Diplomarbeit zu "`Zero-Knowledge Arguments"' - Telle-Online.de

7 Berechenbare Zero–Knowledge Arguments mit konstanter Rundenzahl
Schritt V3: (Versenden einer Zufallszeichenkette) Der Verifier wählt eine Zeichenkette
r ∈R {0, 1} n und sendet diese.
Das Kommunikationsprotokoll dieses nicht-uniformen Generator Protokolls ist
das Tripel τ = (h, w, r).
Nun wird die Sprache Λ definiert. Sei τ = (h, w, r). Dann gilt τ ∈ Λ, wenn ein
Programm Π existiert, so dass w = Com(h(Π)) gilt und Π(w) eine Ausgabe r innerhalb
log log |r|
log log n
von |r| 5 Schritten erzeugt. Dieses kann in Ntime(n 5 ) verifiziert werden. Ein
Zeugnis für (h, w, r) ∈ Λ ist ein Tupel (Π, s), so dass w = Com(Π, s) gilt und Π(w) eine
log log |r|
Ausgabe r innerhalb von |r| 5 erzeugt.
Anmerkung: Es kann sein, dass Λ einfach zu entscheiden ist (tatsächlich könnte
Λ = {0, 1} ∗ sein), aber die Korrektheitsbedingung von Definition 7.6 verlangt lediglich,
dass es unmöglich ist, ein Zeugnis dafür zu finden.
Satz 7.6
Protokoll 7.7 ist ein nicht-uniformes Generator Protokoll in Bezug auf eine Sprache Λ
(entsprechend Definition 7.6).
Beweis:
Zum Beweis, dass Protokoll 7.7 die Definition 7.6 erfüllt, müssen zwei Eigenschaften
erfüllt sein: Die berechenbare Korrektheit und die nicht-uniforme Simulation.
Berechenbare Korrektheit: Sei P ∗ eine n O(log log n) große Strategie für Protokoll 7.7
und bezeichne τ das Kommunikationsprotkoll der Ausführung von P ∗ mit dem ehrlichen
Verifier. Dann ist die Wahrscheinlichkeit vernachlässigbar klein, dass P ∗ ein Zeugnis für
τ ∈ Λ auf sein Hilfsband schreibt.
Andernfalls sei angenommen, dass P ∗ ein Zeugnis mit nicht vernachlässigbarer Wahrscheinlichkeit
ε habe. Dann gilt für mindestens einen ε
2 Teil von h ∈R Hn, dass P ∗ mit
einer Wahrscheinlichkeit von mindestens ε ein Zeugnis für das Kommunikationsprotokoll,
2
welches mit h beginnt, besitzt. Sei ein derartiges h ∈ Hn fest. O.B.d.A. sei angenommen,
dass P ∗ deterministisch sei. Dann ist die Nachricht w, welches die Antwort auf h
ist, ebenfalls fest. Mit dieser Annahme und der Wahl von r ∈R {0, 1} n ist der Prover
mit einer Wahrscheinlichkeit von ε in der Lage, ein Programm Π auszugeben (innerhalb
2
log log |r|
von |r| 5 Schritten), so dass w ein Commitment von h(Π) und Π(w) = r ist. Das
bedeutet, dass bei einer unabhängigen Wahl von r ∈R {0, 1} n und r ′ ∈R {0, 1} n mit einer
Wahrscheinlichkeit von ε2
4 zwei Programme Π, Π′ erlangt werden, so dass w ein Commitment
sowohl zu h(Π) als auch zu h(Π ′ ) ist und dass Π(w) = r und Π ′ (w) = r ′ gilt. Da
w ein statistisch eindeutiges Commitment–Scheme ist, folgt daraus h(Π) = h(Π ′ ). Da
r = r ′ angenommen werden kann (mit einer Wahrscheinlichkeit von 1−2−n ), folgt daraus
Π(w) = Π ′ (w) und damit, dass Π und Π ′ unterschiedliche Programme sind. Das bedeutet
aber, dass Π und Π ′ Kollisionen für h sind. Damit existiert ein nO(log log n) großer
94