und wiederholt so oft bis r i − u ∈ B(0, γt/2). P sendet m 1 , . . . , m k . 2. V sendet c = (c 1 , . . . , c k ) ∈ R {0, 1} k

Prof. C. P. Schnorr Sommersemester 2014

Gitter und Kryptographie

Blatt 7, 04.06.2014, Abgabe Mittwoch, 11.06.2014 Paralleles Identifikationsprotokoll (P, V ) ^par _MV

1. P wählt r _i ∈ _R B(0, γt/2) ∩ Z ^m für i = 1, . . . , k, setzt m _i := r _i mod B = r _i + Bv _i ∈ P (B) (Grundmasche)

und wiederholt so oft bis r _i − u ∈ B(0, γt/2). P sendet m ₁ , . . . , m _k . 2. V sendet c = (c ₁ , . . . , c _k ) ∈ _R {0, 1} ^k

3. P sendet v _i (c _i ) := v _i − c _i w für i = 1, . . . , k.

4. V akzeptiert wenn für i = 1, . . . , k km _i − B v _i (c _i ) − yc _i k ≤ γt/2.

Für den geheimen Schlüssel w, u gilt: kBw − yk ≤ t mit u = y − Bw.

Aufgabe 1: Zeige die Korrektheit: V akzeptiert immer, wenn P dem Pro- tokoll folgt.

Aufgabe 2: Der triviale P ^∗ hat mit Ws 2 ^−k Erfolg, indem er c = (c 1 , . . . , c k ) errät und m ₁ , . . . , m _k “entsprechend" bestimmt. Die Ws bezieht sich auf die Zufallsbits von P ^∗ .

Aufgabe 3. Zeige für jeden Super–P ^∗ mit Erfolgsws ≥ 2 ^−k + ε :

P ^∗ bestimmt v _i (c _i ) so dass mit Ws ≥ ε : ∃i ≤ k : kB(v _i (0)−v _i (1))−yk ≤ γt.

Ws bezieht sich auf die Zufallsbits von P ^∗ und c ∈ _R {0, 1} ^k . Hinweis: Zeige: km _i − Bv _i (c _i ) − yc _i k ≤ γt/2 für c _i = 0, 1.

Aufgabe 4 : Skizziere einen Extraktor AL ^P

, der zu P ^∗ von Aufgabe 3 in O(|P ^∗ |/ε) Schritten w ^∗ := v _i (0) − v _i (1) extrahiert mit kBw ^∗ − yk ≤ γt.

Punktzahl pro Aufgabe 1, 2, 3, 4 : 4, 4, 5, 6