Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

2.2. k-FACH SEQUENTIELLE DL-IDENTIFIKATION 29
LEMMA 2.2.3. Zu (P k ,V k ) gibt es einen perfekten Simulator
ϕ : ( ˜V ,h) → ( ¯g,e,y)
mit E � �ϕ( ˜V ,h) � � ≤ (|P k | + | ˜V |)2 t , wobei g = ( ¯g 1 ,..., ¯g k ), e = (e 1 ,...,e k ), y = (y 1 ,...,y k ).
BEWEIS. (Analog zu Lemma 2.1.9 auf Seite 27) ϕ simuliert die k Runden iterativ.
Sobald ˜e 1 = e 1 ,..., ˜e i = e i probt er ˜e i+1 solange bis ˜e i+1 = e i+1 . Dabei wird nur Runde
i + 1 zurückgedreht. �
PROPOSITION 2.2.4. Die k-fach sequentielle DL-Identifikation ist perfekt zero-knowledge
falls 2 t polynomial ist, d.h.
t = O(lg(Laenge der Eingabe))
mit z.B. Länge der Eingabe gleich lg p falls G ⊂ � ∗ p.
REMARK 2.2.5. ϕ in Lemma 2.2.3 ist um 2 tk 2 −t schneller als jedes ˜P in Satz 2.2.2 auf der
vorherigen Seite sofern DL schwer ist.
Fazit:
Die k-fach sequentielle DL-Identifikation mit t = O(1) ist sicher gegen passive
Angreifer falls der DL schwer ist.
Aktive Angreifer. A fordert poly-viele Identifikationen von P k und versucht dann P k
zu personifizieren: l-mal (P k , ˜V ), dann ( ˜P,V k ) mit ˜V = ˜V A , ˜P = ˜P A .
PROPOSITION 2.2.6. Zu (P k ,V k ) mit t = O(1) gibt es prob. Alg.
AL : (A,h) ↦→ log g h mit Ew AL |AL| = O(|AL|/ε),
sofern A Erfolgswahrscheinlichkeit ε ≥ 2 −tk+1 hat.
BEWEIS. (Idee) Der Algorithmus AL arbeitet im Prinzip wie AL von Satz 2.2.2 – nur
wird vor jedem Aufruf von ˜P das Protokoll l-mal (P k , ˜V ) durch einen pol.-Zeit Simulator
perfekt simuliert. �
Fazit:
Die k-fach sequentielle DL-Identifikation ist – für 2 t polynomiell – sicher gegen
aktive Angreifer sofern der DL schwer ist.
Man-in-the-middle-Attacke. (Desmedt, Goutier, Bengo, LNCS 293 (1988), CRYP-
TO 87) A personifiziert P in ( ˜P,V ), indem er die Fragen von V in ( ˜P,V ) von P beantworten
lässt.