Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

2.5. OKAMOTO DL-IDENTIFIKATION 35
2.5. Okamoto DL-Identifikation
[Okamoto1992]
Ziel: Beweisbar sichere DL-Identifikation ohne ROM.
Öffentlich: g1 ,g2 ,G = � � � �
g1 = g2 und |G| = q
Private-Key: (x1 ,x2 ) ∈R �2 q.
Public-Key: h = g x1 1 gx2 2 .
Das Protokoll hat folgenden Ablauf:
(P,V ) Ok P V
1. r1 ,r2 ∈R �q ¯g := g r1 1 gr2 2 →
2. ← e e ∈ R [0,2 t [
3. y i := r i + ex i y 1 ,y 2 → ¯g ? = g y 1
1 gy 2
2 h−e
Korrektheit. Die Korrektheit ergibt sich aus der folgenden Gleichung:
g y 1
1 gy 2
2 h−e = g r1 +ex1 1
= g r1 1 gr2 2
g r2 +ex2h 2
−e
= ¯g.
LEMMA 2.5.1. Es gibt ein pol. Zeit ˜P mit Erfolgswahrscheinlichkeit 2 −t .
BEWEIS. Der Ablauf ist:
1. ˜P wählt ˜e ∈R [0,2t [, r1 ,r2 ∈R �q und sendet dann ¯g = g r1 2. B sendet e ∈R [0,2t [.
3. ˜P sendet y1 := r1 , y2 := r2 .
1 gr2 2 h− ˜e .
Falls nun e = ˜e gilt ist ¯g = g y 1
1 gy 2
2 h−e . �
Offenbar ist (P,V ) Ok honest verifier zero-knowledge, da ˜V zur Simulation genauso verteilt
sein muss wie V .
LEMMA 2.5.2. Hat ˜P in ( ˜P,V ) Ok für w ˜P bei zwei Paaren (e,y), (ē, ¯y) ∈ [0,2t [×�q Erfolg,
dann gilt
logg2 g1 = ¯y 2 − y2 + x2 (e − ē)
y1 − ¯y 1 + x1 (ē − e) .
BEWEIS. Es gilt
Somit gilt
Also ist
g y 1
1 gy 2
2 h−e = ¯gw ˜P = g ¯y 1
1 g ¯y 2
2 h−ē .
g y1− ¯y 1g
1
y2− ¯y 2 = h
2
e−ē = (g x1 1 gx2 2 )e−ē .
g y 1 − ¯y 1 +x 1 (ē−e)
1
= g ¯y 2 −y 2 +x 2 (e−ē)
2
und es folgt die Behauptung. �
O.B.d.A. ist log g2 g 1 dem Erzeuger von g 1 ,g 2 nicht bekannt.