48、乐观并发零知识协议解析

乐观并发零知识协议解析

1. 协议背景与优势

在并发零知识协议的研究中，存在两种不同的方法。第二种方法相较于第一种方法，其主要优势在于能以更少的时隙保证正确的“最坏情况”模拟。具体而言，第一种方法需要 $O(n^{\epsilon})$ 个时隙（对于任意 $\epsilon > 0$），而第二种方法仅需 $\tilde{O}(\log n)$ 个时隙。不过，第二种方法对实际调度情况不敏感，似乎不太适合利用时隙内无嵌套头部和/或尾部的特性。但通过自适应地识别多次回溯的合适位置，第二种方法可以在乐观并发的环境中发挥作用。利用无嵌套尾部来改进并发模拟的想法是新颖的，而且在一个时隙内无嵌套尾部对调度的约束相对较弱，可以通过多种实际机制来实现。

2. 协议流程

该协议主要分为两个阶段，具体流程如下：
- 公共输入 ：$x \in {0, 1}^n$，安全参数 $n$，最大轮数参数 $k = \omega(\log n)$。
- 证明者输入 ：见证 $w$，满足 $R_L(x, w) = 1$。

2.1 阶段 1

1. $P \to V (P_0)$ ：发送完美隐藏承诺 $Com$ 的第一条消息。
2. $V \to P (V_0)$ ：使用承诺 $Com$，对随机的 $\sigma$、${\sigma_{i,j}^0} {i,j = 1}^k$ 和 ${\sigma {i,j}^1} {i,j = 1}^k$