Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
Schritt V2: Der Verifier sendet yi ∈ {0, 1} als seine Öffnungswahl der Commitments.
Schritt P3: War die Wahl eine ” 0“, öffnet der Prover die xi[j], sendet diese
für jedes j und zeigt damit νi. Der Verifier prüft νi ∈ VΨ.
War die Wahl eine ” 1“, nutzt der Prover sein geheimes Wissen über eine
erfüllende Belegung a und berechnet ɛi = γ(Ψ, νi,a). Er sendet lediglich
die xi[j]’s, die ɛi[j] = entsprechen. (Zu beachten ist, dass in diesem
Fall ɛi[j] = νi[j] gilt, da νi ≍ ɛi.) Der Verifier prüft ɛi ∈ EΨ.
In beiden Fällen stoppt der Verifier und verwirft die Behauptung, wenn
die Prüfung fehlerhaft war.
Lemma 6.1
Das Protokoll 6.2 ist berechenbar eindeutig, da der Prover nicht im Voraus weiß, welche
Aufforderung in jeder Runde zu erwarten ist.
Beweis:
Seien νi und ɛi die Antworten auf die Öffnungswahlen in Runde i. Unter der Voraussetzung,
dass der Prover die Commitments nicht zweideutig öffnen kann, müssen νi und
ɛi verträglich sein. Falls νi ∈ VΨ und ɛi ∈ EΨ gilt, dann ist δ(Ψ, νi,ɛi) eine erfüllende
Belegung zu Ψ. Infolgedessen ist Ψ erfüllbar und der Prover kennt eine effizient berechenbare,
erfüllbare Belegung dafür. Andernfalls, wenn νi ∈ VΨ und ɛi ∈ EΨ gilt, beträgt
die Wahrscheinlichkeit mindestens 50%, dass der Verifier den Prover beim Täuschen in
dieser Runde erwischt. Die Wahrscheinlichkeit für unerkannte falsche Behauptung des
Provers beträgt somit 2 −k für das vollständige Protokoll, immer vorausgesetzt, dass der
Prover das Bit–Commitment–Scheme nicht überlisten kann.
Lemma 6.2
Das Protokoll 6.2 ist perfekt Zero–Knowledge, vorausgesetzt, dass ein 0–Commitment
informationstheoretisch nicht von einem 1–Commitment zu unterscheiden ist.
Beweis:
Um eine Runde des Protokolls zu simulieren, wirft der Simulator eine Münze.
Ist der Kopf oben, generiert der Simulator ν = ζ(Ψ), verschlüsselt jedes Bit in ν in
einem Commitment und fragt den Verifier nach seiner Wahl. Beträgt diese ” 0“, öffnet der
Simulator alle Commitments. Andernfalls missachtet der Simulator diese ” unglückliche“
Wahl und startet einen neuen Versuch.
Ist nach dem Münzwurf die Zahl oben, erzeugt der Simulator ɛ = ρ(Ψ), setzt ν =
♦(ɛ), verschlüsselt jedes Bit in ν in Commitments und fragt den Verifier nach seiner
Wahl. Beträgt diese ” 1“, öffnet der Simulator die Commitments, die ɛ[j] = entsprechen.
Andernfalls missachtet der Simulator diese ” unglückliche“ Wahl und startet einen neuen
Versuch.
60