Sigma Protokolleri ve Schnorr Kimlik Tanımlama

Bir Sigma protokolü 3 iletiden oluşur: (1) Taahhüt: ispatlayıcı, rastgele bir değere ilişkin taahhüt gönderir. (2) Meydan okuma: doğrulayıcı, rastgele bir meydan okuma gönderir. (3) Yanıt: ispatlayıcı, meydan okuma ve sırdan hesapladığı yanıtı gönderir. Doğrulayıcı kabul eder veya reddeder.

İspatlayıcı, gizli x değerini (özel anahtar) bilir; açık anahtar = g^x mod p (veya eliptik eğri üzerinde X = x*G noktası). Amaç, x'i açığa çıkarmadan x'in bilindiğini kanıtlamaktır. Bu, ayrık logaritma bilgisi kanıtıdır.

(1) İspatlayıcı rastgele r seçer ve R = r*G taahhüdünü gönderir. (2) Doğrulayıcı bir meydan okuma c (rastgele tamsayı) gönderir. (3) İspatlayıcı s = r + c*x yanıtını gönderir. (4) Doğrulayıcı s*G == R + c*X eşitliğini denetler. Eşitlik sağlanıyorsa kabul eder. İspatlayıcı x'i bilir; s yanıtı yalnızca x kullanılarak hesaplanabilir.

Tamlık: dürüst ispatlayıcı her zaman s*G = r*G + c*x*G = R + c*X eşitliğini sağlar. Sağlamlık: aynı R değerine sahip, ancak farklı c ve c' meydan okumaları içeren iki etkileşim kaydı, x = (s-s')/(c-c') değerinin geri elde edilmesini sağlar — bu nedenle hile yapan kişi aynı R için iki geçerli yanıt üretemez.

Simülatör (x hakkında bilgisi yoktur): rastgele s ve c seçer, R = s*G - c*X olarak belirler. Bu (R, c, s), geçerli bir etkileşim kaydı dağılımıdır. Doğrulayıcı, gerçek etkileşim kayıtlarını benzetilmiş kayıtlardan ayırt edemez — Schnorr, dürüst doğrulayıcıya karşı sıfır bilgidir.

Schnorr'u etkileşimsiz hâle getirin: doğrulayıcının meydan okumasını c = Özet(R || ileti) ile değiştirin. İspatlayıcı c'yi kendisi hesaplar ve yanıt verir. Sonuç: herkesin doğrulayabileceği iki öğeli bir kanıt (R, s). Bu, Schnorr imza şemasıdır.

İmzala(x, m): r ← rastgele; R = r*G; c = Özet(R||m); s = r + c*x. İmza = (R, s). Doğrula: s*G == R + Özet(R||m)*X. Küçüktür (P-256 için 64 bayt), toplu olarak doğrulanabilir ve ROM'da kanıtlanabilir biçimde güvenlidir. Bitcoin Taproot'ta (BIP-340) benimsenmiştir.

C = r*G + v*H; burada H, ikinci ve bağımsız bir üreteçtir. r rastgeleliğini kullanarak v değerine taahhüt eder. Bağlayıcılık: farklı bir v değeriyle açılamaz (ayrık logaritma). Gizleme: C düzgün dağılmıştır. Schnorr tabanlı aralık kanıtlarında ve Bulletproofs'ta kullanılır.

x1 AND x2 bilgisini aynı anda kanıtlayın: aynı meydan okumayı kullanarak iki Schnorr protokolü çalıştırın (meydan okumayı Fiat-Shamir aracılığıyla paylaşın). Doğrulayıcı yalnızca her iki alt kanıt da geçerliyse kabul eder. Tek bir etkileşimde birden fazla ifadeyi kanıtlamayı sağlar.

Hangisi olduğunu açığa çıkarmadan x1 OR x2 bilgisini kanıtlayın: bir dal için sahte bir etkileşim kaydı oluşturmak üzere simülatörü kullanın, ardından meydan okumayı iki dal arasında bölüştürün. Doğrulayıcı, toplamları gerçek meydan okumaya eşit olan, geçerli görünen iki etkileşim kaydı görür. Buna "halka imzaları" denir.

Schnorr kimlik kanıtları: elektronik pasaportlar (PACE protokolü). Schnorr imzaları: Bitcoin Taproot, Monero (RingCT, Schnorr OR kanıtlarını kullanır), Signal Protokolü (X3DH anahtar uzlaşması). Pedersen taahhütleri: Gizli İşlemler, Bulletproofs, Zcash Sapling not şifrelemesi.

Sigma protokolleri: taahhüt-meydan okuma-yanıt. Schnorr, bir ayrık logaritmanın bilindiğini kanıtlar. Fiat-Shamir bunu etkileşimsiz hâle getirir (Schnorr imzası). Sıradaki konu: kısa etkileşimsiz kanıtlar için zk-SNARK'lar.