Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
• Ψ ist ein erfüllbarer Boolescher Ausdruck. Es wird angenommen, dass der Prover
eine erfüllende Belegung a für Ψ kennt.
• Alle weiteren Notationen folgen den Definitionen des Basis–Protokolls ab Seite 58.
Um das nachfolgende Protokoll nicht mit trivialen Details zu überfrachten, werden
offensichtliche aber notwendige Tests nicht explizit aufgeführt. Zum Beispiel muss der
Prover sicherstellen, dass im Schritt P1 s ∈ ∗ p gilt, weil der Verifier sonst umgehend das
Geheimnis erhält, wenn der Prover die Kommunikation bei einem s = 0 fortführt.
Protokoll 6.3 (Zero–Knowledge Argument in konstanter Rundenzahl)
Gemeinsame Eingabe (Initialisierung)
• p: Eine große Primzahl, von dessen Vorgänger p−1 die Faktorisierung
bekannt ist.
• α ∈ ∗ p: Ein erzeugendes Element.
• k ∈ : Sicherheitsparameter
Dieser Schritt zählt nicht bei der Rundenzahl, da diese Einigung schon im
Vorwege erfolgen kann. Desweiteren können p und α öffentlich bekannt und
frei verfügbar sein.
Schritt V1: (Der Verifier bereitet die Bit–Commitment–Scheme Paramter vor
und verschlüsselt seine Öffnungsaufforderung.) Der Verifier wählt zufällige
s ∈R ∗ p und y ∈R Σ k . Er berechnet (e, r) = β(y) und sendet s und e an
den Prover.
Schritt P1: (Der Prover verschlüsselt mit einem verschlüsselten Schaltkreis und
sendet die Kontroll Commitments zusammen mit jedem aktuellen Commitment.)
Für jedes i mit 1 ≤ i ≤ k berechnet der Prover νi = σ(Ψ) und
(xi, zi) = β(νi). Für jedes Commitment xi[j] wählt der Prover ein zufälliges
bij ∈R {0, 1} k und berechnet (uij, vij) = β( bij). Er sendet alle
xi’s und uij’s an den Verifier. (Das xi[j] repräsentiert dabei das akuelle
Commitment für das j-te Bit des i-ten verschlüsselten Schaltkreises und
uij stellt eine Familie von Kontroll Commitments für xi[j] dar.)
Schritt V2: (Der Verifier wählt für das aktuelle Commitment eine Öffnungsaufforderung
um sicherzustellen, dass es kein EPR–Commitment ist.) Für jedes
i und j wählt der Verifier zufällige hij ∈R {0, 1} k und sendet diese hij an
den Prover.
Schritt P2: (Der Prover zeigt, dass seine aktuellen Commitments nicht EPR
sind.) Für jedes i, j und m berechnet der Prover folgendes:
62