Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
der hi falsch geraten worden sein, wird der Prover dabei erwischt, entweder das Kontroll
Commitment nicht öffnen zu können (falls tatsächlich hi = 0) oder das x nicht auf das
hi beziehen zu können (falls hi = 1). Die Wahrscheinlichkeit für ein erfolgreiches Raten
liegt bei 2 −k . Auf der anderen Seite ist offensichtlich, dass der Verifier nichts über ν
durch den Wert bi erfährt, falls hi = 0 ist, bzw. ob ν = bi ist, falls hi = 1 ist.
Es ist zu beachten, dass dieser Unterprozess parallel ausgeführt werden kann, ohne
dabei seine Eigenschaften zu verlieren.
Somit kann das endgültige Protokoll beschrieben werden. Dieses entspricht dem Protokoll
6.1 mit der Ausnahme, dass die Commitment Zertifizierung als Unterprozess zwischen
Schritt 2 und 3 für jedes Commitment benutzt wird, welches vom Prover ausgegeben
wird. Dadurch wird es für den Prover mit einer Fehlerwahrscheinlichkeit von 2 −k
unmöglich, mit Hilfe der Informationen des Verifiers aus Schritt 3 zu täuschen.
6.5 Vorbemerkungen zum Protokoll
Wie eingangs erwähnt wird bezüglich der Mächtigkeit des Verifiers keine Einschränkung
vorgenommen. Nichtsdestotrotz muss zur Ausführung der ehrliche Verifier lediglich effizient
sein, da andernfalls kein praktischer Nutzen für das Verfahren gegeben wäre. Von
dem Prover wird ebenfalls keine informationstheoretisch geprägte Beschränkung wie z.B.
polynomiell beschränkte Zeit verlangt, da diese Schranke lediglich asymptotisch sei. Es
wird vielmehr vorausgesetzt, dass ein spezieller Teil des Protokolls existiert, den der
Prover während der Laufzeit des Protokolls nicht ausführen kann. 20 Es soll damit betont
werden, dass die dem Prover auferlegten Grenzen tatsächlicher und nicht nur informationstheoretischer
Natur seien. Selbst unter der Voraussetzung, dass P = N P ist, wird es
für einen Prover mit einer vernachlässigbaren Fehlerwahrscheinlichkeit unmöglich sein,
einen genügend großen diskreten Logarithmus während der Kommunikation mit dem
Verifier zu berechnen.
Desweiteren wird im Unterschied zu vielen anderen Veröffentlichungen der Sicherheitsparameter
k nicht in Abhängigkeit zur Behauptung des Provers als Schranke einer
Funktion genutzt. Nach Ansicht von Brassard, Crépeau und Yung besteht keine direkte
Verbindung zwischen der Wichtigkeit für den Verifier, nicht betrogen zu werden, und
der zur Diskussion stehenden Behauptung.
Der in diesem Verfahren eingesetzte Simulator zur Überprüfung der Zero–Knowledge
Eigenschaft ersetzt nicht den Verifier. Vielmehr ruft der Simulator den Verifier als
Unterprozess auf und verhält sich ihm gegenüber so, als kommuniziere der Verifier direkt
mit dem Prover. Zur nachvollziehbaren Steuerung hat der Simulator jedoch die volle
20 Was nach Auffassung des Autors im Gegensatz zur Meinung von Brassard, Crépeau und Yung gerade
von einer polynomiellen Schranke erfasst wird, da diese eine maximale Anzahl von Rechenschritten
enthalten kann und damit der in [BCY91] nur verbal formulierten Zeitobergrenze entspricht.
57