</strong>r<br />
ui = α wi x prüft;<br />
• Falls ν = bi ist, berechnet <strong>de</strong>r Prover wi = vi + z und sen<strong>de</strong>t es <strong>de</strong>m Verifier, <strong>de</strong>r<br />
uix = α wi s prüft.<br />
Beweis:<br />
Wenn x kein EPR–Commitment ist, besteht <strong>de</strong>r einzige Weg für <strong>de</strong>n Prover <strong>zu</strong> täuschen<br />
darin, die h1, . . . , hk vorher exakt <strong>zu</strong> raten. In diesem Fall kann <strong>de</strong>r Prover die Kontroll<br />
Commitments ui vorbereiten, falls hi = 0 ist o<strong>de</strong>r an<strong>de</strong>rnfalls mit einem <strong>zu</strong>fällig gewähltem<br />
wi ∈ p−1 die ui <strong>zu</strong> berechnen mit ui = α wi (x · (1 − bi) + sx −1 · bi). Sollte irgen<strong>de</strong>ines<br />
19 Diese Bezeichnung wur<strong>de</strong> in Anlehnung an ein von Einstein-Podolsky-Rosen veröffentlichtes Para-<br />
doxon <strong>de</strong>r Quantenphysik gewählt.<br />
56