22、非交互式零知识证明与数字签名技术解析

非交互式零知识证明与数字签名技术解析

1. 公开可验证证明的新安全问题

公开可验证证明引发了一个新的安全问题，即如何针对用户联盟维持零知识特性。尽管从定义上来说，证明对每个用户都是零知识的，但一组用户能否联合起来从中提取知识呢？如果可以，这个联盟需要多大规模才会造成危害？后续会实现公开可验证的非交互式零知识证明（NIZK）来解决这些问题。不过要强调的是，应用中使用的范式并不依赖于NIZK证明的特定实现，仅依赖其相关属性以及公开可验证性。

2. 随机函数

[GGM]引入了伪随机函数集合的概念。设 $F_k = {f_{\sigma} : |\sigma| = k}$ 是一个函数集合，不存在概率多项式时间算法能够区分 $F_k$ 中的成员 $f_{\sigma}$ 和真正的随机函数。也就是说，一个只能通过查询函数在不同点的值来访问函数的算法，无法判断它处理的是 $F_k$ 中的成员还是真正的随机函数。通过[GGM]和[ILL]的工作，得到定理：单向函数的存在意味着伪随机函数集合的存在。

3. 相关结果

这里提出的思想已有其他应用。Micali指出，在签名方案中使用交互式证明而非非交互式证明，可以仅基于任何单向函数的存在来实现不可否认签名。Feige和Shamir表明，见证隐藏证明足以实现签名方案的修改版本。

4. 符号说明

• 算法输入表示 ：若算法 $A$ 只接收一个输入，记为 “$A(.)$”；若接收两个输入，记为 “$A(-, -)$” 等。若 $A$ 是概率算法，对于输入 $i$，$A(i)$ 表示概率空间，它将字符串 $u$ 分配给 $