[论文解读] On Concurrent and Resettable Zero-Knowledge Proofs for NP

Joe Kilian, Erez Petrank+1 more|ArXiv.org|Jul 3, 2001

Cryptography and Data Security参考文献 19被引用 5

一句话总结

本文提出了首个已知的适用于所有NP语言的并发零知识交互式证明系统，在异步环境中通过统计承诺方案实现˜O(log²k)轮次的安全性。此外，本文进一步证明该协议可通过Canetti等人提出的技术调整为可重置零知识，即使验证者使用相同的随机带重置证明者，仍能保持安全性。

ABSTRACT

A proof is concurrent zero-knowledge if it remains zero-knowledge when many copies of the proof are run in an asynchronous environment, such as the Internet. It is known that zero-knowledge is not necessarily preserved in such an environment. Designing concurrent zero-knowledge proofs is a fundamental issue in the study of zero-knowledge since known zero-knowledge protocols cannot be run in a realistic modern computing environment. In this paper we present a concurrent zero-knowledge proof systems for all languages in NP. Currently, the proof system we present is the only known proof system that retains the zero-knowledge property when copies of the proof are allowed to run in an asynchronous environment. Our proof system has $ ilde{O}(\log^2 k)$ rounds (for a security parameter $k$), which is almost optimal, as it is shown by Canetti Kilian Petrank and Rosen that black-box concurrent zero-knowledge requires $ ildeΩ(\log k)$ rounds. Canetti, Goldreich, Goldwasser and Micali introduced the notion of {\em resettable} zero-knowledge, and modified an earlier version of our proof system to obtain the first resettable zero-knowledge proof system. This protocol requires $k^{θ(1)}$ rounds. We note that their technique also applies to our current proof system, yielding a resettable zero-knowledge proof for NP with $ ilde{O}(\log^2 k)$ rounds.

研究动机与目标

• 构建一个适用于NP的并发零知识证明系统，使其在异步、并发执行环境中仍保持安全。
• 克服现有零知识协议的局限性，这些协议在多个证明在网路中并行执行时无法保持零知识性质。
• 实现一个即使在对抗性并发组合下也能维持零知识的协议，这是实际部署中的关键需求。
• 将协议扩展以支持可重置零知识，从而在如基于智能卡的身份认证等场景中实现更强的鲁棒性，其中证明者可能被重置。

提出的方法

• 协议使用同时具备统计绑定性和统计保密性的统计承诺方案，这些方案可基于伪随机生成器和抗碰撞哈希函数高效构造。
• 证明者与验证者进行预处理阶段，验证者在实际知晓图结构之前，便使用承诺方案预先承诺其随机查询（顶点对）。
• 协议被设计为以轮次数为参数的证明系统族，当轮次数为ω(log²k)时，可保证安全性。
• 通过重用首个证明者模块在多个交互中的随机带，构建模拟器以处理并发执行，从而保持分布不可区分性。
• 模拟器即使在多个验证中使用相同随机字符串的情况下，仍能利用承诺方案的保密性和绑定性。
• 通过修改模拟器以处理使用相同随机带重复调用证明者的场景，结合Canetti等人提出的技术，将协议调整为支持可重置零知识。

实验结果

研究问题

• RQ1 能否构造一个适用于NP的并发零知识证明系统，使其在多个证明于异步网络中执行时仍保持安全？
• RQ2 在已知黑盒构造的˜Ω(log k)下限前提下，是否可能实现接近最优轮次复杂度的并发零知识？
• RQ3 能否进一步强化并发零知识协议，使其支持可重置零知识，即验证者可使用相同随机带重置证明者？
• RQ4 使用统计承诺方案是否能在并发和可重置场景中同时实现效率与强安全保证？
• RQ5 模拟器是否能在多个并发执行中使用相同随机带的情况下，不破坏模拟输出的不可区分性？

主要发现

• 本文提出了首个已知的适用于所有NP语言的并发零知识交互式证明系统，在异步环境中的并发执行下保持安全。
• 该协议需要˜O(log²k)轮次，接近最优，因其与已知的黑盒构造˜Ω(log k)下限相匹配。
• 协议依赖于标准密码学假设：具有绑定性和保密性的统计承诺方案，可基于伪随机生成器和抗碰撞哈希函数实现。
• 通过Canetti等人提出的技术，该协议可转换为可重置零知识证明，实现˜O(log²k)轮次的可重置零知识。
• 由于承诺方案在重复使用下的鲁棒性，模拟器在验证者使用相同随机带重置证明者时仍保持高效且不可区分。
• 协议在多个使用不同输入的并发执行中仍保持安全，因为模拟器独立处理每个交互而无信息泄露。