《A Graduate Course in Applied Cryptography》Chapter 20 Proving properties in zero-knowledge (1)*

原文教材 与 参考资料：

        Boneh Dan , Shoup Victor . A Graduate Course in Applied Cryptography[J].

        该书项目地址（可以免费获取）：http://toc.cryptobook.us/

        博客内容为对该书的学习笔记（包括但不限于翻译、额外绘图、注解、个人理解等），并非原创知识，仅帮助理解，整理思路.
 

本章节将讨论将sigma协议应用成为“知识的证明”，使用重绕技术和知识合理性，将有效的提取一个证据从任何的证明者处。使用sigma协议构造零知识方案，安全取决于声明的真实性，而不是任何确定的知识概念。例如在CP协议中，证明者向验证者证明自己掌握一个DH元组，但是并非一个确定数值的DH元组，其的确掌握一个DH元组这件事就是声明的真实性。

20.1 languages and existenial soundness

开头说到证明“证明的真实性”，其实就是证明一种关系R，而该关系一定能用某种语言来描述，下面给出真实声明的描述语言定义：

true statement: 对于关系R，一个statement y 存在符合关系R的x。

false statement: 对于关系R，一个statement y 不存符合关系R的x。

定义LR，被称为由R定义的语言，其中LR是一个集合, 该集合中包含所有正确的statement.

给出一个之前章节提到的CP协议中的关系R的定义：

 现在给出一个定义“existenial soundness”存在合理性：

        存在一个协议PV是sigma协议，并且该协议能够有效的证明存在一个正确的关系R，那么存在一个敌手A, 该敌手在Y空间上选择一个statement y(注意这个声明不一定是正确的）,并将这个声明给与挑战者（验证者），然后，敌手和验证者V(y)进行交互，如果敌手能够使得验证者（挑战者，诚实的）接受这个声明statement, 但是y 属于Y不属于LR，那么我们称该敌手赢得游戏，定义敌手的优势为ESadv[A,(P,V)]，换句话说，如果敌手能够在不知道证据的情况下（也许没有证据）劝服挑战者接受这个输入，那么敌手赢得游戏。

定义：如果这个敌手的优势可以忽略，那么定义该协议具备“