Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
Da ein 0–Commitment und ein 1–Commitment ununterscheidbar sind, ist die Wahl
des Verifiers unabhängig von dem Münzwurf des Simulators. Daher ist die erwartete
Anzahl der Versuche für eine erfolgreiche Simulation einer Runde 2.
Somit ist die Simulation vollständig und alle k Runden können eine nach der anderen
in ungefähr doppelt soviel Zeit simuliert werden.
6.7 Perfektes Zero–Knowledge Argument in konstanter
Rundenzahl
Nun kann die formale Beschreibung des endgültigen Protokolls für das perfekte Zero–
Knowledge Argument in konstanter Rundenzahl für das SAT-Problem erfolgen. Da das
SAT–Problem N P-vollständig ist, folgt daraus, dass dieses Protokoll für alle Behauptungen,
die in N P liegen, geeignet ist.
Zusammenfassend werden hier nochmal alle Bezeichnungen aufgeführt, die in dem
Protokoll verwendet werden.
• p, α und s entsprechen dem Protokoll 6.1, ∗ p einer multiplikativen Gruppe und
p−1 einer additiven Gruppe gemäß Seite 54.
• Σ = {0, 1}
• Γ = {0, 1, }
• ν das zu verschlüsselnde Bit
• z ∈R p−1
• x = α z s ν
• β : Σ R
−→ ∗ p × p−1 wird definiert mit β(ν) = (x, z).
Das Tupel (x, z) entspricht dem Commitment des Bits ν, wobei x das eigentliche
Commitment und z das Zeugnis darstellt.
Diese Notation wird in natürlicher Weise erweitert auf β(ν) für ν ∈ Σ ⋆ . Sie wird
ebenfalls erweitert auf β(ɛ) für ɛ ∈ Γ ⋆ , wobei hier β(ɛ) = β(♦(ɛ)) bedeutet.
O.b.d.A. wird für diesen Fall willkürlich ɛ[i] = als ɛ[i] = 0 angenommen.
• ϕ : ∗ p × p−1 × Γ → {wahr, falsch} wird definiert mit ϕ(x, z, ν) = wahr, wenn
entweder ν = oder x = α z s ν gilt, d.h. dann und nur dann, wenn entweder das
Commitment x ungeöffnet bleibt oder z ein korrektes Zeugnis dafür ist, dass x ein
ν–Commitment ist.
Diese Notation wird ebenfalls entsprechend erweitert auf ϕ : ( ∗ p) ℓ ×(p−1) ℓ ×Γ ℓ →
{wahr, falsch} für jede ganze Zahl ℓ. In diesem Fall gilt ϕ(x, z, ν) = wahr dann
und nur dann, wenn x[i] = α z[i] s ν[i] für alle i mit ν[i] = , 1 ≤ i ≤ ℓ.
61