Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

2.3. DL-IDENTIFIKATION MIT KURZER KOMMUNIKATION 31
BEWEIS. (Satz 2.3.3) O.B.d.A. gelte l ≤ 2 t−1 .
LEMMA 2.3.5. Hat ˜P für (m,e,y) mit Ws H > 2 −t Erfolg, dann hat ˜P das H-Orakel über
H(g y h −e ,m) befragt.
BEWEIS. Andernfalls gilt im ROM Ws H [H(g y h −e ,m) = e] ≤ 2 −t . �
Damit können wir o.B.d.A. annehmen, dass ˜P nur mit solchen (H,e,y,m) Erfolg hat, für
die H(g y h −e ,m) vor der Berechnung von (y,e) erfragt wurde. Die erfragten H-Werte seien
H(g 1 ,m 1 ),...,H(g l ,m l ). Dabei hängt (g i+1 ,m i+1 ) beliebig von H(g 1 ,m 1 ),...,H(g i ,m i )
ab.
AL benutzt ˜P zusammen mit einer statistisch unabhängigen Hashfunktion H.
LEMMA 2.3.6. Angenommen, ˜P hat mit (gi ,mi ) für (H,e,y), ( ¯H,ē, ¯y), (e,y) �= (ē, ¯y) Erfolg.
Dann gilt
y − ¯y
logg h =
e − ē .
BEWEIS. Weil ˜P zur H-Anfrage (g i ,m i ) für (H,e,y) und ( ¯H,ē, ¯y) Erfolg hat, gilt
und somit log g h =
g y h −e = g i = g ¯y h −ē
y− ¯y
e−ē . �
Wir beweisen nun Satz 2.3.3 auf der vorherigen Seite:
BEWEIS. Grob skizziert sieht Algorithmus AL folgendermaßen aus: AL sucht zu festem
(gi ,mi ) ein zufälliges w ˜P ∈ {0,1}| ˜P| und zufällige H(gi ,mi ), ¯H(g i ,mi ), für die ˜P mit
(e,y) H,w und (ē, ¯y)
˜P
¯H,w
Erfolg hat und e �= ē. Nach Lemma 2.3.6 liefert dieses logg h.
˜P
In Stufe 1 probt AL solange zufällige w ˜P und H(gi ,mi ) bis ˜P mit (e,y) H,w Erfolg hat. Sei
˜P
u die Anzahl der Proben.
In Stufe 2 probt AL zu diesem w ˜P bis zu u unabh. Zufallswerte ¯H(g i ,mi ) bis zum zweiten
Erfolg mit (ē, ¯y) ¯H,w
.
˜P
Dabei ist i fest, die Werte (g 1 ,m 1 ),...,(g i ,m i ),
sind durch w ˜P , ˜P bestimmt.
H(g 1 ,m 1 ) = ¯H(g 1 ,m 1 ),...,H(g i−1 ,m i−1 ) = ¯H(g i−1 ,m i−1 )
Für festes i, 1 ≤ i ≤ l hat die Erfolgsmatrix die Form wie in Abbildung 2.3.1 angegeben.
�
FACT 2.3.7. ∃i, 1 ≤ i ≤ l, so dass ˜P mit H(gi ,mi ) mit WsH,w ≥ 2
˜P
−t+1 Erfolg hat.
BEWEIS. Nach Voraussetzung hat ˜P mit Ws H,w ˜P
≥ 2 −t+1 l Erfolg.
Für festes i arbeitet AL wie AL von Satz 2.1.2 auf Seite 22. Die erwartete Anzahl der
Proben von AL ist dabei ≤ 16ε −1 sofern ˜P mit i Erfolgswahrscheinlichkeit ε ≥ 2 −t+1
hat. �
