Zk Identity

8/3/2019 Zk Identity

1/18


2/18

78 U. Feige,A. Fia t, and Ao Sham ir

t h a t I be longs t o L , b u t t o p r o v e t h a t h e k n o w s the s t a tus o f I w i th r espec t to L .F r o m B ' s p o i n t o f vi ew , h e d i d n o t g e t a n y i n f o r m a t i o n w h a t s o e v e r a b o u t " t h e r e a lw o r l d " ( I, L , a n d t h e ir r e l a t i o n s h i p s ) - - o n l y a b o u t A ' s s t a t e o f k n o w l e d g e c o n c e r n i n gthe r ea l wor ld .

A s a m o t i v a t i n g ( b u t t e c h n i c a ll y i n a c c u r a t e ) e x a m p l e , c o n s i d e r a p r o v e r A w h ow a n t s t o p r o v e t o a s k e p t i ca l B t h a t h e h a s s e t t l e d F e r m a t ' s l a s t t h e o r e m . W i t h t h et y p e o f p r o o f i n t r o d u c e d i n t h i s p a p e r , A c a n c o n v i n c e B t h a t h e i s a m a t h e m a t i c a ls u p e r s ta r w i t h o u t t e ll in g B a n y t h i n g n e w a b o u t t h e p r o b l e m - - n o t e v e n w h e t h e rh e h a s f o u n d a p r o o f o r a c o u n t e r e x a m p t e !

A r e l a t e d i d e a w a s p r e s e n t e d b y G a l i l et al. [ 6 ] , w h o d e f i n e d t h e n o t i o n o f " r e s u l ti n d i s t i n g u i s h a b l e p r o t o c o l s . " H o w e v e r , t h e t w o m o d e l s d i f fe r i n t h e i r g o a l s: i n t h e i rm o d e l t h e p r o v e r A p r o v e s e i t h e r t h a t I b e l o n g s t o L o r t h a t I d o e s n o t b e l o n gt o L . B k n o w s w h i c h c l a i m is b e i n g p r o v e n a n d g e t s a c o n v i n c i n g p r o o f , w h il e t h ep a s s iv e e a v e s d r o p p e r C ( w h o i s n o t a l l o w e d t o p a r t i c i p a t e o r m e d d l e i n t h e p r o t o c o l )c a n n o t d e t e r m i n e f r o m t h e c o m m u n i c a t i o n t a p e w h i c h c l a i m is b ei n g p r o v e n a n dw h e t h e r t h e t a p e c o n s t i t u t e s a c o n v i n c i n g p r o o f . T h e m a i n d i f f i c ul t y i n e x t e n d i n gs u c h a r e s u lt t o o u r m o d e l is t h a t w e w a n t t h e s a m e p a r t y B t o b e i g n o r a n t o f w h a ti s b e i n g p r o v e n a n d y e t t o b e c o n v i n c e d b y t h e p r o o f .

T h e i n t u i t i v e o b s e r v a t i o n t h a t t h e z e r o - k n o w l e d g e p a r a d i g m c o u l d b e u s e d t op r o v e k n o w l e d g e r a t h e r t h a n e x i s t e n c e o f w i t n e ss e s is n o t n e w , a n d a p p e a r e d( w i t h o u t p r o p e r f o r m a l i z a t i o n ) i n s e v er a l p a r e n t h e t i c a l r e m a r k s b y G o l d w a s s e r ,et al . [ 8 ] , C h o r et al. [3 ] , Ga l i l et al. [ 6 ] , C h a u m [ 2 ] , a n d i n s ev e r al o t h e r p a p e r s.R e c e n t ly , T o m p a a n d W o l l [ 1 6 ] h a v e i n d e p e n d e n t l y a d d r e ss e d t h e s a m e i ss ue a n dd e v e l o p e d f o r m a l d e f i n it i o n s w h i c h a r e c o n c e p t u a l l y s i m i l a r to b u t t e c h n i c a l l yd i f f e re n t f r o m o u r d e f i n i ti o n s . A s d e m o n s t r a t e d i n t h i s p a p e r , t h e f o r m a l d e f i n i ti o n so f " p r o o f s o f m e m b e r s h i p " a n d " p r o o f s o f k n o w l e d g e " a r e q u i t e d i f f e re n t , a n d t h e r ei s a f u n d a m e n t a l p h i l o s o p h i c a l d i f fe r e n c e b e t w e e n t h e m . T h e n o t i o n o f " k n o w l e d g e "i s ve ry fuzzy , an d a priori i t i s n o t c l e a r w h a t p r o o f s o f k n o w l e d g e a c t u a l l y p r o v e .S e v e r a l r e s e a rc h e r s h a v e i n v e s t i g a t e d t h i s n o t i o n f r o m a d i f f e r en t p o i n t o f v i ew( se e, e .g ., [ 1 1 ] a n d [ 1 5 ]) , a n d w e b e li e v e t h a t a c o m b i n e d a p p r o a c h t o k n o w l e d g e a n dp r o o f s o f k n ow l e d g e c a n h a v e a n i m p o r t a n t i m p a c t o n a r e a s o u t si d e c r y p t o g r a p h y( in p a r t i c u l a r l o g ic a n d d i s t r i b u t e d c o m p u t i n g ) .

2. Interactive Pr oof s of KnowledgeO u r m o d e l d i ff e rs f r o m t h e o r ig i n a l G M R m o d e l i n se v e r a l i m p o r t a n t a s p e c ts . W ed o n o t a l l o w t h e p r o v e r t o b e i n fi n i t e ly p o w e r f u l ( s uc h a p r o v e r k n o w s e v e r y t h i n ga b o u t i ts i n p u t s b y d e f i ni t io n ) , a n d r e s t ri c t b o t h t h e p r o v e r a n d t h e v e r i fi e r t o b ep o l y n o m i a l - t i m e p r o b a b i l i s t i c T u r i n g m a c h i n e s . T h e m a c h i n e s , A a n d B , h a v ea c o m m o n i n p u t t a p e I, t w o c o m m u n i c a t i o n t a p e s C A a n d C B , p r i v a t e w o r k t a p e sW A a n d W B , a n d p r i v a te r a n d o m t a p e s R A a n d R B . I n a d d i t i o n , e a c h m a c h i n e i sg i v e n a cc e s s t o a p r i v a t e k n o w l e d g e t a p e ( K A a n d K B ) .D e f i n i ti o n . A p o l y n o m i a l - t i m e p r e d i c a t e P ( I , S ) i s a p red ica te in wh ich IS [ i s po ly -n o m i a l l y r e l a t e d t o ] I [ , a n d t h e t r u t h v a l u e o f t h e p r e d i c a t e c a n b e c h e c k e d i np o l y n o m i a l t im e .


3/18

Zero-KnowledgeProofs of Identity 79

I n p r o o f s o f k n o w l e d g e A t r ie s t o c o n v i n c e B t h a t h e h a s " k n o w l e d g e " t y i n g t h ec o m m o n i n p u t I w i t h a p u b li c ly k n o w n p o l y n o m i a l - ti m e p r e d ic a t e P ( . , -). M o r es p e ci f ic a l ly , i f t h e c o n t e n t s o f A ' s k n o w l e d g e t a p e K A h a p p e n t o b e a n S s u c h t h a tP(I , S ) i s s at is f ie d , a n i n t e r a c ti v e p r o o f o f k n o w l e d g e a l l o w s A t o c o n v i n c e B o f th i sf a c t. T h i s m o d e l r e s t r ic t s A 's p r o o f s o f k n o w l e d g e t o p r o b l e m s i n N P , a n d t y p i c a le x a m p l e s o f p r e d i c a t e s a r e " S is a v a l i d 3 - c o l o u r i n g o f g r a p h I " a n d " S s a t is f ie sth e C N F f o r m u l a I . " T h e r o le o f t h e v e r if i e r' s k n o w l e d g e t a p e K B wil l be exp la inedw h e n w e a d d r e s s z e r o - k n o w l e d g e i s su e s .

