Cam kết của Pedersen và Kiến thức Không tính toán

Tôi tò mò về cách "tốt" là kiến ​​thức tính toán bằng không? Xem xét cam kết của Pedersen $z = g^x h^y$. Tồn tại giao thức ZK hoàn hảo (dựa trên Schnorr's) để chứng minh rằng một người biết bí mật $x$ và $y$. Nhưng làm thế nào về một "thư giãn" sau đây:

(1) Tục ngữ gửi $G = g^x$ và $H = h^y$ (và người xác minh cần xác minh $G\times H = z$); (2) Người tục ngữ chạy hai ví dụ về giao thức của Schnorr để chứng minh rằng cô ấy biết logarit của $G$ và $H$

Có vẻ như giao thức này là tính toán ZK, vì trình mô phỏng có thể chỉ cần chọn một cặp ngẫu nhiên ($G'$, $H'$) như vậy mà $G' \times H' = z$. Từ $(G',H')$ sẽ không thể phân biệt được với thực tế $(G,H)$, thì cuộc trò chuyện của trình giả lập sẽ không thể phân biệt được với cuộc trò chuyện thực (về mặt tính toán). [Bạn có thể xác minh rằng khiếu nại này là chính xác? Cảm ơn!]

Nhưng sau đó giao thức thực sự rò rỉ một cái gì đó - ví dụ, hãy nghĩ về trường hợp $x=1$. Cam kết pedersen sau đó mất đi che giấu hoàn hảo đây.

Vì vậy, câu hỏi đặt ra là: khi sử dụng ZK tính toán, nó có được coi là thỏa đáng không (nếu sử dụng một mình?) Nên bổ sung một số tính chất như nhân chứng không thể phân biệt được yêu cầu?

Giao thức không phải là kiến ​​thức không tính toán. Tính toán ZK là thỏa đáng ngay cả khi "được sử dụng một mình", và đặc biệt ngụ ý tính không thể phân biệt của nhân chứng (tính toán).

Sai lầm là ở câu

Có vẻ như giao thức này là tính toán ZK, vì trình mô phỏng có thể chỉ cần chọn một cặp ngẫu nhiên ($G'$, $H'$) như vậy mà $G' \times H' = z$. Từ $(G',H')$ sẽ không thể phân biệt được với thực tế $(G,H)$, thì cuộc trò chuyện của trình giả lập sẽ không thể phân biệt được với cuộc trò chuyện thực (về mặt tính toán).

Trình mô phỏng thực sự có thể chọn $(G',H')$ ngẫu nhiên có điều kiện $G'H' = z$, nhưng điều này không thể phân biệt được với hàng thật $(G,H)$ nói chung. nhớ lại rằng $z$ (cam kết của Pedersen) là từ: không có giả định nào được đưa ra về việc phân phối của nó. Lấy ví dụ tương tự như trong câu hỏi của bạn, khi $x=1$, sau đó giao thức thực giao tiếp $(g^x, h^y) = (g, h^y)$. Mặt khác, trình mô phỏng giao tiếp ngẫu nhiên $G'$ thay vì $g$, có thể dễ dàng phân biệt với giao thức trung thực.