Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

7 Berechenbare Zero–Knowledge Arguments mit konstanter Rundenzahl
Schritt P1: (Erzeugung eines wahllosen Commitments) Der Prover berechnet
w ∈R Com(0 3n ) 31 und sendet w an den Verifier.
Schritt V2: (Versenden einer Zufallszeichenkette) Der Verifier wählt eine Zeichenkette
r ∈R {0, 1} n und sendet diese.
Das Kommunikationsprotokoll diese uniformen Generator Protokoll ist das
Tupel τ = (w, r).
Es erfolgt jetzt die Spezifikation der Sprache Λ. Es sei nochmal darauf hingewiesen,
dass für eine Zeichenkette y die Funktion Com −1 (y) das eindeutige x derart bezeichnet,
für dass das y das Commitment für x oder für 0 3n ist, falls es kein entsprechendes x gibt.
Das heißt x = Com −1 (y), falls es ein s gibt, so dass Com(x, s) = y gilt. Die Entscheidung,
ob x = Com −1 (y) gilt, erfolgt dabei in N P.
Λ wird nun wie folgt definiert: Seien τ = (w, r) und Π = Com −1 (w). Dann ist τ ∈ Λ,
wenn die Turing Maschine, die durch Π beschrieben wird, und w als Eingabe erhält, ein
log log |r|
r innerhalb von |r| 5 Schritten ausgibt. 32
Es ist offensichtlich, dass Λ ∈ Ntime(n log log n ) gilt. Nichtdeterministisch ist es mög-
lich, Π = Com −1 (w) zu erhalten, womit dann genug Zeit vorhanden ist, die Turing
log log n
Maschine, die durch Π beschrieben wird, in n 5 Schritten zu simulieren.
Damit kann nun der folgende Satz beschrieben werden.
Satz 7.4
Protokoll 7.3 ist ein uniformes Generator Protokoll (gemäß Definition 7.5).
Beweis:
Um Satz 7.4 zu beweisen, müssen die Korrektheitseigenschaft und die uniforme Simulierbarkeit
des Protokolls 7.3 bewiesen werden.
Lemma 7.1
Sei P ∗ ein beliebiger (möglicherweise täuschender) Prover für das Protokoll 7.3 und
bezeichne τ das Kommunikationsprotokoll von P ∗ ’s Ausführung mit einem ehrlichen
Verifier. Dann ist Pr[τ ∈ Λ] ≤ 2 −n .
Beweis:
Für jede erste Nachricht w des Provers sei Πw = Com −1 (w) und sei f(w) die Ausgabe
der von Πw beschriebenen Turing Maschine bei Eingabe von w nach n
log log n
5 Schritten,
wenn die Maschine hält, und 0 n sonst. Für jede Zeichenkette w beträgt die Wahrscheinlichkeit,
dass ein zufälliges r ∈R {0, 1} n equivalent zu f(w) ist, höchstens 2 −n . Daher
31 Com bezeichnet das statistisch eindeutige Bit–Commitment–Scheme aus Definition 7.1, Seite 75
32 Es wird nochmals darauf hingewiesen, dass |r| log log |r|
5 willkürlich gewählt wurde. Es ist lediglich
sicherzustellen, dass Λ in Ntime(n log log n ) liegt.
85