I n t h e r e s t o f t h i s p a p e r w e a d o p t t h e f o l l o w i n g c o n v e n t i o n s :1 . A ( s t ra i g h t A ) r e p r e s en t s t h e r e a l p r o v e r w h o f o l l o w s i t s d e s i g n a t e d p r o t o c o l

a n d w h o s e k n o w l e d g e t a p e c o n t a i n s S w h e n e v e r i t e x is t s.2 . A ( c r o o k e d A ) r e p r e s e n ts a p o l y n o m i a l - t i m e c h e a t e r w h o c a n d e v i a t e f r o m t h ep r o t o c o l in a n a r b i t r a r y w a y , a n d w h o s e k n o w l e d g e t a p e c a n c o n t a i n a r b i t r a r y

s tr ings .3 . A r ep resen t s e i the r , 4 o r , 4.4 . /~ ( s t r a igh t B) r ep resen t s th e r ea l ve r i f i e r wh o fo l lows i ts des ign a ted p ro toc o l .5 . /3 ( c r o o k e d B ) r e p r e s e n ts a n a r b i t r a r y p o l y n o m i a l - t i m e p r o g r a m ( w h i c h m a y

t r y t o e x t r a c t a d d i t i o n a l i n f o r m a t i o n f r o m , 4) .6 . B r e p r e s e n t s e i t h e r / ~ o r / ~ .7 . (A , B) r ep resen t s the ex ecu t io n o f the tw o pa r ty p ro to co l in wh ic h A i s the

p rov er a nd B i s the ver i fi e r.T o d e m o n s t r a t e t h e s u b t l e t y o f i n t e r a c t i v e p r o o f s o f k n o w l e d g e , c o n s i d e r t h e

f o l l o w i n g e x a m p l e s i n w h i c h I i s t h e p r o d u c t o f t w o p r i m e s a n d A c l a i m s t h a t i tk n o w s i t s f a c t o r i z a t i o n S . W e d o n o t i n s i s t t h a t t h e p r o o f s s h o u l d b e z e r o k n o w l e d g e ,a n d w e u s e th e f a c t t h a t f a c t o r in g a n d s q u a r e - r o o t e x t r a c t io n a r e c o m p u t a t i o n a l l ye q u i v a l e n t . T h e q u e s t i o n w e a d d r e s s i n e a c h c a s e is w h e t h e r A ' s p r o o f o f k n o w l e d g es h o u l d c o n v i n c e / ~ :E x a m p l e 1 . A e x t r a c t s t h e s q u a r e r o o t s m o d I o f s e v e ra l s u b s t r in g s R ~ . . . Rk f r o mR A , a n d s e n d s R A a n d t h e r o o t s o f a b o u t o n e - q u a r t e r o f t h e R i t o B . B s h o u l d n o tb e c o n v i n c e d s i n c e it c a n n o t v e r i fy t h a t A r e a l l y u s es h i s r a n d o m t a p e .E x am ple 2 . /3 s ends s evera l subs t r in gs R 1 - -- R~ f rom R B to A , and r ece ives the i rs q u a r e r o o t s m o d I i n o n e - q u a r t e r o f t h e c a s es . E v e n t h o u g h / ~ i t s el f c o u l d n o t u s et h e r e s u l ts t o c o m p u t e S , i t i s c l e a r t h a t a s l i g h t ly m o d i f i e d B ' c o u l d c o m p u t e S w i t hh i g h p r o b a b i l i t y b y s e n d i n g A t h e s q u a r e s m o d I o f t h e se s u b s t ri n g s . A s A c a n n o td i s ti n g u is h b e t w e e n / ~ a n d B ' , B s h o u l d b e c o n v i n ce d .E x a m p l e 3 . L e t f b e a s t ro n g o n e - w a y f u n c t i o n w h i c h i s k n o w n t o b o t h p a r t ie s ./~ s ends s evera l subs t r ings R 1 . . . R k f rom R B t o A a n d r e c ei v e s t h e s q u a r e r o o t s o fo n e - q u a r t e r o f th e v a l u e s f ( R 1 ) . . . f ( R k ) . T h e p r o b l e m i s n o t c o m p l e t e l y d e f in e d ,b u t B s h o u l d b e w a r y o f A ' s p r o o f: e v e n t h o u g h a r b i t r a r y s q u a r e r o o t s c a n n o t b ee x t ra c t e d w i t h o u t k n o w l e d g e o f th e f a c t o r i z a t i o n o f I , t he r a n d o m i z i n g f u n c t i o n fp r e v en t s e ve n a m o d i f i e d / 3 ' f r o m g e t t in g t h e s e c o n d s q u a r e r o o t o f t h e s a m e n u m b e ri t n e e d s t o f a c t o r L


4/18

80 u. Feige, A. Fiat, and A. Shamir

E x a m p l e 4. T o s h o w t h a t / 3 ' s s k e p ti c is m i n E x a m p l e 3 c a n s o m e t i m e s b e j u s ti f ie d ,c o n s i d e r t h e f u n c t i o n f ( x ) = x 2 ( m o d 1 ). T h i s i s p r o b a b l y a s t r o n g o n e - w a y f u n c t i o nb u t i t i n t e r a c ts b a d l y w i t h t h e p r o b l e m a t h a n d , a n d e n a b l es a c h e a t in g . 4 t o e x t r a c ts q u a r e r o o t s e v e n w h e n i t d o e s n o t k n o w t h e f a c t o r i z a ti o n o f LE x a m p l e 5 . C o n s i d e r n o w th e f u n c t i o n f ( x ) = a x 2 q- b ( m o d I ) w i t h n o n z e r o aa n d b . T h e m u l t i p l i c a t io n b y a a n d a d d i t i o n o f b se e m s t o d e s t r o y t h e a b i l i t y o f/ ~ ' t o f a c t o r I , w h i c h s u g g e s t s t h a t / ~ s h o u l d n o t b e c o n v i n c e d . H o w e v e r , P o l l a r da n d S c h n o r r 1 -1 3] p r o v e t h a t b i n a r y q u a d r a t i c e q u a t i o n s s u c h a s ax 2 + b = y2( m o d I ) c a n b e s o l v e d i n p o l y n o m i a l t im e , a n d t h u s / ~ ' c a n p r e p a r e a n x f o r w h i c hh e a lr e a d y k n o w s o n e s q u a r e r o o t y o f f ( x ) , b u t A c a n n o t k n o w w h i ch . A s a re s ul t,/ 3 s h o u l d b e c o n v i n c e d i n t h is c a s e t h a t A k n o w s t h e f a c t o r i z a t i o n o f I .

F o r m a l i z i n g t h e c o n c e p t o f " i n t e r ac t i v e p r o o f s o f k n o w l e d g e " i s n o t e a sy . T h eG M R [ 8 ] d e f i n i ti o n o f " in t e r a c t i v e p r o o f s o f m e m b e r s h i p " i s b a s e d o n t h e l a n g u a g e -r e c o g n i t i o n p a r a d i g m : s o m e i n t r i n s i c p r o p e r t y o f t h e i n p u t s I i s u se d t o d e f i n e th es u b s e t L o f " g o o d " i n p u t s, a n d t h e n w e c a n c h e c k t h e a d e q u a c y o f a p a r t i c u l a rp r o t o c o l ( A , B ) b y v e r i f y i n g t h a t f o r a ll I a n d ~ :

1 . I f I b e l o n g s t o L , / ~ a c c e p t s A ' s p r o o f w i t h o v e r w h e l m i n g p r o b a b i l i t y .2 . I f I d o e s n o t b e l o n g t o L , / ~ a c c e p t s A ' s p r o o f w i th n e g l i g i b le p r o b a b i l i t y .I n o t h e r w o r d s , / ~ a c c e p t s e x a c t ly L i n t h e s e n s e th a t t h e r e a l A c a n c o n v i n c e / ~ t o

a c c e p t a t le a s t L , b u t e v e n a f a u lt y .4 c a n n o t c o n v i n c e / ~ t o a c c e p t m o r e t h a n L .T h e e x i s t e n c e o f s o m e S w h i c h s a ti s fi e s P (I , S ) i s a n i n t r i n s i c p r o p e r t y o f I w h i c hc a n b e u s e d t o d i s ti n g u is h b e t w e e n " g o o d " a n d " b a d " i n p u ts . H o w e v e r , th e r e a r e

m a n y c a s e s i n w h i c h p r o o f s o f e x i s t e n c e o f S a r e m e a n i n g l e s s , a n d w h a t m a k e s t h ep r o o f s s u r p r i s i n g i n th e s e c a s es is o n l y t h e i r c o n s t r u c t i v e n a t u r e w h i c h d e m o n s t r a t e sk n o w l e d g e . C o n s i d e r , f o r e x a m p l e , t h e f o l l o w i n g p r e d i c a t e s P ( I , S):

