8.Februar2011 wilhelm@math.hu-berlin.de PaulWilhelm ElektronischesGeld

(1)

Kryptographische Primitive CL Signatur Literatur

Elektronisches Geld

Paul Wilhelm wilhelm@math.hu-berlin.de

Humboldt-Universit¨ at zu Berlin

8. Februar 2011

(2)

Gliederung I

1 Kryptographische Primitive Commitment Schema Zero-Knowledge-Protokoll

2 CL Signatur CL Signatur

3 Literatur

Literatur

(3)

Commitment Schema

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

m

Q

i=1

g _i ^v

ⁱ

(4)

Commitment Schema

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

m

Q

i=1

g _i ^v

ⁱ

(5)

Commitment Schema

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

m

Q

i=1

g _i ^v

ⁱ

(6)

Commitment Schema

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

m

Q

i=1

g _i ^v

ⁱ

(7)

Commitment Schema

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

m

Q

i=1

g _i ^v

ⁱ

(8)

Zero-Knowledge-Protokoll

Beispiel (Darstellungsproblem)

Beispiel - interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

1

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

V sendet c ∈ _R {0, 1} an P (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V ¨ uberpr¨ uft ob Q m

i=1

g _i ^r

ⁱ

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

(9)

Beispiel (Darstellungsproblem)

Beispiel - interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

1

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

V sendet c ∈ _R {0, 1} an P (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V ¨ uberpr¨ uft ob Q m

i=1

g _i ^r

ⁱ

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

(10)

Beispiel (Darstellungsproblem)

Beispiel - interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

1

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

V sendet c ∈ _R {0, 1} an P (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V ¨ uberpr¨ uft ob Q m

i=1

g _i ^r

ⁱ

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

(11)

Beispiel (Darstellungsproblem)

Beispiel - interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

1

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

V sendet c ∈ _R {0, 1} an P (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V ¨ uberpr¨ uft ob Q m

i=1

g _i ^r

ⁱ

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

(12)

Beispiel (Darstellungsproblem)

Beispiel - interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

1

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

V sendet c ∈ _R {0, 1} an P (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V ¨ uberpr¨ uft ob Q m

i=1

g _i ^r

ⁱ

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

(13)

Beispiel (Darstellungsproblem)

Beispiel - interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

1

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

V sendet c ∈ _R {0, 1} an P (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V ¨ uberpr¨ uft ob Q m

i=1

g _i ^r

ⁱ

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

(14)

Beispiel (Darstellungsproblem)

Beispiel - interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

1

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

V sendet c ∈ _R {0, 1} an P (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V ¨ uberpr¨ uft ob Q m

i=1

g _i ^r

ⁱ

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

(15)

Beispiel (Darstellungsproblem)

Beispiel - nicht interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

P und V kennen Hash-Funktion H : G ^m × G × G → Z q

1

P w¨ ahlt (v ₁ , ..., v _m ) ∈ _R Z ^m _q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

P berechnet c = H(g ₁ , ..., g _m , y, t) (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V berechnet c = H(g ₁ , ..., g m , y, t) und ¨ uberpr¨ uft ob

m

Q

i=1

g _i ^r

ⁱ

· y ^c = ^? t

Auch weitere Verifizierer V ⁰ k¨ onnen mit g i , y, H, t, r i ¨ uberpr¨ ufen ob

P (x ₁ , ..., x _m ) kennt.

(16)

Beispiel (Darstellungsproblem)

Beispiel - nicht interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

P und V kennen Hash-Funktion H : G ^m × G × G → Z q

1

P w¨ ahlt (v ₁ , ..., v _m ) ∈ _R Z ^m _q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

P berechnet c = H(g ₁ , ..., g _m , y, t) (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V berechnet c = H(g ₁ , ..., g m , y, t) und ¨ uberpr¨ uft ob

m

Q

i=1

g _i ^r

ⁱ

· y ^c = ^? t

Auch weitere Verifizierer V ⁰ k¨ onnen mit g i , y, H, t, r i ¨ uberpr¨ ufen ob

P (x ₁ , ..., x _m ) kennt.

