66、高效低次多项式批量零知识证明及经典协议见证隐藏安全性研究

原创于 2025-07-05 14:05:54 发布 · 94 阅读

0 GEO检测

标签

#零知识证明 # 见证隐藏 # 多项式编码

解读《公钥密码学-PKC 2018》精华专栏收录该内容

84 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

高效低次多项式批量零知识证明及经典协议见证隐藏安全性研究

在密码学领域，零知识证明和见证隐藏证明系统是非常重要的概念。零知识证明允许证明者在不泄露任何额外信息的情况下向验证者证明某个陈述的真实性，而见证隐藏证明系统则是零知识证明的一种放松但自然的概念。下面我们将详细探讨高效低次多项式批量零知识证明以及经典协议在唯一见证关系下的见证隐藏安全性。

高效低次多项式批量零知识证明

在低次多项式的零知识证明中，有几个关键的概念和参数需要了解。

陈述与见证

陈述：用 $(N, c)$ 表示。
见证：存在 $a$ 和 $r$，使得 $c = Com_{ck}(a; r)$，并且 $a \in [0, N]$。

多项式编码

有两种不同的多项式编码方式，分别基于二进制和 $n$ 进制。

二进制编码 ：设 $a_0, \ldots, a_{m - 1}$ 是 $a$ 的二进制表示，满足 $a_i(1 - a_i) = 0$ （$0 \leq i \leq m - 1$），则 $a = \sum_{i = 0}^{m - 1} a_i2^i$。
$n$ 进制编码 ：设 $N = n^m - 1$，$a_0, \ldots, a_{m - 1}$ 是 $a$ 的 $n$ 进制表示，满足 $\prod_{k = 0}^{n - 1}(a_i - k) = 0$ （$0 \leq i \leq m - 1$），则 $a = \sum_{i = 0}^{m - 1} a_in^i$。

参数选择

不同的编码方式对应不同的参数选择，具体如下表所示：
| 编码方式 | $\ell_a$ | $\ell_b$ | $\ell_P$ | $d_P$ | $\ell_Q$ | $d_Q$ | $a$ | $b$ | $P(a, b)$ | $Q(a, b)$ |
| ---- | ---- | ---- | ---- | ---- | ---- | ---- | ---- | ---- | ---- | ---- |
| 二进制 | $m$ | $m$ | $m$ | $2$ | $1$ | $m + 1$ | $(a_0, \ldots, a_{m - 1})$ | $(2^0, 2^1, \ldots, 2^{m - 1})$ | $a \circ (1 - a)$ | $\sum_{i = 0}^{m - 1} a_i2^i$ |
| $n$ 进制 | $m$ | $m$ | $m$ | $n$ | $1$ | $1$ | $(a_0, \ldots, a_{m - 1})$ | $(1, n, \ldots, n^{m - 1})$ | $a \circ (a - 1) \circ \ldots (a - n + 1)$ | $\sum_{i = 0}^{m - 1} a_in^i$ |

通信成本优化

通过选择不同的 $n$ 值，可以优化通信成本。
- 当 $t = 1$ 且目标是获得恒定数量的组元素时，设置 $n = 4$ 可得到最低的通信成本。
- 当 $t = 1$ 且目标是最小化通信的元素总数时，设置 $n = \frac{\log_2 N}{\log_2 \log_2 N}$。
- 当 $t$ 较大时，设置 $n = 6$ 可得到最低的通信成本。

整个过程可以用以下 mermaid 流程图表示：

graph TD;
    A[确定陈述与见证] --> B[选择多项式编码方式];
    B --> C{编码方式};
    C -- 二进制 --> D[二进制参数选择];
    C -- n 进制 --> E[n 进制参数选择];
    D --> F[根据 t 值优化通信成本];
    E --> F;

经典协议在唯一见证关系下的见证隐藏安全性

见证隐藏证明系统允许证明者在不泄露相关秘密密钥的情况下证明自己的身份，这对于防止恶意验证者的冒充攻击非常重要。

见证隐藏与见证不可区分性

见证隐藏证明系统是零知识证明的一种放松概念，它只要求与诚实证明者的交互不会帮助验证者计算出他之前不知道的任何新见证。而见证不可区分性是证明见证隐藏属性的常用方法。如果一个陈述有两个独立的见证，那么恶意验证者无法分辨证明者在协议执行中使用的是哪个见证。

唯一见证关系的挑战

当语言中的实例只有一个见证时，情况变得更加复杂。经典的 Guillou - Quisquater 和 Schnorr 身份验证协议是处理唯一见证关系的高效协议，但它们的安全性长期以来一直未得到解决。

之前的研究表明，基于标准假设，通过某些受限类型的黑盒归约，无法实现恒定轮次公共硬币见证隐藏协议用于唯一见证关系。例如，Haitner 等人证明了这一点，Pass 进一步加强了这些不可能结果。

研究贡献

输入分布切换技术 ：研究人员观察到之前已知的关于公共硬币协议见证隐藏的不可能结果对黑盒归约有一个隐式限制。通过开发输入分布切换技术，证明了对于任何困难语言 $L$，如果唯一见证关系 $R_L$ 上的分布 $(X, W)$ 有一个在多见证关系上的不可区分的对应分布，那么任何见证不可区分的协议（包括 ZAPs 和所有已知的 3 轮公共硬币协议，如 Blum 协议和 GMW 协议）对于唯一见证分布 $(X, W)$ 确实是见证隐藏的。许多具有唯一见证的密码学问题满足这一条件，因此可以使用恒定轮次公共硬币见证隐藏证明系统。
嵌入技术 ：对于经典的 Schnorr 协议，其被证明的陈述分布似乎不满足上述充分条件。研究人员开发了一种嵌入技术，并扩展了 Bellare 和 Palacio 的结果，将独立的 Schnorr（和 Guillou - Quisquater）协议的见证隐藏属性基于一种更宽松的类似一次离散对数（分别为 RSA）假设。为了说明这个仍然非标准的假设的合理性，引入了量身定制的实例压缩概念。