1 . S is t he c om pl e t e f a c t o r i z a t i on o f I .2 . S i s t h e d i s c r e te l o g a r i t h m o f I m o d u l o a p r i m e Q .3 . S i s e i t h e r a s h o r t w i t n e s s f o r s q u a r e f r e e n e s s o r a n u m b e r l a r g e r t h a n 1 w h o s e

s q u a r e d i v i d e s I .I n a l l th e s e e x a m p l e s t h e m e r e e x i s t e n c e o f S c a n b e p r o v e d b y B i n a d v a n c e

( in E x a m p l e s 1 a n d 3 t h e p r e d i c a t e i s a l w a y s s a t is f i ab l e , a n d i n E x a m p l e 2 t h ep r e d i c a t e c a n b e s a t is f ie d w h e n I i s n o t a m u l t i p l e o f Q ). W h e n S a l w a y s e x is t s,t h e o r i g i n a l G M R [ 8 ] d e f i n i ti o n d e g e n e r a t e s t o th e u n i n t e r e s t i n g " /3 s h o u l d a l w a y sa c c e p t . " W h a t w e re a l l y w a n t is to d i s t i n g u i s h b e t w e e n i n p u t s I f o r w h i c h a n S is" k n o w n " a n d i n p u ts I f o r w h i c h n o S is " k n o w n . " H o w e v e r , t h e s u b s e t o f / f o r w h i c hS is " k n o w n " i s i ll -d e f in e d : t h e s a m e I s h o u l d s o m e t i m e s b e a c c e p t e d a n d s o m e t i m e sb e r e j e ct e d b y / ~ . S in c e t h e p r o p e r d e c i s i o n d e p e n d s o n A ' s s t at e o f k n o w l e d g e r a t h e rt h a n o n I ' s i n t r i n s i c p r o p e r t i e s , w e c a n t r y t o r e f o r m u l a t e t h e t w o c o n d i t i o n s i nt e r m s o f A i n s t e a d o f I :

1. I f A i s A , B s h o u l d a c c e p t i ts p r o o f s w i t h o v e r w h e l m i n g p r o b a b i l i t y f o r a l l If o r w h i c h P (I , S ) is sat isfiable .

2 . I f A i s . 4 , / t s h o u l d a c c e p t s i t s p r o o f s w i t h n e g l i g ib l e p r o b a b i l i t y f o r a ll L


5/18


T h i s d e f i n i t i o n i s m o t i v a t e d b y t h e a s s u m p t i o n t h a t , 4 a l w a y s h a s S o n h i sk n o w l e d g e t a p e , w h e r e a s . 4 d o e s n o t . H o w e v e r , e v e n i f P i s a d i ff i c ul t p r e d i c a t e ,t h e r e c a n b e i n f i n i te l y m a n y " e a s y " i n s t a n c e s o f I f o r w h i c h , ff c a n c o m p u t e t h e Sb y i t se l f a n d t h e n m i m i c A ' s p r o o f t o / 7 . C o n s e q u e n t l y , w e h a v e t o a l l o w / 7 t o a c c e p tX ' s p ro o f s o c c a s i o n a l ly , b u t o n l y w h e n i t re a l l y h a p p e n s t o k n o w S (b y c o m p u t i n gi t, g u e s si n g it , o r b y o b t a i n i n g h e l p f r o m i ts k n o w l e d g e t a p e ). I n o t h e r w o r d s , w erequ i r e th a t f o r a l l I and A (wh ich can be e i the r ,4 o r , if ):

1. I f A k n o w s S , / 3 s h o u l d a c c e p t A ' s p r o o f fo r I w i t h o v e r w h e l m i n g p r o b a b i l i t y .2 . I f A d o e s n o t k n o w S , /~ s h o u l d a c c e p t A ' s p r o o f f o r I w i t h n e g l ig i b le

p r o b a b i l i t y .T h i s m a k e s i t n e c e s s a ry t o d e fi n e th e s e t o f t h i n g s t h a t a p a r t i c u l a r p r o g r a mk n o w s . A n i n f o r m a l d e f in i t i o n o f t h i s c o n c e p t w a s g i v e n i n a p a r e n t h e t i c a l r e m a r k

in [8] :, 4 k n o w s S i f t h e re i s s o m e p o l y n o m i a l - t i m e T u r i n g m a c h i n e M w i t h

c o m p l e t e c o n t r o l o v e r AT w h i c h p r i n t s S a s a r e s u l t o f it s i n t e r a c t i o nwith ,~ .

T h e n o t i o n o f k n o w l e d g e c a p t u r e d b y t h i s d e f i n i ti o n is v e ry b r o a d , a n d , 4 m a yn o t e v e n b e " a w a r e " o f it s k n o w l e d g e o f S. F o r e x a m p l e , S m a y b e s t o r e d i n a ni n a c ce s s ib l e p o r t i o n o f , 4 ' s c o d e , o r m a y a p p e a r t e m p o r a r i l y i n i t s w o r k t a p e , o r m a yb e c o m p u t e d o n l y a s a c o m p l i c at e d f u n c t io n o f v a lu e s d e ri v e d f r o m p o l y n o m i a l l ym a n y e x e c u t i o n s o f A d u r i n g w h i c h M r e p e a t e d ly c h a n g e s t h e c o n t e n t s o f A 'sr a n d o m a n d w o r k t ap e s. U n f o r t u n a t e ly , th i s n o t i o n o f k n o w l e d g e i s i n c o m p a t i b l ew i t h t h e d e f i n i t i o n o f i n t e r a c ti v e p r o o f s o f k n o w l e d g e g i v e n a b o v e : i n t h e f i rs t p a r to f t h e d e f i n it i o n A m a y " k n o w " S i n s o m e b i z a r r e w a y w h i c h c a n n o t b e d e t e c t e d b yt h e p a r t i c u l a r / 3 , a n d o n t h e o t h e r h a n d t h e s e c o n d p a r t o f th e d e f i n i t i o n b e c o m e st h e t a u t o l o g y " i f A c a n n o t c o n v i n c e a n y o n e t h a t i t k n o w s S , it s h o u l d n o t c o n v i n c e/ 7 t h a t i t k n o w s S . "

H a v i n g s e e n t h e m a n y p i t f al l s a l o n g t h e p a t h , w e f i n a l ly p r o p o s e o u r f o r m a ld e. i n i t i o n o f i n t e r a c t iv e p r o o f s o f k n o w l e d g e . I t c o m b i n e s m o s t o f t h e i d e a s d i s c u s s e ds o f a r, bu t b lends them in a d i f fe r en t way :De f i n i t i o n . A p a i r o f i n t e r a c t i n g p o l y n o m i a l - t i m e p r o b a b i l i s ti c T u r i n g m a c h i n e sA~ B i s c a l le d a n i n t e r a c t iv e p r o o f s y s t e m o f k n o w l e d g e f o r t h e p o l y n o m i a l - t i m ep r e d i c a t e P(I , S) if :

1 . C om ple tenes s : f o r a l l I f o r wh ich P(I , S) i s s a ti s f iab le , t he exec u t ion o f (A , B )o n i n p u t I s u c c e e d s w i t h o v e r w h e l m i n g p r o b a b i l it y . M o r e f o r m a l l y ,

Va, ~c, VIII > ci f , ( i s g i v e n o n i ts k n o w l e d g e t a p e a n S s u c h t h a t P(I , S ) a n d/ ] i s g i v e n t h e e m p t y s t r in g o n i t s k n o w l e d g e t a p eP rob ( (A , B ) accep t s I) > 1 - l / I l l a .


