Sơ đồ ZK dựa trên Schnorr

TL; DR: Điều này TUYỆT ĐỐI không hoạt động và có rủi ro bảo mật rất lớn.Dù sao thì hãy đăng nó trong trường hợp có những mối đe dọa khác mà tôi đã bỏ lỡ hoặc để ngăn cản bất kỳ người nào khác nghĩ ra ý tưởng này.

Xin chào! Tôi là một người mới đối với mật mã học. Tôi đang bắt đầu dấn thân vào các kế hoạch ZK. Đối với một dự án nhỏ của tôi mà tôi dự định áp dụng những gì tôi đã học được cho đến nay, tôi đã nghĩ ra một giao thức và tôi rất muốn biết liệu nó có tốt không (tức là an toàn, thực sự không tương tác và ZK , vân vân). Nó sử dụng lại khá nhiều giao thức xác minh và xây dựng chữ ký Schnorr.

Cài đặt

• Người chơi là Alice, Bob và Đám đông.
• Tất cả người chơi đồng ý sử dụng nhóm con tuần hoàn bảo mật bằng mật mã của một đường cong elip nhất định, với trình tạo $G$.
• Bob có một cặp khóa công khai/riêng tư ($b$,$B=bG$).

Khách quan

Alice có một bí mật $s$, mà cô ấy cam kết công khai bằng cách thông báo $S$ (được xây dựng như $S=sG$).

Bob muốn chứng minh với bất kỳ thành viên nào của Đám đông rằng anh ta biết $s$, nhưng không tiết lộ bất cứ điều gì về $s$ (ZK). Ngoài ra, anh ấy muốn bằng chứng của mình không tương tác và có thể tái sử dụng bởi bất kỳ thành viên hay hoài nghi nào của Đám đông.

giao thức

1. Alice thông báo công khai $S$.
2. Bob tuyên bố biết $s$ và nộp một bằng chứng $p=s-b$.
3. Đám đông coi đó là bằng chứng hợp lệ nếu $pG+B=S$.

cơ sở lý luận

1. Để Bob có thể xây dựng một giá trị hợp lệ $p=s-b$ theo ý muốn, anh ta được yêu cầu phải biết $s$. Anh ấy biết việc xác minh liên quan đến việc loại bỏ $-b$ một phần, vì vậy không biết $s$ có nghĩa là không thể kết thúc với $S$ đến cuối cùng.
2. Bob không cung cấp bất kỳ thông tin nào về $s$ bởi vì nó được che dấu bởi sự bổ sung với $-b$. Vì không ai khác biết $b$, về cơ bản, nó ngẫu nhiên hóa các giá trị một cách thống nhất.
3. Đám đông biết rằng Bob thực sự biết bởi vì việc tạo ra bằng chứng liên quan đến việc biết $b$ cũng như $s$ cho một nguyên tắc tương tự như điểm đầu tiên. Nếu ai đó biết $s$ nhưng không $b$, họ không thể trừ số tiền chính xác $-b$ được khôi phục trong quá trình xác minh và kết quả cuối cùng của nó sẽ không được $S$.

câu hỏi

• Đây có phải là chương trình ZK không bắt buộc hợp lệ không?
• Nó có phải là một trong những tốt nếu vậy?
• Có bất kỳ lợi thế nào của việc sử dụng zkSNARK so với sơ đồ như vậy không, với chức năng đã được chứng minh là, chẳng hạn, người dùng biết hàm băm của từ và hàm băm của từ được nối với khóa công khai của riêng họ?

Cảnh báo

Điều này hoàn toàn không hoạt động. Nó cực kỳ rủi ro vì bất kỳ người chơi nào (Bob trong trường hợp này) có thể bị rò rỉ khóa riêng của họ: bất kỳ người chơi nào khác biết $s$ (Alice trong trường hợp này, và bất kỳ ai khác nắm giữ $s$ bằng bất cứ cách nào) chỉ có thể làm $b = s - p$. Trong sơ đồ chữ ký Schnorr, có một yếu tố đi kèm $b$. Nhưng yếu tố này được biết đến rộng rãi vì nó được sử dụng trong giao thức xác minh và do đó không thể bảo vệ $b$ trong trường hợp này. Bài học quan trọng mà tôi rất vui vì có thể coi đó là một bài học, đó là trong giao thức Schnorr, điều tối quan trọng là giữ $k$ an toàn.