Чому Feige-Fiat-Shamir не має нульових знань без знакових бітів?

У главі 10 HAC (10.4.2) ми бачимо відомий протокол ідентифікації Feige-Fiat-Shamir, заснований на доказі нульових знань, використовуючи (імовірну) складність вилучення квадратних корінців за модулем композиту, який важко врахувати. Я наведу схему власними словами (і, сподіваюся, правильно).

Почнемо з більш простої схеми: нехай є цілим числом Блума (тому n = p q, і кожен з p і q - 3 mod 4) досить великого розміру, що факторинг не може бути дозволений. Оскільки n - ціле число Блума, половина елементів Z ∗ n мають символ Якобі +1, а інша половина -1. Для елементів +1 половина має квадратні корені, а кожен елемент, що має квадратний корінь, має чотири з них, точно один - сам квадрат.$n$$n=pq$$p$$q$$n$$Z_n^*$

Тепер Пеггі вибирає випадковий елемент із Z ∗ n і встановлює v = s 2 . Потім вона посилає V Віктору. Далі це протокол: Віктор хоче перевірити , що Пеггі знає квадратний корінь з V і Пеггі хочуть довести йому , НЕ розголошуючи нічого про з поза то , що вона знає , що такі сек .$s$$Z_n^*$$v=s^2$$v$$v$$s$$s$

1. Пеггі вибирає випадковий у Z ∗ n і посилає r 2 Віктору.$r$$Z_n^*$$r^2$
2. Віктор однозначно надсилає або b = 1 назад до Пеггі.$b=0$$b=1$
3. Пеггі відправляє до Віктора.$rs^b$

Віктор може переконатись, що Пеггі надіслала правильну відповідь, підрахувавши отримане та порівнявши правильний результат. Звичайно, ми повторюємо цю взаємодію, щоб зменшити ймовірність того, що Пеггі просто щасливий здогад. Цей протокол вважається ZK; доказ можна знайти в різних місцях (наприклад, конспекти лекцій Боаза Барака ).

$k$$s_1\cdots s_k$$t_1 = \pm 1, \cdots t_k = \pm 1$$v_1=t_1s_1^2, \cdots, v_k = t_ks_k^2$$v_i$

1. Пеггі вибирає випадковий r у Z ∗ n і посилає r 2$r$$Z_n^*$$r^2$
2. $k$$b_i$$\{0,1\}$
3. $r\Pi_{i=1}^ks_i^{b_i}$

$t_i$

Я не можу знайти атаку, яка витягує що-небудь з Пеггі, якщо вона пропускає знаки.

Протокол ідентифікації Feige-Fiat-Shamir (FFS) є доказом знань (PoK), в якому доказчик (Peggy) доводить свої знання квадратним корінням даного входу для перевірки (Victor).

FFS хочуть дискримінувати PoK від доказів мовної приналежності , в яких Пеггі доводить, що вхід має певну властивість (формально, вхід належить певній мові).

Якщо ми не використовуємо негативні ознаки, можливо, вхідні дані не мають квадратного кореня. Наприклад, число 20 не має жодних квадратних коренів мод 21. Оскільки розмежування квадратів і неквадратів є відомою важкою проблемою , FFS уникає цього, дозволяючи введенню бути плюсом або мінусом деякого числа у квадраті. У своїх власних словах (трохи змінився):

$v_i$$v_i$ $+1 \bmod n$$s_i$$v_i$

Під необмеженим введенням доказів з нульовим знанням знань вони означають ZK PoK, відповідне підтвердження належності до мови є тривіальним; тобто V може сам вирішити, що вхід є плюсом або мінусом якогось квадрата (просто перевіривши символ Якобі).