21、哈希到素数的零知识谓词：原理、应用与评估

哈希到素数的零知识谓词：原理、应用与评估

1. 哈希到素数的零知识谓词基础

在哈希到素数的相关研究中，有两个重要的声明：
- $\mu = hashToPrime_{\Upsilon_E} (\nu, t, u)$
- $\mu = hashToPrime_{\Upsilon_R} (\nu, t, (n_j)_{j = 0}^t)$

在谓词规范中，分别将消除的素数候选数 $u$ 和 $(n_j)_{j = 0}^t$ 声明为公共知识。这里有一个关于放松要求的说明，原本 $hashToPrime()$ 要求通过证明所有先前候选数的合数性来选择序列中的第一个素数，但当只关注证明者选择的素数是由 $x$ 的哈希值导出时，这个要求可以放松。此时，证明者可以消除所有中间的合数性证明，这样复杂度就主要由所采用的素性谓词决定。

2. 哈希到素数的应用

哈希到素数有多种自然扩展和应用，下面详细介绍：

2.1 值 - 素数关联

哈希到素数的零知识谓词计算成本较高，因此将输入 $x$ 与对应的素数 $p_x$ 的配对存储在数字证书中是很自然的做法。这里采用 SRSA Camenisch - Lysyanskaya 签名方案来获取输入 $x$ 和素数 $p_x$ 之间关联的保密盲签名。具体步骤如下：
1. 设置环境 ：
- 给定一个特殊 RSA 模数 $N$ 下的二次剩余群 $QRN$，其群阶未知。
- 假设离散对数和强 RSA 问题在该群中是困难的。
- 在 $QRN$ 中设置一个整数承诺方案，基为 $R_x$、$R_{p_x}$ 和