(17)

Beispiel (Darstellungsproblem)

Beispiel - nicht interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

P und V kennen Hash-Funktion H : G ^m × G × G → Z q

1

P w¨ ahlt (v ₁ , ..., v _m ) ∈ _R Z ^m _q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

P berechnet c = H(g ₁ , ..., g _m , y, t) (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V berechnet c = H(g ₁ , ..., g m , y, t) und ¨ uberpr¨ uft ob

m

Q

i=1

g _i ^r

ⁱ

· y ^c = ^? t

Auch weitere Verifizierer V ⁰ k¨ onnen mit g i , y, H, t, r i ¨ uberpr¨ ufen ob

P (x ₁ , ..., x _m ) kennt.

(18)

Beispiel (Darstellungsproblem)

Beispiel - nicht interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

P und V kennen Hash-Funktion H : G ^m × G × G → Z q

1

P w¨ ahlt (v ₁ , ..., v _m ) ∈ _R Z ^m _q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

P berechnet c = H(g ₁ , ..., g _m , y, t) (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V berechnet c = H(g ₁ , ..., g m , y, t) und ¨ uberpr¨ uft ob

m

Q

i=1

g _i ^r

ⁱ

· y ^c = ^? t

Auch weitere Verifizierer V ⁰ k¨ onnen mit g i , y, H, t, r i ¨ uberpr¨ ufen ob

P (x ₁ , ..., x _m ) kennt.

(19)

Beispiel (Darstellungsproblem)

Beispiel - nicht interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

P und V kennen Hash-Funktion H : G ^m × G × G → Z q

1

P w¨ ahlt (v ₁ , ..., v _m ) ∈ _R Z ^m _q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

P berechnet c = H(g ₁ , ..., g _m , y, t) (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V berechnet c = H(g ₁ , ..., g m , y, t) und ¨ uberpr¨ uft ob

m

Q

i=1

g _i ^r

ⁱ

· y ^c = ^? t

Auch weitere Verifizierer V ⁰ k¨ onnen mit g i , y, H, t, r i ¨ uberpr¨ ufen ob

P (x ₁ , ..., x _m ) kennt.

(20)

Beispiel (Darstellungsproblem)

Beispiel - nicht interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

P und V kennen Hash-Funktion H : G ^m × G × G → Z q

1

P w¨ ahlt (v ₁ , ..., v _m ) ∈ _R Z ^m _q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

P berechnet c = H(g ₁ , ..., g _m , y, t) (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V berechnet c = H(g ₁ , ..., g m , y, t) und ¨ uberpr¨ uft ob

m

Q

i=1

g _i ^r

ⁱ

· y ^c = ^? t

Auch weitere Verifizierer V ⁰ k¨ onnen mit g i , y, H, t, r i ¨ uberpr¨ ufen ob

P (x ₁ , ..., x _m ) kennt.

(21)

Beispiel (Darstellungsproblem)

Beispiel - nicht interaktiv

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

m

Q

i=1

g _i ^x

ⁱ

, V kennt nur y und g i

P und V kennen Hash-Funktion H : G ^m × G × G → Z q

1

P w¨ ahlt (v ₁ , ..., v _m ) ∈ _R Z ^m _q , sendet t =

m

Q

i=1

g _i ^v

ⁱ

an V (commitment)

2

P berechnet c = H(g ₁ , ..., g _m , y, t) (challenge)

3

P sendet r _i = v _i − cx _i an V (response)

4

V berechnet c = H(g ₁ , ..., g m , y, t) und ¨ uberpr¨ uft ob

m

Q

i=1

g _i ^r

ⁱ

· y ^c = ^? t

Auch weitere Verifizierer V ⁰ k¨ onnen mit g i , y, H, t, r i ¨ uberpr¨ ufen ob

P (x ₁ , ..., x _m ) kennt.