6/18

82 U. Feige,A. Fiat, and A . Sham ir

.A s w e a re d e a l in g w i th t h e r ea l p r o v e r / ~ i ts k n o w l e d g e t a p e KA c o n t a i n sa n a p p r o p r i a t e S . T h e v e r if i er 's k n o w l e d g e t a p e KB i s t a k e n t o b e e m p t y .S o u n d n e s s : t h e re e x is t s a p o l y n o m i a l - t i m e p r o b a b i l i s t i c T u r i n g m a c h i n e M( w i t h c o m p l e t e c o n t r o l o v e r A - - s e e R e m a r k 4 b e l o w ) s u c h t h a t f o r a l l A ,a n y i n i t i a l c o n t e n t s o f A 's k n o w l e d g e t a p e KA a n d r a n d o m t a p e RA, a n da n y s u f fi c ie n t ly l a rg e I , i f t h e e x e c u t i o n o f ( A , /3 ) o n i n p u t I s u c c e e d s w i t hn o n n e g li g i bl e p r o b a b il i ty , t h e n t h e o u t p u t p r o d u c e d b y M a t t h e e n d o ft h e e x e c u t i o n o f M(A, RA, KA) on in pu t ! s a t i sf i e s the p r ed ica te P wi tho v e r w h e l m i n g p r o b a bi l it y . M o r e f o r m a l l y ,

Va, ~M, Vb, VA, 3c, V]I[> c, VRA, VKAP rob ( (A, /~ ) accep t s I ) > 1/111"P r o b ( o u t p u t o f M ( A , RA, KA) on I sa t is f ies P) > 1 - 1 / t / I b .

Remarks. 1 . The un ive r s a l quan t i f i ca t ion ov e r KA g u a r a n t e e s t h a t w h a t e v e r p a r t i a lk n o w l e d g e , 4 h a s, i f t h i s k n o w l e d g e s u ff i ce s i n c o n v i n c i n g / 3 t o a c c e p t , t h e s a m ek n o w l e d g e s u ff ic e s f o r c o m p u t i n g S .

2. W e w a n t / ~ ' s c o n v i c ti o n t h a t A k n o w s S t o d e p e n d o n l y o n th e r a n d o m n e s so f i ts o w n c o i n f li ps , a n d t h u s w e u n i v e r s a l l y q u a n t i f y o v e r t h e RA a n d d e f in e t h ep r o b a b i l i t ie s o n l y o v e r t h e r a n d o m c h o i c e s o f RB.

3 . T h e p a r a m e t e r a sp e c if ie s t h e m e a n i n g o f " n o n n e g l i g i b l e " w h i le th e p a r a m e t e rb sp e c if ie s t h e m e a n i n g o f " o v e r w h e l m i n g . " T h e c h o i c e o f M m a y d e p e n d o n t h ef o r m e r b u t n o t o n t h e l a t te r , si n c e w e w a n t t h e a s y m p t o t i c f a i lu r e ra t e o f t h e c h o s e nM t o b e s m a l l e r th a n t h e i nv e rs e o f a n y p o l y n o m i a l .

4 . T h e u n i f o r m i t y o f t h e " i n t e r r o g a t o r " M w h i c h e x t r a c t s S fr o m a n y , 4 t h a tm a n a g e s t o c o n v i n c e / ~ m a k e s i t po s s ib l e t o d i s t i n g u is h b e t w e e n " o b v i o u s " a n d" a c c i d e n t a l " k n o w l e d g e . S i nc e th e s a m e M s h o u l d w o r k f o r a l l A , RA, a n d KA,i t m a k e s l i t tl e s e n se fo r M t o t r y t o a n a l y z e , 4 's p r o g r a m o r t o m e d d l e w i t h i t s ta p e s .In f ac t , f o r ou r pu rp os es i t su f f ices to g ive M the po w er to r e s e t and r e runp o l y n o m i a l l y m a n y t i m e s w i t h o u t i n s p e c t i n g o r m o d i f y i n g it s ta p e s. T h i s i s s i m i l a rt o t h e " b l a c k b o x " s i m u l a t i o n , a s d e f i n e d b y O r e n [ 1 2 ] , i n t h e c o n t e x t o f v a r i a t i o n so n t h e G M R [ 8 ] d e f i n it i on o f z e r o k n o w l e d g e .

T h e G M R [ 8 ] d e f in i ti o n o f z e r o k n o w l e d g e c a n b e s t a t e d i n t he f o ll o w i n g w a y :A n i n t e r a c t i v e p r o o f s y s t e m o f m e m b e r s h i p i n L i s z e r o k n o w l e d g e ,

i f, for a l l inpu ts restricted to L, f o r a l l B it s v ie w o f t h e c o m m u n i c a t i o n i n( ~ B ) c a n b e r e c r e a te d , b y a p o l y n o m i a l - t i m e ( o r a l t e r n a t iv e l y , expectedp o l y n o m i a l - t i m e ) p r o b a b i l i s t ic T u r i n g m a c h i n e M , w i t h a n i n d i s t in -g u i s h a b l e p r o b a b i l i t y d i s t r i b u t i o n .

I n f o r m a l l y , B ' s v ie w o f t he c o m m u n i c a t i o n i s t h e c o n t e n t s o f i ts c o m m u n i c a t i o na n d r a n d o m t ap e s, a n d t w o s o u r c e s a r e i n d i s ti n g u i s h a b le i f n o p o l y n o m i a l - t i m em a c h i n e c a n t e ll f r o m w h i c h o f t h e m a c e r t a i n s t r i n g i n p u t t o i t o r ig i n a t e d ( f o r f o r m a ld e f i n i t io n s se e [ 8] ) . T h e a b o v e d e f i n i t i o n a s s u m e s u n i f o r m i t y o f t h e a l g o r i t h m se x e c u t e d b y t h e v e r if ie r a n d b y t h e d i s t i n g u i s h e r . W e n o t e t h a t t h i s d e f i n i t i o n i s n o t


7/18

Zero-KnowledgeProof s of Identity 83

s u i ta b l e f o r c r y p t o g r a p h i c p u r p o s e s . ( T h e s am e o b s e r v a t i o n is m a d e i n d e p e n d e n t l yb y T o m p a a n d W o t l [ 1 6 ] , O r e n [ 1 2 ] , a n d i n la t e r v e r s io n s o f t h e G M R p a p er .)I t d o e s n o t t a k e i n t o a c c o u n t p r e v i o u s i n f o r m a t i o n t h e v e r i fi e r g a t h e r e d , e i t h e rf r o m p r e v i o u s i n t e r ac t i o n s w i th t h e p r o v e r o r b y o t h e r m e a n s , i n h is a t t e m p t s t oe x t r a c t k n o w l e d g e f r o m t h e p r o v e r. W e b e li ev e t h a t i n o r d e r t o s t at e t h a t a m a c h i n ec a n n o t l e a r n a n y t h i n g n e w , w e n e ed a f o r m a l t o o l o f st a t in g w h a t a m a c h i n e a l r e a d yk n o w s . T h i s i s g i v e n b y t h e k n o w l e d g e t a p e . R e c a l l t h a t t h e c o n t e n t s S o f KAr e p r e s en t s t h e k n o w l e d g e a t r u t h f u l p r o v e r h a s w h e n e x e c u t i n g th e p r o t o c o l .S i m i l a r l y , t h e c o n t e n t s o f KB r e p r e s e n t s t h e k n o w l e d g e t h e v e r i f ie r h a s w h e ne x e c u t in g t h e p r o t o c o l . T h e s i m u l a ti n g m a c h i n e M d o e s n o t h a v e a n y k n o w l e d g et a p e o f i ts o w n , b u t i t c a n u s e t h e v e r if i er 's k n o w l e d g e t a p e i n d i r e c t l y i n t h es i m u l a t i n g p r o c e s s . F i n a l l y , t h e d i s ti n g u i s h e r m a y h a v e a c c e s s t o KB, a s w e d o n o tw a n t e v e n ~ t o d i s t in g u i s h b e t w e e n t h e c o m m u n i c a t i o n i n ( ,4 , B ) a n d t h e s i m u l a t e dc o m m u n i c a t i o n . W e r e f o r m u l a t e th e G M R d e f i n it i o n o f z e r o k n o w l e d g e i n th ef o l l o w i n g w a y :D e f i n i ti o n . A n i n t e r a c t i v e p r o o f s y s t e m o f m e m b e r s h i p i n L i s z e r o k n o w l e d g e , if,f o r a l l i npu t s restricted to L, f o r a l l B a nd KB i ts v ie w o f t h e c o m m u n i c a t i o n i n( ,~ B) c a n b e r e c r e at e d , b y a p o l y n o m i a l - ti m e p r o b a b i l i s ti c T u r i n g m a c h i n e M ,w i t h a n i n d i s t i n g u i s h a b l e p r o b a b i l i t y d i s t r i b u t i o n .