整个研究过程可以总结为以下列表：
1. 研究见证隐藏和见证不可区分性的概念。
2. 分析唯一见证关系下经典协议的安全性挑战。
3. 观察之前不可能结果的隐式限制。
4. 开发输入分布切换技术证明见证隐藏属性。
5. 针对 Schnorr 协议开发嵌入技术并基于宽松假设证明其见证隐藏属性。

综上所述，高效低次多项式批量零知识证明为密码学中的多项式关系证明提供了高效的解决方案，而经典协议在唯一见证关系下的见证隐藏安全性研究为解决实际应用中的身份验证和隐私保护问题提供了新的思路和方法。

高效低次多项式批量零知识证明及经典协议见证隐藏安全性研究

输入分布切换技术的详细分析

输入分布切换技术是解决经典公共硬币协议在唯一见证关系下见证隐藏问题的关键。下面我们详细分析其原理和应用。

技术原理

之前的不可能结果对黑盒归约有一个隐式限制，即归约 $R$ 只能在分布 $X$ 中的实例上调用对抗性验证者 $V^*$。而输入分布切换技术打破了这个限制。

对于一个困难语言 $L$，如果唯一见证关系 $R_L$ 上的分布 $(X, W)$ 存在一个在多见证关系上的不可区分的对应分布 $(X’, W’)$，那么我们可以利用这个对应关系进行分布切换。

假设我们有一个见证不可区分的协议 $\Pi$。在证明其对于唯一见证分布 $(X, W)$ 的见证隐藏属性时，我们可以在某些情况下将输入从 $(X, W)$ 切换到 $(X’, W’)$。由于协议 $\Pi$ 在多见证关系上是见证不可区分的，并且 $(X, W)$ 和 $(X’, W’)$ 不可区分，所以协议 $\Pi$ 在唯一见证分布 $(X, W)$ 上也是见证隐藏的。

应用范围

许多具有唯一见证的密码学问题满足输入分布切换技术的条件，例如：
- 离散对数问题 ：在某些特定的离散对数问题中，虽然每个实例可能只有一个见证，但可以找到一个与之不可区分的多见证关系分布。
- RSA 问题 ：同样，RSA 问题在一定条件下也可以应用输入分布切换技术，使得相关的见证不可区分协议具有见证隐藏属性。

以下是一个简单的表格，展示了一些满足条件的密码学问题及其对应的多见证关系分布：
| 密码学问题 | 唯一见证关系分布 | 多见证关系对应分布 |
| ---- | ---- | ---- |
| 离散对数问题 | $(X_{DL}, W_{DL})$ | $(X’ {DL}, W’ {DL})$ |
| RSA 问题 | $(X_{RSA}, W_{RSA})$ | $(X’ {RSA}, W’ {RSA})$ |

嵌入技术在 Schnorr 协议中的应用

经典的 Schnorr 协议在唯一见证关系下的见证隐藏安全性一直是一个难题，而嵌入技术为解决这个问题提供了新的途径。

嵌入技术原理

嵌入技术的核心思想是将 Schnorr 协议的实例嵌入到一个更大的结构中，使得可以基于一个更宽松的类似一次离散对数假设来证明其见证隐藏属性。

具体来说，对于 Schnorr 协议中的陈述 $x$ 和见证 $w$，我们通过某种方式将其嵌入到一个新的实例 $(x’, w’)$ 中，其中 $x’$ 包含了 $x$ 的信息，$w’$ 与 $w$ 相关。然后，我们利用这个新的实例来与对抗性验证者进行交互。

宽松的类似一次离散对数假设

为了说明嵌入技术的合理性，引入了量身定制的实例压缩概念。这个概念捕捉了离散对数问题中实例之间的某种压缩关系。

宽松的类似一次离散对数假设认为，不存在一种有效的实例压缩方案来解决离散对数问题。如果存在这样的压缩方案，那么就会导致一些令人惊讶的结果，例如：
- 对于 AND - DL 语言的零知识协议将具有极其高效的通信。
- 基于离散对数问题的哈希函数将有非常不平凡的哈希组合器。

以下是嵌入技术在 Schnorr 协议中的应用流程 mermaid 流程图：

graph TD;
    A[原始 Schnorr 协议实例 (x, w)] --> B[嵌入到新实例 (x', w')];
    B --> C[与对抗性验证者 V* 交互];
    C --> D{是否能基于宽松假设证明见证隐藏};
    D -- 是 --> E[协议具有见证隐藏属性];
    D -- 否 --> F[重新调整嵌入方式];
    F --> B;

实际应用与展望

上述研究成果在实际应用中具有重要的意义，同时也为未来的研究提供了方向。

实际应用

身份验证 ：高效低次多项式批量零知识证明可以用于高效地证明用户的身份信息，而经典协议在唯一见证关系下的见证隐藏安全性研究可以确保在身份验证过程中用户的秘密密钥不被泄露，从而提高身份验证的安全性和隐私性。
隐私保护 ：在一些需要保护用户隐私的场景中，如匿名投票、数据共享等，这些技术可以帮助证明者在不泄露敏感信息的情况下证明某些陈述的真实性。