(22)

CL Signatur

Voraussetzungen

Seien G =< g > und G t =< g ˆ > Gruppen der Ordnung q ∈ P Es gibt eine Abbildung e : G × G → G _t mit:

e(P ^a , Q ^b ) = e(P , Q) ^ab ∀ P , Q ∈ G , a, b ∈ Z q (bilinear)

∃ P, Q ∈ G mit e(P , Q ) 6= 1 ∈ G t (nicht degeneriert) e(., .) ist effizient berechenbar

∀ g mit < g >= G gilt < e(g , g ) >= G _t

(23)

CL Signatur

Voraussetzungen

Seien G =< g > und G t =< g ˆ > Gruppen der Ordnung q ∈ P Es gibt eine Abbildung e : G × G → G _t mit:

e(P ^a , Q ^b ) = e(P , Q) ^ab ∀ P , Q ∈ G , a, b ∈ Z q (bilinear)

∃ P, Q ∈ G mit e(P , Q ) 6= 1 ∈ G t (nicht degeneriert) e(., .) ist effizient berechenbar

∀ g mit < g >= G gilt < e(g , g ) >= G _t

(24)

CL Signatur

Voraussetzungen

Seien G =< g > und G t =< g ˆ > Gruppen der Ordnung q ∈ P Es gibt eine Abbildung e : G × G → G _t mit:

e(P ^a , Q ^b ) = e(P , Q) ^ab ∀ P , Q ∈ G , a, b ∈ Z q (bilinear)

∃ P, Q ∈ G mit e(P , Q ) 6= 1 ∈ G t (nicht degeneriert) e(., .) ist effizient berechenbar

∀ g mit < g >= G gilt < e(g , g ) >= G _t

(25)

CL Signatur

Voraussetzungen

Seien G =< g > und G t =< g ˆ > Gruppen der Ordnung q ∈ P Es gibt eine Abbildung e : G × G → G _t mit:

e(P ^a , Q ^b ) = e(P , Q) ^ab ∀ P , Q ∈ G , a, b ∈ Z q (bilinear)

∃ P, Q ∈ G mit e(P , Q ) 6= 1 ∈ G t (nicht degeneriert) e(., .) ist effizient berechenbar

∀ g mit < g >= G gilt < e(g , g ) >= G _t

(26)

CL Signatur

Voraussetzungen

Seien G =< g > und G t =< g ˆ > Gruppen der Ordnung q ∈ P Es gibt eine Abbildung e : G × G → G _t mit:

e(P ^a , Q ^b ) = e(P , Q) ^ab ∀ P , Q ∈ G , a, b ∈ Z q (bilinear)

∃ P, Q ∈ G mit e(P , Q ) 6= 1 ∈ G t (nicht degeneriert) e(., .) ist effizient berechenbar

∀ g mit < g >= G gilt < e(g , g ) >= G _t

(27)

CL Signatur

Voraussetzungen

Seien G =< g > und G t =< g ˆ > Gruppen der Ordnung q ∈ P Es gibt eine Abbildung e : G × G → G _t mit:

e(P ^a , Q ^b ) = e(P , Q) ^ab ∀ P , Q ∈ G , a, b ∈ Z q (bilinear)

∃ P, Q ∈ G mit e(P , Q ) 6= 1 ∈ G t (nicht degeneriert) e(., .) ist effizient berechenbar

∀ g mit < g >= G gilt < e(g , g ) >= G _t

(28)

CL Signatur

Voraussetzungen

Seien G =< g > und G t =< g ˆ > Gruppen der Ordnung q ∈ P Es gibt eine Abbildung e : G × G → G _t mit:

e(P ^a , Q ^b ) = e(P , Q) ^ab ∀ P , Q ∈ G , a, b ∈ Z q (bilinear)

∃ P, Q ∈ G mit e(P , Q ) 6= 1 ∈ G t (nicht degeneriert) e(., .) ist effizient berechenbar

∀ g mit < g >= G gilt < e(g , g ) >= G _t

(29)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(30)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(31)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(32)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(33)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(34)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(35)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(36)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(37)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(38)

CL Signatur

Signatur

Nachricht m, geheimer Schl¨ ussel sk = (x, y ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y )

m signieren:

w¨ ahle a ∈ _R G , setze Signatur σ = (a, b = a ^y , c = a ^x+xym )

σ von m verifizieren:

pr¨ ufe b: e(a, Y ) = ^? e(g , b)

pr¨ ufe c : e(X , a) · e(X , b) ^m = ^? e (g , c )

(39)

CL Signatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von m verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ ) : e(X , ˜ a) · e (X , b) ˜ ^m = ^? e(g , ˆ c) ^τ

(40)

CL Signatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von m verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ ) : e(X , ˜ a) · e (X , b) ˜ ^m = ^? e(g , ˆ c) ^τ

(41)

CL Signatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von m verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ ) : e(X , ˜ a) · e (X , b) ˜ ^m = ^? e(g , ˆ c) ^τ