A ll p r o t o c o l s p r e v i o u s l y p r o v e d t o b e z e r o k n o w l e d g e r e m a i n s o e v e n w i th r e s pe c tt o t h i s s t r o n g e r d e f i n i t i o n ( se e [ 1 2 ] ) . B u t t h is d o e s n o t m e a n t h a t t h e c h a n g e t ot h e o r ig i n a l G M R d e f i n i t i o n is m e r e l y s y n t a c ti c a l. F e i g e [ 4 ] d e m o n s t r a t e d t h a t t h e r ee x is t p r o t o c o l s w h i c h a r e z e r o k n o w l e d g e w i t h r e sp e c t t o t h e G M R d e f in i ti o n , b u ta r e n o t z e r o k n o w l e d g e w i t h r e s p e c t t o o u r d e f i n i t i o n .

A s d e m o n s t r a t e d i n th i s p a p e r, p r o o f s o f k n o w l e d g e m a k e p e r f e c t s e n s e e v e n w h e nt h e s e t o f I f o r w h i c h S e x is ts is p o l y n o m i a l l y r e c o g n i z a b l e ( a n d i n p a r t i c u l a r w h e nS a l w a y s e x is ts ). W e e x p l o i t t h i s e x t r a d e g r e e o f f r e e d o m b y d e f i n in g unrestrictedinput z e r o - k n o w l e d g e p r o o f s o f k n o w l e d g e:D e f i n i ti o n . A n i n t e r a c t i v e p r o o f s y s t e m o f k n o w l e d g e is unrestricted input z e r okno w le d ge , i f, f o r a l l i npu t s , f o r a ll B a n d KB i ts v ie w o f t h e c o m m u n i c a t i o n i n ( ~ B )c a n b e r e c r e a t e d , b y a p o l y n o m i a l - t im e p r o b a b i l is t ic T u r i n g m a c h i n e M , w i t h a ni n d i s t i n g u i s h a b l e p r o b a b i l i t y d i s t r i b u t i o n .Remarks. 1 . I f t h e c o m m o n i n p u t I i s su c h t h a t t h e r e i s n o S s at i s fy i n g P(I, S),t h e n KA i s e m p t y , a n d X r e fu s e s t o p a r t i c i p a t e i n t h e p r o t o c o l . T h u s t h e f i r st ta s ko f M o n i n p u t I i s t o d e c i d e w h e t h e r t h e r e i s a n y c o m m u n i c a t i o n t o r e c r e a t e . T h i si m p l i e s t h a t a p r e d i c a t e P(1, S) c a n h a v e a n u n r e s t r i c te d i n p u t z e r o - k n o w l e d g ei n t e r a c t i v e p r o o f s y s te m o f k n o w l e d g e o n l y w h e n t h e s e t o f I f o r w h i c h S e x is t s i sr e c o g n i z a b le i n r a n d o m p o l y n o m i a l t im e . T h i s t r iv i a li t y o f th e i n p u t l a n g u a g es h o u l d n o t b e c o n f u s e d w i t h t r i v ia l it y o f a s s e rt i o n s b e i n g p r o v e d . T h e k n o w l e d g et h e p r o v e r m u s t p o s s e ss m a y c e r t a i n ly b e n o n t r i v ia l .

2 . T o p r o v e t h a t a p a r t ic u l a r p r o o f s y st e m is z e r o k n o w l e d g e i n o u r m o d e l w eu s e th e G M R [ 8 ] i d e a o f r e s e t ti n g t h e s i m u l a t i o n w h e n e v e r i t g e t s s t u c k . I t is


8/18


i n t e r e s t in g t o n o t i c e t h a t i n p r o o f s o f k n o w l e d g e t h e r e s e t t a b le s i m u l a t i o n i s u s e d i nt w o v e r y d i ff e r en t w a y s : i n p r o v i n g t h e s o u n d n e s s p r o p e r t y w e u se i t t o e x t r a c t f r o ma s m u c h i n f o r m a t i o n a s p o s s i b l e a b o u t S , w h i l e i n p r o v i n g t h e z e r o - k n o w l e d g e

p r o p e r t y w e u s e i t to a v o i d s i t u a t i o n s i n w h i c h B ' s q u e s t i o n s c a n n o t b e a n s w e r e d .I n p r o o f s o f m e m b e r s h i p , s o u n d n e s s i s b a s e d o n A ' s i n a b i l it y t o s a ti s fy P(I, S) , a n dt h e r e s e tt a b l e s i m u l a t i o n is u s e d o n l y t o p r o v e t h e z e r o - k n o w l e d g e c h a r a c t e r o f t h ep r o t o c o l .T h e o r e m 1 . Under the assumption that secure public key encryption schemes exist ,any polynomial-t ime predicate has an interactive pr oo f system o f know ledge which isrestricted input zero knowledge.P r o o f ( sk e tc h ). U n d e r t h e a s s u m p t i o n t h a t N P r e d u c t io n s a r e o n e - to - o n e a n def f i c ien t ly inver t ib le , i t s u ff i ces to c ons id er B lum ' s ze ro -kno wled ge in te rac t ive p ro ofs y s te m o f m e m b e r s h i p f o r g r a p h H a m i l t o n i c it y . F o r t h e s a k e o f c o m p l et e n e ss w es k e tc h t h e p r o t o co l . T h e c o m m o n i n p u t I i s t h e a d j a c e n c y m a t r i x o f a g r a p h G .

I . , 4 c h o o s e s r a n d o m l y T I[ p u b l i c k e y e n c r y p t i o n s c h e m e s .2 . , 4 p e r m u t e s t h e n o d e s o f t h e g r a p h r a n d o m l y .3 . , 4 e n c r y p t s e a c h e n t r y i n t h e p e r m u t e d a d j a c e n c y m a t r i x u s i n g a d i f f e r e n t

e n c r y p t i o n s c h e m e . H e s e n d s t h e e n c r y p t e d m a t r i x t o g e t h e r w i t h t h e p u b l i ck e y s t o B , k e e p i n g t h e s e c re t t r a p d o o r i n f o r m a t i o n ( t he p r i v a t e k e y s o f t h ee n c r y p t i o n s c h e m e s ) t o h i m s e l f.

4 . /~ c h o o s e s r a n d o m l y o n e b i t a n d s e n d s i t t o A .5. I f B r e t u r n s 0, , 4 re v ea ls a ll t r a p d o o r i n f o r m a t i o n a n d t h e r a n d o m p e r m u t a t i o nc h o s e n . / 3 c a n n o w d e c r y p t t h e w h o l e m a t r i x a n d c h e c k t h a t i t s n o d e s c o n s t it u t ea p e r m u t a t i o n o f t h e n o d e s o f I .

6 . I f B r e t u r n s 1, , 4 r e v e a ls t r a p d o o r i n f o r m a t i o n o n l y s u ff i ci e n t t o d e c r y p ta H a m i l t o n i a n c y c le , l e a v i n g t h e o t h e r e d g e s e n c r y p t e d . F r o m t h e m a t r i xs t r u c t u re , i t is e a s y t o v e r i f y t h a t a s e t o f e d g es c o n s t i t u t e s a H a m i l t o n i a n c y c l e.

7 . I f B r e tu rns a ny th in g e l se , X s tops .S teps 1 -7 a re i t e r a ted I I I t im es . I f a l l i t e r a t io ns suc cee d /~ accep t s .T h e e x e c u t i o n s o f ( /~ ,/ 3) o n i n p u t I a n d r a n d o m t a p e R A c a n b e d e s c r i b e d a s

an inc om ple te b in ary t r ee wh ich descr ibes , 4 ' s r esp onse s to /~'s reques t s . E ac hc h o i c e o f R B c o r r e s p o n d s t o a p a r t i c u l a r p a t h i n t h e t re e , w h e r e l ef t s o n s c o r r e s p o n dt o / 3 r e t u r n i n g 0 ( st e p 5 ) a n d r i g h t s o n s c o r r e s p o n d t o / ~ r e t u r n i n g 1 ( st e p 6). A n ys o n t h a t c o r r e s p o n d s t o a p r o b l e m , 4 d o e s n o t a n s w e r p r o p e r l y is e l i m i n a t e da l o n g w i t h a l l i t s d e s c e n d a n t s , a n d t h u s t h e s u c c e s s f u l e x e c u t i o n s c o r r e s p o n d t or o o t - t o - l e a f p a t h s i n t h e f u ll b i n a r y t r e e t h a t s u r v i v e t h e t r u n c a t i o n .

