Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
Kontrolle über die Münzwürfe, die der Verifier während seiner Aktion durchführen muss.
Weiterhin kann der Simulator zu jedem Zeitpunkt einen Speicherauszug des Verifiers
durchführen oder ihn zu einem früheren Status zurückversetzen. 21 Somit ist gewährleistet,
dass der Verifier nichts vom Prover erfährt, da dessen Geheimnis dem Simulator
unbekannt ist.
Der Simulator muss zusätzlich effizient sein. Das heißt, dass die erwartete Zeit bis zur
Ausgabe seiner Sicht sich nur durch einen (kleinen) konstanten Faktor von der erwarteten
Zeit für die Ausgabe durch den Prover bei der Kommunikation mit dem Verifier
bezüglich der betreffenden Behauptung unterscheidet. Der Simulator kann zwar den Verifier
beliebig zurücksetzen und einige wenige Male mit leicht veränderten Sichten weiter
laufen lassen. Die erwartete Zahl dieser Wiederholungen muss jedoch klein bleiben, so
dass der Simulator effizient arbeitet.
Das Protokoll aus [BCY91] basiert wie anfangs erwähnt auf der Arbeit von [BCC88],
dessen Protokoll hier in einer Kurzform vorgestellt werden soll, um die zugrundeliegende
Technik und Idee besser verstehen zu können. Das Basis–Protokoll wird anschließend
zu dem endgüligen Protokoll des perfekten Zero–Knowledge Argument in konstanter
Rundenzahl erweitert.
6.6 Kurzbeschreibung des Basis–Protokolls und Definitionen
Mit der Bezeichnung f : X → Y wird nur eine Funktion bezeichnet, die sich effizient
berechnen lässt. Darüber hinaus bezeichnet aus Vereinfachungsgründen f einen effizienten
Algorithmus zur Berechnung dieser Funktion. Mit f : X R
−→ Y wird ein effizienter
probabilistischer Algorithmus bezeichnet, der jedem x ∈ X eine Wahrscheinlichkeitsverteilung
f(x) über Y zuordnet. Wenn keine Verwechslungsgefahr besteht, wird mit f(x)
das wahrscheinliche Ergebnis des verwendeten Algorithmus f bei der Eingabe von x
bezeichnet.
Sei Σ = {0, 1} und Γ = {0, 1, }. Bei einer gegebenen Menge X wird mit X ⋆ die
endliche Folge von Elementen aus X bezeichnet. (Das Symbol ∗ aus ∗ p ist nicht zu
verwechseln mit dem ⋆ von X ⋆ .) Für eine Zeichenkette x ∈ X ⋆ bezeichnet x[i] das ite
Element. Für ν ∈ Σ ⋆ und ɛ ∈ Γ ⋆ sind ν und ɛ miteinander verträglich, bezeichnet
durch ν ≍ ɛ, 22 wenn |ν| = |ɛ| und für alle i, 1 ≤ i ≤ |ν|, ν[i] = ɛ[i] gilt, falls ɛ[i] = .
Dabei soll das Symbol ein ungeöffnetes Bit–Commitment repräsentieren. Dazu wird
eine Überführungsfunktion ♦ : Γ → Σ mit ♦(0) = 0, ♦(1) = 1 und ♦() = 0 definiert.
Diese Funktion wird in entsprechender Weise auf ♦ : Γ ⋆ → Σ ⋆ erweitert.
21Das heißt, dass der Verifier als Turing Maschine betrachtet wieder auf eine schon mal abgearbeitete
Konfiguration gesetzt wird.
22Das Symbol ≍ soll dabei an das = Symbol erinnern, wenngleich auch zwei Elemente unterschiedlicher
Ausgangsmengen verglichen“ werden.
”
58