Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
verhindern, dass ein Sender sein Commitment nicht zweideutig öffnen kann. Zusätzlich
ist erforderlich, dass der Sender zum Zeitpunkt der Erstellung des Commitments weiß,
wie er das Commitment öffnen kann. Mit anderen Worten darf es nicht möglich sein, ein
Bit zu verschlüsseln, welches noch nicht bekannt ist.
Entsprechende Commitments werden von Brassard, Crépau und Yung als ” EPRblobs“
bzw. als EPR–Commitments bezeichnet. 19 Die Gefahr dieser EPR-Commitments
besteht darin, dass diese nachträglich entweder 0–Commitments oder 1–Commitments
werden können, wenn der Prover weitere Informationen vom Verifier erhält.
Es wird daher ein Unterprozess zur Commitment Zertifizierung eingeführt. Dieses
erlaubt dem Prover den Verifier davon zu überzeugen, dass ein gegebenes Commitment
nicht EPR ist, ohne irgendwelche Informationen darüber zu veröffentlichen, ob es sich
um ein 0–Commitment oder ein 1–Commitment handelt.
6.4 Commitment Zertifizierung
Sei x ein nicht–EPR Commitment das aktuelle Commitment und ν ∈ {0, 1} die Bezeichnung
für x als ν–Commitment. Sei ferner z das Zeugnis des Provers, dass dieser das
Commitment öffnen kann, d.h. x = α z s ν . Um den Verifier davon überzeugen zu können,
dass er das Commitment x öffnen kann, erzeugt der Prover k zusätzliche Kontroll–
Commitments u1, . . . , uk, indem er k zufällige Bits b1, . . . , bk zusammen mit v1, . . . , vk
in p−1 wählt und ui = α vi s bi mit 1 ≤ i ≤ k berechnet. Diese Kontroll Commitments
werden dem Verifier übergeben. An diesem Punkt wählt der Verifier zufällige Öffnungsaufforderungen
h1, . . . , hk ∈ {0, 1} und sendet diese dem Prover. Für jedes hi = 0 öffnet
der Prover die Kontroll Commitments ui, indem er bi und vi übersendet. Für jedes hi = 1
zeigt der Prover, dass er das aktuelle Commitment x dann und nur dann öffnen kann,
wenn er das Kontroll Commitment ui öffnen kann. Dies geschieht folgendermaßen:
• Falls ν = bi ist, berechnet der Prover wi = vi − z und sendet es dem Verifier, der
ui = α wi x prüft;
• Falls ν = bi ist, berechnet der Prover wi = vi + z und sendet es dem Verifier, der
uix = α wi s prüft.
Beweis:
Wenn x kein EPR–Commitment ist, besteht der einzige Weg für den Prover zu täuschen
darin, die h1, . . . , hk vorher exakt zu raten. In diesem Fall kann der Prover die Kontroll
Commitments ui vorbereiten, falls hi = 0 ist oder andernfalls mit einem zufällig gewähltem
wi ∈ p−1 die ui zu berechnen mit ui = α wi (x · (1 − bi) + sx −1 · bi). Sollte irgendeines
19 Diese Bezeichnung wurde in Anlehnung an ein von Einstein-Podolsky-Rosen veröffentlichtes Para-
doxon der Quantenphysik gewählt.
56