Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
reines Glück, da der Prover den diskreten Logarithmus von s nicht kennt. Nichtsdestotrotz
ist derartiges Glück möglich und muss berücksichtigt werden.
4. Der Verifier weicht zu bestimmten Zeitpunkten von dem Protokoll ab, das heißt
dass er die ” vernünftige“ Zusammenarbeit verweigert und dadurch den Prover dazu
bringt, die Interaktion vorzeitig zu beenden. Dass geschieht zum Beispiel in Schritt
V1, wenn der Verifier ein s = 0 liefert, oder in Schritt V3, wenn er behauptet, der
Prover habe in Schritt P2 bei den Kontroll Commitments getäuscht, ohne dass das
tatsächlich der Fall ist, oder wenn er eine ” 2“ als eine der Öffungsaufforderungen
yi in V3 liefert.
Im ersten Fall könnte die Öffnungswahl des Verifiers von der Ausgabe des Provers
in den Schritten P1 und P2 abhängig sein. Wenn dies eintritt, wird der Simulator den
Verifier zurücksetzen und dadurch den diskreten Logarithmus von s erhalten. Wenn der
Simulator diese Information erst einmal hat, kann er in Schritt P3 ” mogeln“, da er damit
den Schlüssel zum Invertieren des Bit–Commitment–Schemes hat.
Im zweiten Fall lässt der Simulator den Verifier einmal laufen, um die Öffnungswahl
in Schritt V3 zu erhalten. Anschließend wird der Verifier auf eine vorherige Konfiguration
zurückgesetzt, und der Schritt P1 wird erneut simuliert. Diesmal jedoch mit Commitments,
die der Öffnungswahl des Verifiers entsprechen.
Die Fälle drei und vier sind schwieriger zu handhaben und werden bei der nachfolgenden
formalen Beschreibung des Simulators abgehandelt.
Um den Simulator zu beschreiben, ist es einfacher sich vorzustellen, dass der Verifier
eine deterministische Maschine ist, die Zugriff auf ein Zufallsband hat. Dieses Zufallsband
unterliegt der vollständigen Kontrolle des Simulators. Anfangs ist das Band leer.
Jedesmal, wenn der Verifier Zugriff auf ein neues Bit des Zufallsbandes hat, führt der
Simulator einen Münzwurf aus und schreibt das Resultat für den Verifier auf das Zufallsband.
Zu jeder Zeit kann der Simulator einen Speicherauszug vom Verifier anfertigen
bzw. sich als Turing Maschine die Konfiguration merken und später den Verifier exakt
an dieser Stelle weiterarbeiten lassen. Wenn der Verifier zu einer vorhergehenden Konfiguration
zurückgesetzt wird, dann wird der Lesekopf des Zufallbandes ebenfalls auf
die entsprechende Stelle zurückgesetzt, mit dem Unterschied, dass die bereits auf das
Zufallsband geschriebenen Zufallsbits, die hinter dieser Stelle liegen, erhalten bleiben,
so dass der Verifier nach dem Rücksetzen exakt dieselben Bits wieder verarbeitet, die
er beim vorigen Durchlauf schon einmal gelesen hat. Der Vorteil dieses Ansatzes gegenüber
dem einmaligen Erzeugen des Zufallbandes durch den Simulator für alle denkbaren
Zugriffe des Verifiers liegt darin, dass damit Verifier simuliert werden können, die keine
von vornherein bekannte Zeitschranke haben. Noch wichtiger ist jedoch, dass selbst
dann, wenn nur Verifier mit einer erwarteten polynomiellen Laufzeit betrachtet werden,
im Einzelfall signifikant mehr Zeit benötigt wird, wenngleich auch nur mit geringer
Wahrscheinlichkeit.
65