T h e m a c h i n e M w e c o n s t r u c t e x p l o r e s t h i s t r e e b y r e p e a t e d l y re s e t t i n g ,~ t o t h er o o t , p r o v i d i n g t h e n e c e s s a r y s t e e ri n g r e q u e s t s , a n d v e r i fy i n g w h i c h o n e o f t h e t w os o n s o f e a c h e x p l o r e d v e r t e x c o r r e s p o n d s t o a c o r r e c t a n s w e r . I t i s e a s y t o s e e t h a ti f t h e t r u n c a t e d t r ee c o n t a i n s a n y v e r t ic e s w i t h d e g r e e 2 , M c a n f i n d a t l e a s t o n esuch ver tex in O( l l l z) t im e . S i n ce a n o n n e g l i g i b l e f r a c t i o n o f th e e x p o n e n t i a l l y m a n yl e a v e s o f t h e f u l l b i n a r y t r e e s u r v i v e b y a s s u m p t i o n , t h e p o l y n o m i a l - t i m e M i sg u a r a n t e e d t o s u c c ee d . M ' s s u c c e s s im p l i e s t h a t i t w i t ne s s e s b o t h a f u l l d e c r y p t i o n


9/18

Zero-KnowledgeProo fs of Identity 85

a n d a H a m i l t o n i a n c y c le o f t h e s a m e p e r m u t e d a d j a c e n c y m a t r ix . F r o m t h is M c a ne a s il y r e c o n s t r u c t S - - a H a m i l t o n i a n c y cl e i n I .T o c o m p l e t e th e p r o o f , w e o b s e rv e th a t t h e a b o v e p r o t o c o l c a n b e p r o v e d t o b e

r e s t r i c t e d i n p u t z e r o k n o w l e d g e , u s i n g t e c h n i q u e s a s i n [ 7 ] . [ ]I n t e r e s t i n g c a s e s o f u n r e s t r i c t e d i n p u t z e r o - k n o w l e d g e p r o o f s a r i s e i f f o r a n y I

t h e p r e d i c a t e P ( I , " ) c a n b e s at is f ie d , b u t i t is n o n t r i v i a l t o c o m p u t e e x p l i c i tl y f r o mI a n S f o r w h i c h P ( I , S ) is t rue.T h e o r e m 2. U n d e r t h e a s s u m p t i o n t h a t s e c u r e p u b l i c k e y e n c r y p t i o n s c h e m e s e x i s t ,a n y l a n g u a g e i n N P c~ c o - N P c a n f o r m t h e b a s i s o f a n o n t r iv i a l i n t er a c t iv e p r o o fs y s t e m o f k n o w l e d g e w h i c h i s u n r e s t r i c t e d i n p u t z e r o k n o w l e d g e .P r o o f . S i nc e t he p ro b l e m i s i n NP , i t c a r l be r e p re se n t e d by t he b oo l e a n s a t i s f ia b i l it yf o r m u l a P I ( I , S ) . S i n c e t h e p r o b l e m i s a l s o i n c o - N P , i t s c o m p l e m e n t c a n b er e p r e s e n t e d b y t h e b o o l e a n s a t is f ia b i li ty f o r m u l a P2(I , S ) . C o n s i d e r n o w t h e b o o l e a np r e d i c a t e P ( I , S ) = P I ( I , S ) v P 2 ( I , S ) , w h i c h i s s a t is f i ab l e f o r a l l 1 . B y T h e o r e m 1i t h a s a v a l i d i n t e r a c ti v e p r o o f s y s t e m o f k n o w l e d g e . S i n c e t h e a s s u m p t i o n t h a t Se x i s ts is s u p e r f lu o u s , t h e t w o d e f i n i t i o n s o f z e r o k n o w l e d g e c o i n c i d e , a n d t h u s A c a np r o v e t h a t h e k n o w s w h e t h e r I i s i n t h e l a n g u a g e o r i n i t s c o m p l e m e n t w i t h o u tr e v e a l i n g e v e n t h i s s i n gl e b i t o f k n o w l e d g e . [ ]

3 . A n E f f i ci e n t I d e n t if i c a ti o n S c h e m e

A n i d e n t i f i c a t i o n s c h e m e i s a p r o t o c o l w h i c h e n a b l e s p a r t y A t o p r o v e h i s i d e n t i t yp o l y n o m i a l l y m a n y t im e s t o p a r t y B w i t h o u t e n a b l i n g B t o m i s r e p r es e n t h i m s e lf a sA t o s o m e o n e e l se . I d e n t i f i c a ti o n s c h e m e s a r e c l o s e l y r e l a te d t o t h e n o t i o n o f d i g i ta ls i g n a t u r e s , b u t t h e r e a r e n o m e s s a g e s j u d g e s a n d d i s p u t e s: t h e p r o o f o f i d e n t i t y ise i t h e r a c c e p t e d o r r e j e c te d in r e a l ti m e , a n d a s a r e s u l t t h e r e q u e s t e d a c c es s o r s e r v ic eis g r a n t e d o r w i th h e ld . T h i s is o n e o f t h e f u n d a m e n t a l p r o b l e m s i n c r y p t o g r a p h y ,a n d i t h a s n u m e r o u s p r a c ti c a l a p p l ic a t io n s . T h e b a s i c p r o b l e m w i t h m o s t o f t h ec u r r e n t i d e n t i f i c a t io n t e c h n i q u e s ( I D c a r d s , c r e d i t c a r d s , c o m p u t e r p a s s w o r d s , P I Nn u m b e r s , e t c . ) i s t h a t A p r o v e s h i s i d e n t i t y b y r e v e a l i n g a c o n s t a n t S i n t h e f o r mo f a p r i n t e d c a r d o r a m e m o r i z e d v a lu e . A s o p h i s t i c a t e d a d v e r s a r y w h o c o o p e r a t e sw i t h a d i s h o n e s t v e r if i e r B c a n u s e a x e r o x c o p y o f t h e c a r d o r a r e c o r d i n g o f t h ese c re t va l ue t o m i s re p re se n t h i m se l f suc c e s s fu l l y a s A a t a l a t e r s t a ge .

O u r g o a l i n t h e n e x t t w o s e c t i o n s i s t o d e v e l o p a t r u l y p r a c t i c a l s c h e m e , w h i c hc a n b e i m p l e m e n t e d i n s o f t w a r e in a f r a c t i o n o f a s e c o n d e v e n o n t h e w e a k m i c r o -p r o c e s s o r s e m b e d d e d i n s m a r t c a rd s . F o r r e a s o n a b l e c h o i c e s o f t h e p a r a m e t e r s ,o u r s c h e m e is v e r y f a s t a n d r e q u i r e s o n l y f e w m o d u l a r m u l t i p l i c a t io n s . I f f a c t o r i n gi s d i f fi c u lt , t h e n e w s c h e m e i s p r o v a b l y s e c u r e i n t h e s t r o n g s e n s e o f t h e G o l d w a s s e ret a l . [ 9 ] " p a r a d o x i c a l s c h e m e ."

O u r s c h e m e u s e s z e r o - k n o w l e d g e p r o o f s o f k n o w l e d g e . T h i s w a y A c a n c o n v i n c eB t h a t A k n o w s t h e c o n s t a n t S ( A 's k e y ), w i t h o u t r e v e a l i n g S i ts el f, n o r a n y p a r t i a li n f o r m a t i o n a b o u t it. T h e s c h e m e a s s u m e s t h e e x i s t e n ce o f a t r u s te d c e n t e r w h o s es o le p u r p o s e i s t o p u b l i sh a m o d u l u s n w h i c h i s th e p r o d u c t o f t w o l a r g e p r im e s


10/18


o f th e f o r m 4 r + 3 . S u c h m o d u l i ( w h i c h a r e k n o w n a s B l u m i n te g e rs ) a r e u s e d i na v a r i e ty o f c r y p t o g r a p h i c a p p l i c a t io n s , a n d o n e o f th e i r m o s t u s ef u l p r o p e r t i e si s t h a t - 1 is a q u a d r a t i c n o n r e s i d u e w h o s e J a c o b i s y m b o l is + 1 ( m o d n ). A f t e rp u b l i s h i n g n , t h e c e n t e r c a n b e c l o s e d s i n c e it h a s n o f u r t h e r r o l e i n t h e p r o t o c o l .N o t e t h a t u n l ik e t h e R S A s c h e m e [ 1 4 ] , e v e r y o n e c a n u s e t h e s a m e u n i v e r s a l n,a n d n o o n e s h o u l d k n o w i t s f a c t o r iz a t i o n .

