Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

2.2. k-FACH SEQUENTIELLE DL-IDENTIFIKATION 27
des Commitments, das nicht perfekt ist, da es keinen Beweis für die nicht-Existenz eines
Faktorisierungsalgorithmus in Linearzeit gibt.
LEMMA 2.1.9. Zu (P,V ) gibt es einen perfekten Simulator
ϕ : � ˜V ,h � ↦→ ( ¯g,e,y) mit Ew|ϕ � ˜V ,h � | ≤ | ˜V |2 t .
BEWEIS. | ˜V | schließt | ˜P| mit ein.
(1) ϕ wählt r ∈ R �q, ˜e ∈ R [0,2 t [ und setzt
¯g := g r − ˜e
h
, e := e � ˜V , ¯g � ∈ � 0,2 t� ,
wie ˜V mit ¯g.
(2) if e �= ˜e then reset ˜V and restart. else y := r.
Die Verteilung von ( ¯g,e,y) ist wie bei (P, ˜V ): ( ¯g,e) ∈ R G × [0,2 t [, y ist eindeutig bestimmt
durch g, ¯g,e und ¯g = g y h −e . �
DEFINITION 2.1.10. 2 t ist genau dann polynomial, wenn gilt, dass 2 t poly(Bitlänge von
h), 2 t also polynomial in der Bitlänge von h ist.
PROPOSITION 2.1.11. Die DL-Identifikation ist perfekt zero-knowledge wenn 2 t polynomial
ist.
Beachte: P ist polynomialzeit, d.h. |P|=poly(Bitlänge h). Im Fall G ⊂ � ∗ p gilt:
2 t polynomial
⇔ t = O(lglg p)
⇔ 2 t = (lg p) O(1) .
Fazit:
Die DL-Identifikation hat eine Betrugswahrscheinlichkeit ≤ 2 −t – also ein Sicherheitsniveau
2 t . Aber nur dann wenn 2 t polynomial ist wird nachweislich keine
Information an ˜V preisgegeben.
Bezüglich der Signatur-Erzeugung ist die Schnorr-Signatur der Star mit 0 online-
Multiplikationen. Dieser Wert wird durch ein Preprocessing ermöglicht.
2.2. k-fach sequentielle DL-Identifikation
Das Protokoll (P k ,V k ) wiederholt das Protokoll (P,V ) k-mal mit unabhängigen r 1 ,...,r k ∈ R
�q und e 1 ,...,e k ∈ R [0,2 t [. Entsprechendes gilt für (P k , ˜V ) und ( ˜P,V k ).
LEMMA 2.2.1. Zu (Pk ,V k ) gibt es ein prob. pol. Zeit ˜P mit ERF( ˜P,h) = 2−kt , wobei gilt
ERF � ˜P,h � �
= Wsw ( ˜P,V )akzeptiert mit h � ,
wobei w gleich der Anzahl der Zufallsbits von ( ˜P,V k ) ist.
BEWEIS. ˜P wählt ˜e 1 ,..., ˜e k ∈ R �q und agiert wie ˜P von Lemma 2.1.1 auf Seite 22.
Falls ( ˜e 1 ,..., ˜e k ) = (e 1 ,...,e k ) dann hat ˜P Erfolg. �
Lemma 2.2.1 gilt für beliebige ˜V statt V , sofern ein Aufruf von ˜V als ein Schritt gezählt
wird.