[論文レビュー] Proofs of Zero Knowledge

Matthias Bauer|ArXiv.org|Jun 29, 2004

Cryptography and Data Security参考文献 7被引用数 5

ひとこと要約

この論文は、鍵付きハッシュツリーを用いた新しい暗号プロトコルを提案し、データベースを信頼できない状況下でも、読者がデータベースの応答（存在の否定を含む）を検証できるようにする。著者がデータベース全体の状態をコミットする署名済み状態証明書を公開することで、高速で通信量の少ない方法で、データの存在と非存在の両方を検証可能にし、従来のゼロ知識セット方式に比べて速度が速く、複数の著者や動的更新に対応できる。

ABSTRACT

We present a protocol for verification of ``no such entry'' replies from databases. We introduce a new cryptographic primitive as the underlying structure, the keyed hash tree, which is an extension of Merkle's hash tree. We compare our scheme to Buldas et al.'s Undeniable Attesters and Micali et al.'s Zero Knowledge Sets.

研究の動機と目的

• 信頼できないデータベースに対して、特に『そのようなエントリは存在しない』という応答を検証する課題に対処すること。
• 読者がデータベース全体の状態をダウンロードせずに、エントリの存在および非存在を暗号的に検証できるシステムを設計すること。
• 複数の著者がデータベースを更新し、他の著者とのやり取りなしに独立して状態証明書を再計算・公開できるようにすること。グローバルPKIや著者の継続的関与は不要である。
• 動的変更をサポートし、既存の方式より高速である実用的で効率的なゼロ知識セットの代替案を提供すること。

提案手法

• データベース状態をコンactな検証可能な証明書に束縛するため、Merkleのハッシュツリーの拡張版である新しい暗号的プリミティブ「鍵付きハッシュツリー」を導入する。
• 状態証明書（固定順序のすべてのキーに対するハッシュベースのコミットメント）を著者が署名し、アナウンスサービスを通じて公開する。
• 照会されたキーへのパスに沿ったMerkle風の証明（兄弟ノードとコミットメント値を含む）を検証することで、データベースの応答を検証可能にする。
• 非存在の証明を実現するため、コミットメント値を持つ偽のノードの枝を構築し、そのルートコミットメントを変更して、パスが空のリーフに至っていることを隠す。
• 離散対数に基づくコミットメント方式（g^m * h^r）を用い、著者がノードの任意の値に再コミットできるようにすることで、非存在の説得力のある証明を可能にする。
• 著者が状態証明書に署名し、公開鍵を外部に保管することで、改ざんや誤った応答が読者によって検出可能になるようにし、セキュリティを確保する。

実験結果

リサーチクエスチョン

• RQ1 データベースからデータが返されない状況下で、読者がキーの存在しないことを正しく否定していることをどのように検証できるか？
• RQ2 著者が署名した状態証明書に、データベース全体の状態がコミットされている場合、そのデータベースが整合的であることを効率的に証明できるか？
• RQ3 複数の著者がデータベースを更新し、グローバルPKIを必要とせず、継続的な調整なしに検証可能な状態証明書を維持できるか？
• RQ4 どの暗号的プリミティブが、信頼できないデータベースにおいて、エントリの存在および非存在の両方を効率的かつ通信量を抑えて証明可能にするか？
• RQ5 提案された方式は、Micaliらのゼロ知識セット（例：Micali et al.）と比較して、性能およびセキュリティ面でどのように異なるか？

主な発見

• 提案された方式により、読者は非常に少量のデータでデータベースの応答（非存在の否定を含む）を検証可能となり、データベース全体をダウンロードする場合に比べて通信量を著しく削減できる。
• 鍵付きハッシュツリーの使用により、著者が変更ごとに状態証明書を再計算・再公開できる動的かつ効率的な更新が可能になり、他の著者とのやり取りは不要である。
• Micaliらのゼロ知識セットに比べ、著しく高速である。ノードごとに1つの最適化されたハッシュ関数で十分であり、従来方式の5つのモジュラー指数演算よりも高速である。
• 非存在の証明は、コミットメント値を持つ偽のノードの枝を構築し、そのルートコミットメントを再計算することで実現される。これにより、パスが空のリーフに至っていることが隠蔽される。
• ゼロ知識性は完全には保持されないが、不可否認署名や複雑な著者間の調整を回避するため、実世界での導入に向けより実用的である。
• このアプローチは、DNS やウェブホスティングなど、信頼できない環境下でもデータベースの整合性と完全性が重要な実世界のシステムに適用可能である。