60、一次性菲亚特 - 沙米尔基于非交互式零知识证明：复合剩余性与对数大小环签名

一次性菲亚特 - 沙米尔基于非交互式零知识证明：复合剩余性与对数大小环签名

1. 引言

菲亚特 - 沙米尔变换是一种将交互式协议转换为非交互式证明系统的著名技术，通过将验证者的挑战计算为目前为止的记录的哈希值来实现。虽然它在随机预言模型（ROM）中得到了广泛应用，但在一般情况下可能无法保证证明的可靠性。直到最近，Canetti 等人和 Peikert - Shiehian 的研究表明，在学习带误差（LWE）假设下，将相关不可解（CI）哈希函数应用于陷门 Σ 协议，可以实现菲亚特 - 沙米尔变换的安全性。

相关不可解性要求对于一个关系 R，给定一个随机哈希密钥 k，很难找到 x 使得 (x, Hk(x)) ∈ R。这种性质为证明提供了可靠性，因为它能大概率防止作弊证明者的第一条消息被哈希成一个能得到有效响应的挑战。Canetti 等人指出，只要菲亚特 - 沙米尔变换应用于陷门 Σ 协议，为可有效搜索的关系构建 CI 哈希函数就足够了。陷门 Σ 协议与标准 Σ 协议有两个不同之处：一是假设存在一个公共参考字符串（CRS）；二是存在一个可有效计算的函数 BadChallenge，它以陷门 τΣ、错误陈述 x ∉ L 和证明者的第一条消息 a 为输入，计算出唯一的挑战 Chall，使得对于某个响应 z 存在一个可接受的记录 (a, Chall, z)。

虽然之前的研究解决了在标准格假设下为所有 NP 语言实现非交互式零知识（NIZK）证明的问题，但也引发了一个问题：基于 LWE 的相关不可解哈希函数能否为特定语言（如子组成员关系）带来紧凑的证明或论证。本文针对 Paillier 的复合剩余性假设（DCR）来研究这个问题，旨在获得与随机预言模型中菲亚特 - 沙米尔启发式方法得到的证明长度相