Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

6 Perfekte Zero–Knowledge Arguments mit konstanter Rundenzahl
wurden (außer wenn Schritt P2 nicht stattfand und nur die xi’s und uij’s allein die Sicht
des Verifiers deterministisch bestimmen). Das beruht darauf, dass die vom ehrlichen Prover
in Schritt P2 gesendeten wij’s (vorausgesetzt, dieser Schritt findet statt) eindeutig
durch die xi’s, uij’s, tij’s und hij’s determiniert werden, die vom Verifier in Schritt V2
gesendet werden, wobei die hij’s wiederum eindeutig durch die xi’s und uij’s determiniert
werden. Um das zu verstehen, sei darauf hingewiesen, dass die Tests in Schritt
V3 bezüglich der wij’s, die den Verifier nicht zum Zurückweisen veranlassen, nicht der
Beliebigkeit unterliegen, da der diskrete Logarithmus eindeutig definiert ist.
Eine entscheidende Beobachtung ist weiterhin, dass alle vom Prover stammenden
xi’s, uij’s und tij’s zufällig und unabhängig gleichverteilt über ∗ p, ∗ p und {0, 1} erzeugt
werden (mit der Ausnahme, dass die tij’s nicht erzeugt werden, wenn Schritt P2 nicht
durchgeführt wird). Bezeichne Λ den Raum der möglichen Werte für die Familien der xi’s,
uij’s und tij’s mit Λ = ( ∗ p × ( ∗ p × {0, 1}) k ) ℓk . Dann wird jedes λ ∈ Λ als gut bezeichnet,
wenn das Protokoll 6.3 Schritt V4 erreicht und die dem Verifier gelieferte Sicht auf λ im
Einklang mit den Schritten P1 und P2 steht. Andernfalls ist λ schlecht. ( ” Im Einklang
stehen“ bedeutet dabei, dass die wij’s diejenigen eindeutigen Werte annehmen, die in
Schritt V3 den Verifier nicht zum Zurückweisen veranlassen.) Schließlich bezeichne ℘
die Anzahl der guten Elemente von Λ im Verhältnis zu der Gesamtzahl der Elemente
von Λ. Einfach ausgedrückt bezeichnet ℘ die Wahrscheinlichkeit, dass der Verifier sich im
Protokoll 6.3 an den Protokollalgorithmus hält. Die Wahrscheinlichkeitsverteilung erfolgt
dabei über die Zufallsauswahl des Provers (ob der Verifier in Schritt V4 die Behauptung
verwirft, obwohl er sie gemäß Protokoll akzeptieren müsste, wird hierbei nicht betrachtet,
da diese Entscheidung nicht Gegenstand dieser Betrachtung ist). Natürlich kann ℘ eine
Funktion mit Bezug auf das Zufallsband R sein. Das betrifft diese Betrachtung jedoch
nicht, da R hier fest ist.
Die Interaktion des Verifiers mit dem ehrlichen Prover in Protokoll 6.3 ist wie folgt
charakterisiert. Der Prover wählt die νi’s, zi’s, bij’s und vij’s in Schritt P1 zufällig. Damit
sind die xi’s und uij’s determiniert. Falls der Verifier in Schritt V2 von dem Algorithmus
abweicht, müssen zufällige Binärwerte für die tij’s in Betracht gezogen werden,
andernfalls legen die xi’s und uij’s die hij’s des Verifiers fest, welche wiederum die tij’s
des Provers in Schritt P2 deterministisch bestimmen. Stehe λ für die Familie der so
erzeugten xi’s, wij’s und tij’s.
Wenn λ gut ist, was mit einer Wahrscheinlichkeit von ℘ eintritt, bestimmt es die
Wahl y des Verifiers in Schritt V3. In Schritt P3 zeigt der Prover dem Verifier νi’s aus
VΨ, wenn yi = 0 und ɛi’s aus EΨ, wenn yi = 1 ist, jeweils mit den dazugehörigen zi’s.
Obwohl die νi’s und ɛi’s schon in Schritt P1 deterministisch festgelegt werden, sind sie
vollständig unabhängig von λ, da Commitments nicht mit den Bits korrelieren, die sie
verbergen. Außerdem sind die νi’s gleichverteilt über VΨ (weil sie durch einen Aufruf
von σ(Ψ) in Schritt P1 erzeugt werden), und die ɛi’s sind gleichverteilt über EΨ (weil
sie durch γ(Ψ, σ(Ψ),a) in den Schritten P1 und P3 erzeugt werden). Ganz im Gegenteil
69