(42)

CL Signatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von m verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ ) : e(X , ˜ a) · e (X , b) ˜ ^m = ^? e(g , ˆ c) ^τ

(43)

CL Signatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von m verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ ) : e(X , ˜ a) · e (X , b) ˜ ^m = ^? e(g , ˆ c) ^τ

(44)

CL Signatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von m verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ ) : e(X , ˜ a) · e (X , b) ˜ ^m = ^? e(g , ˆ c) ^τ

(45)

CL Signatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von m verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ ) : e(X , ˜ a) · e (X , b) ˜ ^m = ^? e(g , ˆ c) ^τ

(46)

CL Signatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von m verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ ) : e(X , ˜ a) · e (X , b) ˜ ^m = ^? e(g , ˆ c) ^τ

(47)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(48)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(49)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(50)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(51)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(52)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(53)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(54)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(55)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(56)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(57)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(58)

CL Signatur

blind signieren

Nachricht M = g ^m · Z ^r , geheimer Schl¨ ussel sk = (x, y, z ), ¨ offentlicher Schl¨ ussel pk = (X = g ^x , Y = g ^y , Z = g ^z )

m mit M blind signieren:

w¨ ahle α ∈ _R G , pr¨ ufe ZPK {(µ, %) : M = g ^µ · Z ^% }, setze Signatur σ = (a = g ^α , A = a ^z , b = a ^y , B = A ^y , c = a ^x M ^αxy )

σ von m verifizieren:

pr¨ ufe A: e(a, Z ) = ^? e(g , A)

pr¨ ufe b und B : e (a, Y ) = ^? e (g , b) und e(A, Y ) = ^? e(g , B)

pr¨ ufe c : e(X , a) · e(X , b) ^m · e (X , B ) ^r = ^? e (g , c )

(59)

Literatur

Quellen

Goldreich: Foundations of Cryptography - A Primer. now Boston Delft 2005.

Goldreich: A Short Tutorial of Zero-Knowledge. 2010.

Camenisch und Stadler: Proof Systems for General Statements about Discrete Logarithms. 1997.

Agnes Chan, Yair Frankel und Yiannis Tsiounis: Easy come — Easy go

divisible cash. 1998.

(60)

Literatur

Quellen

Camenisch und Lysyanskaya: Signature Schemes and Anonymous Credentials from Bilinear Maps. 2005.

Camenisch, Hohenberger und Lysyanskaya: Compact E-Cash. 2006.

Bethencourt: Intro to Bilinear Maps. Vortrag 2006.

Dan Boneh, Matthew K. Franklin, Identity-Based Encryption from the Weil Pairing. 2001.

The P(airing) B(ased) C(ryptography) library, designed by Ben Lynn et.

al. is an open C-project based on GMP (http://crypto.stanford.edu/pbc/).

(61)

Literatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von M verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ, µ, %) : e(X , ˜ a) · e (X , b) ˜ ^µ = ^? e(g , ˆ c) ^τ und M = g ^µ · Z ^%

(62)

Literatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von M verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ, µ, %) : e(X , ˜ a) · e (X , b) ˜ ^µ = ^? e(g , ˆ c) ^τ und M = g ^µ · Z ^%

(63)

Literatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von M verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ, µ, %) : e(X , ˜ a) · e (X , b) ˜ ^µ = ^? e(g , ˆ c) ^τ und M = g ^µ · Z ^%

(64)

Literatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von M verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ, µ, %) : e(X , ˜ a) · e (X , b) ˜ ^µ = ^? e(g , ˆ c) ^τ und M = g ^µ · Z ^%

(65)

Literatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von M verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ, µ, %) : e(X , ˜ a) · e (X , b) ˜ ^µ = ^? e(g , ˆ c) ^τ und M = g ^µ · Z ^%

(66)

Literatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von M verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ, µ, %) : e(X , ˜ a) · e (X , b) ˜ ^µ = ^? e(g , ˆ c) ^τ und M = g ^µ · Z ^%

(67)

Literatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

˜

σ von M verifizieren:

pr¨ ufe ˜ b: e(˜ a, Y ) = ^? e(g , ˜ b) pr¨ ufe ˆ c : ZPK

(τ, µ, %) : e(X , ˜ a) · e (X , b) ˜ ^µ = ^? e(g , ˆ c) ^τ und M = g ^µ · Z ^%

(68)