T h e i d e n t i f i c a t io n s c h e m e is a s p e c i al c a s e o f T h e o r e m 2 , i n w h i c h , 4 p r o v e s t o/ 3 t h a t h e k n o w s w h e t h e r a c e r t a in n u m b e r is a q u a d r a t i c r e s i du e o r a q u a d r a t i cn o n r e s i d u e m o d n w i t h o u t r e v e a l i n g e v e n t h i s s in g l e b i t o f i n f o r m a t i o n . I t i s as l ig h t l y m o d i f i e d v e rs i o n o f t h e i d e n t i f i c a t i o n s c h e m e d e s c r i b e d b y F i a t a n d S h a m i rI '5 ] ( w h i ch l e a k e d n o t h i n g b u t t h i s bi t) . I t i n c o r p o r a t e s s e v e r a l id e a s f r o m a nu n p u b l i s h e d z e r o - k n o w l e d g e p r o o f o f q u a d r a t i c r e s i d u o s i t y d u e t o G o l d w a s s e r ,M i c a l i, a n d R a c k o f f , a n d f r o m t h e G a l i l e t a l . [ 6 ] " r e s u l t i n d i s t i n g u i s h a b l e " r e -s i d u o s i t y p r o t o c o l , b u t i t h a s m u c h l o w e r t i m e a n d c o m m u n i c a t i o n c o m p l e x i t i e s .T h i s e f f ic i e n cy i s d e r i v e d p r i m a r i l y f r o m t h e u s e o f t h e m u l t i p l i c a t iv e p r o p e r t i e so f m o d u l a r s q u a r e r o o t s t o p r o v e t h e s i m u l t a n e o u s k n o w l e d g e o f t h e q u a d r a t i cr e si d u os it y c h a r a c te r o f s ev e ra l n u m b e r s - - s o m e t h i n g w e d o n o t k n o w h o w t o d ow i t h p r o b l e m s w h i c h ar e n o t n u m b e r t h e o r e ti c .

, ( ' s k e y g e n e r a t i o n p r o t o c o l i n t h e n e w s c h e m e i s :1. C h o o s e k r a n d o m n u m b e r s $ 1 . . . . . S k i n Z , .2 . C h o o s e e a c h l j ( r a n d o m l y a n d i n d e p e n d e n t l y ) a s _+ 1 / S2 ( m o d n ).3 . P u b l i s h I = I 1 , . . . , I k a n d k e e p S = $ 1 , . . . , S k se c re t .T h e S ( w h i c h a r e w i t n es s e s to t h e q u a d r a t i c r e s i d u o s i t y c h a r a c t e r o f t h e 1i) a r e

e f f ec t iv e l y h i d d e n b y t h e d i f f i cu l t y o f e x t r a c t i n g s q u a r e , r o o t s r o o d n, a n d t h u s Ac a n e s t a b l i s h h i s i d e n t i t y b y p r o v i n g t h a t h e k n o w s t h e s e S . B y a l l o w i n g I t o b ee i th e r p lu s o r m i n u s a s q u a r e m o d u l o a B l u m i n te g e r, w e m a k e s u r e th a t I c a nr a n g e o v e r a ll t h e n u m b e r s w i t h J a c o b i s y m b o l + t r o o d n a n d t h u s t h e S e x i s t( f r o m B ' s p o i n t o f v ie w ) r e g a r d l e s s o f 1 /s c h a r a c t e r , a s r e q u i r e d i n u n r e s t r i c t e d i n p u tz e r o - k n o w l e d g e p r o o f s o f k n o w l e d g e .

T o g e n e r a t e a n d v e r i fy a p r o o f o f id e n t i t y , t h e p a r t i e s e x e c u t e t h e f o l l o w i n gp r o t o c o l :

R e p e a t s t e p s 1 - 4 t ti m e s:1 . , 4 p i c k s a r a n d o m R , a n d s e n d s X = + R z ( m o d n ) .2 . B s e n d s a r a n d o m b o o l e a n v e c t o r ( E l . . . . . E k ) .3 . , 4 s e nd s t h e v a l ue Y = R . I -IE j= 1 S j (m od n ).4 . / 3 ve r i f ie s t ha t X = + y z " I~ e j = l 1 i (m od n ) .

/ 3 a c c e p t s t h e p r o o f i f a n d o n l y i f s t e p 4 w a s c a r r i e d o u t s u c c e ss f u ll y i n a l l t i t e r a t io n s .L e t P ( I , S ) b e a p o l y n o m i a l - t i m e p r e d i c a t e , w h e r e I a n d S a r e tu p l e s a s d e f i n e d

a b o v e . T h e p r e d i c a t e ' s v a l u e i s t r u e i f a n d o n l y i f f o r a l l 1 < j < k t h e f o l l o w i n gc o n d i t i o n h o l d s,

Ij S = __+ l ( m o d n ) .W e f o r m a l i z e t h e in f o r m a t i o n t h e p u b l i c c e n t e r p u b l i s h e s a s a f a m i l y o f p r e d i c a t e sC ( 1 ) w h i c h a n y i n p u t 1 m u s t s a t is f y , a n d w h i c h i s t e s ta b l e i n p o l y n o m i a l t im e . I nt h e c o n t e x t o f o u r i d e n t i f i c a t io n s c h e m e , C ( I ) i s t r u e i f t h e m o d u l o n im p l i e d b y I is


11/18

Zero-KnowledgeProofs o f ldentity 87

t h e s a m e n w h i c h t h e c e n t e r p u b l i sh e s . T h i s m o d u l o i s k n o w n t o b e a B l u m i n t e g e r,a s t he c e n t e r is t r us t e d t o f o l l ow the spe c i f i c a t i ons o f the i de n t i f i c a t i on sc he me .D e f i n i ti o n . A n in t e r a c ti v e p r o o f s y s t e m o f k n o w l e d g e i s u n r e s t r i c t e d i n p u t z e r okno w le d ge ( r e l a t i ve t o a t r us t e d c e n t e r ) , i f, f o r a l l i npu t s s a t i s f y ing C(I) , f o r a l l B a n dK B i ts v i e w o f t h e c o m m u n i c a t i o n i n (/1 , B ) c a n b e r e c r e a t e d , b y a p o l y n o m i a l - t i m ep r o b a b i l i s t i c T u r i n g m a c h i n e M , w i t h a n i n d i s t i n g u i s h a b l e p r o b a b i l i t y d i s tr i b u t i o n .T h e o r e m 3 . Th e a b o ve p ro to co l i s a p ro o f o f kn o w led g e o f P ( I , S), and is un-restr ic ted input zero knowledge re la t ive to a trusted center , for k = O ( log log n) andt = ( log n) .P r o o f ( sk e tc h ) . T o p r o v e t h a t , 4 's p r o o f a l w a y s c o n v i n c e s /3 , w e e v a l u a t e t h ev e r i f ic a t i o n c o n d i t i o n :

r I 11 j- - g 1 7 S t I - I ItEj=I E,=I Ej=I= R E Y I ( s l i t ) = + R 2 = 4 -X ( m o d n ) .Ej=I

N e x t w e s h o w t h a t w h e n e v e r B a c c e p t s A ' s p r o o f w i t h n o n n e g l i g i b l e p r o b a b i l i t y ,M c a n p r i n t o u t a l l t h e S ~ w i t h o v e r w h e l m i n g p r o b a b i l i t y . L e t T b e t h e t ru n c a t e de x e c u t i o n t r e e o f (A , B ) f o r in p u t I a n d r a n d o m t a p e R A . U n l i k e t h e t r e e i nT h e o r e m 1 , / ~ m a y a s k 2k = ( log n)"~ p o s s i b l e q u e s t i o n s a t e a c h s t a g e , a n d t h u st h e v e r t ic e s in T m a y h a v e p o t y n o m i a l l y m a n y s o n s i n t e r m s o f ] I I . A v e r t e x i s c a l le d"h e a v y" i f i ts de gr e e i s l a r ge r t ha n 2k/2 ( i. e., i f m or e t ha n ha l f t he e xe c u t io ns o f( ,i f, /3 ) a t t h i s s t a t e a r e suc c e ss f ul ). O ur goa l i n t h i s p a r t o f t he p r oo f is t o sh ow tha ta ll th e S c a n b e c o m p u t e d f r o m t h e s o n s o f a h e a v y v e r t e x a n d t h a t a p o l y n o m i a l -t i m e M c a n f i n d a h e a v y v e r te x in T w i t h o v e r w h e l m i n g p r o b a b i l i t y .

