Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
Schritt S9: Der Simulator wartet darauf, dass der Verifier wie in Schritt V2
die hij’s liefert. Falls der Verifier von dem Protokoll 6.3 abweicht, geht
der Simulator zurück zu Schritt S7.
Schritt S10: Der Simulator verfährt entsprechend Schritt P2 mit der Ausnahme,
dass dann, wenn ˆyi = 1 ist, νi[j] durch ♦(ɛi[j]) ersetzt wird.
Insbesondere sendet er die wij’s und tij’s an den Verifier.
Schritt S11: Der Simulator wartet darauf, dass der Verifier wie in Schritt V3
die r ’s und y ’s liefert. Es ist möglich, dass die Antwort des Verifiers sich
von derjenigen unterscheidet, die er vorher in Schritt S5 gegeben hat.
Falls der Verifier von dem Protokoll 6.3 abweicht, geht der Simulator
zurück zu Schritt S7.
Schritt S12: Der Simulator verifiziert ϕ(e, r, y). Misslingt diese Prüfung, geht
der Simulator zurück zu Schritt S7.
Schritt S13: An diesem Punkt gibt es zwei Möglichkeiten: Entweder es gilt
y = ˆy oder y = ˆy. Im ersten Fall hat der Simulator seine Commitments
so vorbereitet, dass er der jeweiligen Öffnungsaufforderung nachkommen
kann. Im zweiten Fall bedeutet dies, dass der Verifier seine Öffnungswahl
geändert hat, was dem Simulator ermöglicht, den diskreten Logarithmus
von s zu berechnen. Wenn y = ˆy gilt, fährt das Protokoll mit Schritt S15
fort, sonst mit Schritt S14.
Schritt S14: (Der Verifier hat seine Öffnungswahl zwischen Schritt S5 und S11
geändert.) Es werden alle i mit 1 ≤ i ≤ k betrachtet, für die yi = ˆyi gilt.
Der Simulator berechnet
a =
ri − ˆri falls yi = 0
ˆri − ri sonst
(Dabei ist zu bedenken, dass diese Subtraktion in p−1 und damit modulo
p − 1 erfolgt.) Da α ri s yi = ei = α ˆri s ˆyi gilt, folgt damit α a = s. Somit hat
der Simulator den diskreten Logarithmus von s.
Für jedes i mit yi = 0 und ˆyi = 1 berechnet der Simulator νi = σ(Ψ) und
für jedes i mit yi = 1 und ˆyi = 0 berechnet er ɛi = ρ(Ψ). Für jedes i, für
das yi = ˆyi gilt, und für jedes j, für das νi[j] = ♦(ɛi[j]) gilt, ändert der
Simulator die zi[j]’s aus Schritt S8 wenn nötig wie folgt:
zi[j] =
zi[j] − a falls ˆyi = νi[j]
zi[j] + a sonst
Dies erlaubt dem Simulator, die ” Commitments“ aus den xi’s in einer
Weise zu öffnen, die die Öffnungsaufforderungen yi erfüllen, auch wenn
xi ursprünglich dafür vorbereitet war, die Öffnungswahl ˆyi zu erfüllen.
67