一种新的（Ａ，ｘ，ｙ）知识的零知识证明协议.docVIP

一种新的（Ａ，ｘ，ｙ）知识的零知识证明协议 　　摘要：基于线性假设下的Cramer-shoup加密方案和SDH假设，提出一种新的(A,x,y)知识的零知识证明协议。该协议比文献[2]中SDH对(A,x)知识的零知识证明协议多了一个参数。 　　关键词：线性Cramer-shoup加密；零知识证明；SDH假设 　　中图分类号：TP309文献标识码：A文章编号：1009-3044(2008)34-1760-02 　　A New Zero Knowledge Proof Protocal for Knowledge of (A,x,y) 　　WANG Zhan-jun1, MA Hai-ying2 　　(1.School of Scicnce, Nantong University, Nantong 226007, China; 2.Computer Science and Technology School, Nantong University, Nantong 226019, China) 　　Abstract: This paper presents a new zero knowledge protocol for knowledge of (A,x,y), which is based on Cramer-shoup encryption from linear assumption. Compared with reference,this protocol has one more parameter. 　　Key words: linear cramer-shoup encryption; zero knowledge proof; SDH assumption 　　1 引言 　　秘密的零知识证明是指证明者P使验证者V确信证明者知道某一秘密知识而没有向验证者泄露有关该秘密的任何有用信息。在文献[1]中，Bonch 等人基于线性假设下的线性加密方案和SDH假设给出了拥有SDH对(A,x)知识的一种零知识证明协议，并据此构造了一种CPA完全匿名的短群签名方案；在文献[2]中，张跃宇等人基于线性假设下的Cramer-shoup加密方案和SDH假设给出了拥有SDH对(A,x)知识的另一种零知识证明协议，并据此构造了一种IND-CCA2完全匿名的短群签名方案。本文基于线性假设下的Cramer-shoup加密方案和SDH假设给出了拥有三元组(A,x,y)知识的一种新的零知识证明协议。由于三元组(A,x,y)比SDH对(A,x)多一个参数，基于本文的协议将来可构造满足不可陷害性的IND-CCA2完全匿名的短群签名方案。 　　2 预备知识 　　2.1 双线性群 　　设G1=,G2=和G3 是阶为素数p的循环群，e:G×G→GT为可计算得映射，该映射具有两个性质：1) 双线性，即对所有的u∈G1,v∈G2 及a,b∈Z,有e(ua,vb)ab 。2) 非退化性,即e(g1,g2)≠1。 　　2.2 q-SDH假设 　　设G=是阶数为素数p 的循环群,对所有的概率多项式时间算法 A,概率 　　■是可忽略的,其中x,y∈Zp*。 　　2.3 判定线性Diffie-Hellman(DLDH)假设 　　设G=是阶数为素数p 的循环群, u,v,h,η∈G,且a,b∈Z ,对所有的概率多项式时间算法 A , 概率 　　■是可忽略的。 　　3 一种新的(A,x,y)知识的零知识证明协议 　　设GT为素数阶p的循环群，e:G×G→GT为可计算得映射。取公共参数w,g,g1,g2,g3,h∈G，其中w=gγ, γ∈Zp*。 　　令■。三元组(A,x,y)满足■，其中A∈G,x,y∈Zp，且Ax+γ=ghy。下面用协议1证明素数阶群上离散对数知识。 　　协议1示证者Alice随机选取α,β∈Zp计算A的线性Cramer-Shoup加密■，然后计算辅助值δ1=xα, δ2=xβ，Alice和验证者Bob进行满足以下等式值(α,β,x,y, δ1, δ2)的知识证明。 　　■ 　　证明过程如下 　　Alice随机选取rα,rβ,rx,ry,rδ1, rδ2,∈Zp，计算 　　■ 　　然后将(T1,T2,T3,T4,R1,R2,R3,R4,R5,R6,R7)发送给Bob，Bob在Zp中随机选择询问值c发送给Alice，Alice计算并发送Sa=ra+ca,Sβ=rβ+cβ,Sx=rx+cx,Sy=ry+Cy,Sδ1=rδ1+cδ1, Sδ2=rδ2+cδ2，最后Bob验证以下7个等式： 　　■ 　　如果上述7个等式都成立，Bob接受证明。 　　定理1 协议1是诚实验证者在判定线性假设下三元组(A,