密码学中的sigma-protocol

最新推荐文章于 2022-09-07 19:01:12 发布

mutourend

最新推荐文章于 2022-09-07 19:01:12 发布

阅读量3.8k

点赞数 1

本文链接：https://blog.csdn.net/mutourend/article/details/100708354

版权

1. sigma-protocol的定义

在论文《On Σ-protocols》中，有如下定义：

relation DL，其中的 $w$ 可称为a witness for $x$ :
$DL=\{(x,w)|x=(p,q,g,h), ord(g)=ord(h)=q,h=g^w\}$

其中， $p, q$ 为素数， $g,h\in Z_p^*,w\in Z_q$ ，R为二进制relation，R表示为 $\{0,1\}^*\times \{0,1\}^*$ 。
满足上面条件的 $(x,w)\in R$ 成立。

以上， $x$ 对于Prover P和Verifier V均可见，为public input，而满足 $(x,w)\in R$ 的 $w$ 为Prover P的private input，对Verifier V不可见。
场景描述为， $p$ 为素数， $q$ 为 $p - 1$ 的最大素数因子， $g为 Z_p^*$ 中order为 $q$ 的元素，某 $w$ 仅P可知， $h=g^w\ mod\ p$ ， $x = (p, q, g, h)$ 对P/V均可见，为public input。在实际应用时， $p, q$ 通常长时间固定不变，关于 $p, q$ 的素数性V可以鉴定一次即可，不需要每次都鉴定。

详细的流程分为三大步：

1） P选择随机数 $r\in Z_q$ ， $r$ 仅P知，对V不可见，P计算 $a=g^r\ mod\ p$ ，P将 $a$ 值发送给V；
2） V选择 $t - b i t$ 的随机数challenge $e\in Z_{2^t}$ （此处的 $t$ 为固定的，且 $2^t<q$ ），V将 $e$ 值发送给P；
3） P计算 $z=r+ew\ mod\ q$ ，P将 $z$ 值发送给V，V判断 $g^z?=ah^e\ mod\ p$ 是否成立，若成立，则V接受认为P确实知道正确的 $w$ 值（满足 $h=g^w\ mod\ p$ ）。

以上流程错误判断的概率为 $\frac{1}{2^t}=2^{-t}$ 。

Sigma-protocol的定义如下：
在这里插入图片描述
上面定义的第二条，指的是：若Prover P*对于两个不同的challenges $e, e^{'}, e! = e^{'}$ ，则有相应的 $g^{z'}=ah^{e'},g^z=ah^e$ ，两者相除有 $g^{z-z'}=h^{e-e'}\ mod\ p$ ，当 $e - e^{'}! = 0$ 时，有 $h=g^{(z-z')(e-e')^{-1}}=g^w\ mod\ p$ ，从而有 $w=(z-z')(e-e')^{-1}\ mod\ q$ 。