Literatur

blind verifizieren

Commitment der Signatur: w¨ ahle r , r ⁰ ∈ _R Z q , berechne

˜

σ =

˜

a = a ^r , b ˜ = b ^r , ˆ c = ˜ c ^r

⁰

= c ^rr

⁰

8.Februar2011 wilhelm@math.hu-berlin.de PaulWilhelm ElektronischesGeld

Elektronisches Geld

Paul Wilhelm wilhelm@math.hu-berlin.de

Humboldt-Universit¨ at zu Berlin

8. Februar 2011

Gliederung I

1 Kryptographische Primitive Commitment Schema Zero-Knowledge-Protokoll

2 CL Signatur CL Signatur

3 Literatur

Literatur

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g i >= G ∀0 ≤ i ≤ m Geheimnis: (v 1 , ..., v m ) ∈ Z m q

Sender w¨ ahlt r ∈ R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g 0 r

m

Q

i=1

g i v

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g i >= G ∀0 ≤ i ≤ m Geheimnis: (v 1 , ..., v m ) ∈ Z m q

Sender w¨ ahlt r ∈ R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g 0 r

m

Q

i=1

g i v

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g i >= G ∀0 ≤ i ≤ m Geheimnis: (v 1 , ..., v m ) ∈ Z m q

Sender w¨ ahlt r ∈ R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g 0 r

m

Q

i=1

g i v

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g i >= G ∀0 ≤ i ≤ m Geheimnis: (v 1 , ..., v m ) ∈ Z m q

Sender w¨ ahlt r ∈ R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g 0 r

m

Q

i=1

g i v

Darstellungsproblem

Pedersen Commitment:

Gruppe G , |G | = q ∈ P, < g i >= G ∀0 ≤ i ≤ m Geheimnis: (v 1 , ..., v m ) ∈ Z m q

Sender w¨ ahlt r ∈ R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g 0 r

m

Q

i=1

g i v

Beispiel (Darstellungsproblem)

Beispiel - interaktiv

P kennt (x 1 , ..., x m ) ∈ Z m q mit y =

m

Q

i=1

g i x

, V kennt nur y und g i

P w¨ ahlt (v 1 , ..., v m ) ∈ R Z m q , sendet t =

m

Q

i=1

g i v

an V (commitment)

V sendet c ∈ R {0, 1} an P (challenge)

P sendet r i = v i − cx i an V (response)

V ¨ uberpr¨ uft ob Q m

i=1

g i r

· y c = ? t

wiederhole 1-4, w¨ ahle v i und c neu

Beispiel (Darstellungsproblem)

Beispiel - interaktiv

P kennt (x 1 , ..., x m ) ∈ Z m q mit y =

m

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

g _i ^v

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

g _i ^v

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

g _i ^v

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

g _i ^v

Gruppe G , |G | = q ∈ P, < g _i >= G ∀0 ≤ i ≤ m Geheimnis: (v ₁ , ..., v _m ) ∈ Z ^m _q

Sender w¨ ahlt r ∈ _R Z q

Commitment: C =PedCom(v 1 , ..., v m ; r ) = g ₀ ^r

g _i ^v

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

g _i ^x

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

g _i ^v

V sendet c ∈ _R {0, 1} an P (challenge)

P sendet r _i = v _i − cx _i an V (response)

g _i ^r

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

g _i ^x

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

g _i ^v

V sendet c ∈ _R {0, 1} an P (challenge)

P sendet r _i = v _i − cx _i an V (response)

g _i ^r

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

g _i ^x

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

g _i ^v

V sendet c ∈ _R {0, 1} an P (challenge)

P sendet r _i = v _i − cx _i an V (response)

g _i ^r

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

g _i ^x

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =

g _i ^v

V sendet c ∈ _R {0, 1} an P (challenge)

P sendet r _i = v _i − cx _i an V (response)

g _i ^r

· y ^c = ^? t

wiederhole 1-4, w¨ ahle v _i und c neu

P kennt (x 1 , ..., x m ) ∈ Z ^m _q mit y =

g _i ^x

P w¨ ahlt (v 1 , ..., v m ) ∈ _R Z ^m q , sendet t =