Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

Algorithm 5 AL( ˜P,h) „Probabilistischer Extraktor”
2.1. SCHNORR IDENTIFIKATION 23
AL( ˜P,h) mit wAL enthält w ˜P ∈ {0,1}| ˜P|
für alle Aufrufe von ˜P:
(1) u := 0;
*** Stufe 1: ***
(2) do
(a) ¯g := ¯g( ˜P,w ˜P ) – wie ˜P mit w ˜P – e ∈R [0,2t [;
(b) y := y( ˜P,w ˜P ,e) – wie ( ˜P,V );
(c) u := u + 1;
(3) until (ERFw ˜P ,e = 1);
*** Stufe 2: ***
*** In u stehen #Versuche beim Erzeugen von w ˜P
, ¯g,y,e ***
(4) for maximal u zufällige ē ∈R [0,2t [ do
(a) Teste für w ˜P , ¯g ob ERFw ˜P
,ē = 1;
(5) if ERFw ˜P
,ē = 1, e �= ē then
(a) log g h =
y− ¯y
e−ē
mod q.
(6) else
(a) goto 1 und starte mit unabhängigen w ˜P neu.
Dann gilt:
g y h −e = ¯g = g ¯y h −ē y − ¯y
⇒ logg h = mod q.
e − ē
Beachte, dass ¯g nur von w ˜P
und nicht von e,ē abhängt!
Die Erfolgsmatrix. Mit der Erfolgsmatrix soll zu jedem von V zufällig gewählten
e bestimmt werden, für welche Zufallsbits w ∈ {0,1} | ˜P| der Angreifer ˜P eine korrekte
Identifikation erschleichen kann.
Es ist ERFw,e ∈ {0,1}, wobei 1 für einen Erfolg und 0 für einen Misserfolg steht (siehe
Abbildung 2.1.1).
e ∈ [0,2 t [
w ∈ {0,1} | ˜P| ERFw,e
der Verifier wählt ein zufälliges e
ABBILDUNG 2.1.1. Die Erfolgsmatrix
der Angreifer
wählt ein zufälliges
w