L e t V b e a n y h e a v y v e r t e x i n T a n d l e t Q b e t h e s e t o f q u e r i e s in t h e f o r m o fb o o l e a n v e c t o r s ( E 1 . . . . E k) w h i c h a r e p r o p e r l y a n s w e r e d b y , f t. I t is e a s y t o s h o wtha t f o r a ny 1 < j < k a s e t Q o f m or e t ha n 2k/2 b o o l e a n v e c t o rs o f l e n g th k m u s tc on ta in tw o ve c to r s ( E 'I , . : . , E ~ ,) a nd ( E'~ . . . . E ~ ) i n w hic h E j = 0 , E j ' = 1 , a n dE'~ = E ' ' f o r a ll i # j . S inc e bo th que r i e s w e r e p r op e r ly a nsw e r e d , t he tw o ve r i f i c a t i onc o n d i t i o n s i m p l y

X ' = + Y ' Z . I"[ It ( m o d n )a n d

X " = 4- y, ,2 . I-[ II ( mod n ) .E~'=IH o w e v e r , ,f f m u s t c h o o s e X b e f o re h e o b t a i n s / ~ ' s q u e r y , a n d t h u s X ' = X " . B ym a n i p u l a t i n g t h e e q u a t io n s w e g e t

( y , , / y , ) z = 4- 1 / I ( mod n ) ,a n d t h u s Y " / Y ' i s t he de s i r e d S j ( r e c a ll t ha t n i s a B lum in t e ge r , a nd t hus e xa c t l yo n e o f + I / I a n d - 1/I h a s a s q u a r e r o o t ) .


12/18

88 u. Feige, A. Fiat, and A. Sham ir

N e x t w e s h o w t h a t a t l e a s t h a l f t h e v e r t i c e s i n a t l e a s t o n e o f t h e le v e ls i n T m u s tb e h e a v y . L e t ~ i b e t h e r a t i o b e t w e e n t h e n u m b e r o f v e r t ic e s at l ev e l i + 1 a n d t h enu m be r o f ve r t i c e s a t l e ve l i in T . I f " i < ( 3 /4 ) 2k f o r a l l 1 _< i < t , t he n t he t o t a lnu m be r o f l e a ve s i n T ( w hic h i s the p r od uc t o f a ll t he se ~ i) is bo un de d by ( 3 /4 ) t2 kt,w h ic h i s a ne g l ig ib l e f r a c t i on o f t he 2 k~ poss ib l e l e a ve s . S inc e w e a s su m e tha t t h i sf r a c t i on i s po lyn om ia l , a~ > ( 3 /4 ) 2 k f o r a t l e a s t o ne i , a nd t hu s a t l e a s t ha l f t he v e r t i c e sa t t h i s le v e l m u s t c o n t a i n m o r e t h a n 2 k /2 so n s .

T o f in d a h e a v y v e r te x in T , M c h o o s e s p o l y n o m i a l l y m a n y r a n d o m v e r ti c es a te a c h l e ve l, a n d d e t e r m i n e s t h e i r d e g r e e s b y r e p e a t e d r e s e ts a n d e x e c u t i o n s o f ,~ .T o e n s u r e a u n i f o r m p r o b a b i l i t y d i s t r i b u t i o n i n s p it e o f t h e u n e v e n d e g r e e s o f t h ev e rt ic e s, M s h o u l d e x p l o r e r a n d o m p a t h s i n t h e u n t r u n c a t e d t re e , a n d r e s t a rtf r o m t h e r o o t w h e n e v e r t h e p a t h e n c o u n t e r s a n i m p r o p e r l y a n s w e r ed q u e r y . S i n cea n o n n e g l i g i b l e f r a c t io n o f t h e l e a v e s is a s s u m e d t o s u r v i v e t h e t r u n c a t i o n , t h i sb l i n d e x p l o r a t i o n o f T c a n b e c a r r i e d o u t i n p o l y n o m i a l t im e .

T h e l a st p a r t o f t h e p r o o f d e a l s w i t h t h e z e r o - k n o w l e d g e a s p e c t o f t h e p r o t o c o l ., 4 c a n e a si ly c h e a t / ~ w i t h p r o b a b i l i t y 2 -k p e r i t e r a t i o n b y g u e s s i n g t h e ( E l , . . . , E k)vec tor , pr ep ar i ng X = _+ R 2 I -IE j=I I j ( m od n ) i n s t e p 1 , a nd p r o v id ing Y = R ins t e p 3. B y u s in g t h e G M R [ 8 ] i d e a o f r e s e t t a b l e s im u l a t i o n , M c a n m i m i c t h e c o m -m u n i c a t i o n i n ( , , ~ / ~ ) w i t h a n i n d i s t i n g u i s h a b l e p r o b a b i l i t y d i s t r i b u t i o n i n O ( t . 2 k)e x p e c t e d t im e , w h i c h is p o l y n o m i a l i n Il l b y o u r a s s u m p t i o n s o n k a n d t . S i n c e t h ee x i s t e nc e o f S~ w hic h sa t i s fy I j S ~ = _+ 1 ( m o d n ) i s g u a r a n t e e d f o r a n y I j w i t h J a c o b is y m b o l + 1 ( re c a ll o u r a s s u m p t i o n t h a t e v e r y b o d y k n o w s t h a t n i s a B l u m i n t e g e r) ,a n d t h is p r o p e r t y is c h e c k a b l e in p o l y n o m i a l t im e , t h e p r o t o c o l is u n r e s t r i c t e di n p u t z e r o k n o w l e d g e . [ ]

A n i n t e r e s t i n g m o d i f i c a t i o n c a n e l i m i n a t e t h e p u b l i c k e y d i r e c t o r y a n d l e a d t oa " k e y l e s s " i d e n t i f ic a t i o n s c h em e . I t a s s u m e s t h a t t h e t r u s t e d c e n t e r (w h i c h k n o w st h e f a c t o r i z a t i o n o f n ) i ss u e s s m a r t c a r d s t o u s e rs a f t e r p r o p e r l y c h e c k i n g t h e i rp h y s i c a l id e n t i t y . N o f u r t h e r i n t e r a c t i o n w i t h t h e c e n t e r is r e q u i r e d e i t h e r t o g e n e r a t eo r t o v e r if y p r o o f s o f i d e n t it y . I n t h is v e r s i o n o f t h e s c h e m e t h e c e n t e r c r e a t e s a s t r i n gI w h i c h c o n t a i n s t h e u s e r ' s n a m e , I D n u m b e r , p h y s i c a l d e s c r i p t i o n , o r a n y o t h e ri n f o r m a t i o n p r o v e r s o r v e r if i er s m a y w a n t t o e s ta b l is h . T h e o n l y li m i t a t i o n o n t h i ss t r i ng i s t ha t i t s l e ng th i s l og a r i t hm ic i n t he l e ng th o f n , r e su l ti / ag i n a po ly no m ia ln u m b e r o f p o s s ib l e id e n ti ti es . T h u s , t h e g r e a t e r t h e a m o u n t o f i n f o r m a t i o n n e e d e di n o r d e r t o r e c o g n i z e a u s e r u n i q u e l y , t h e l o n g e r n m u s t b e . ( T h is l im i t a t i o n o n t h el e n g t h o f t h e s tr i n g i s th e o r e t i c a l l y n e c e s s a r y f o r s u b t l e r e a s o n s w h i c h a r e m e n t i o n e di n t h e n e x t p a r a g r a p h , b u t i n p r a c t i c e i t h a s v e r y l it tl e s i gn i fi c an c e .) T h e p u b l i ck e y s I j a r e d e r i v e d f r o m I , b y a p p l y i n g a r a n d o m l y c h o s e n b u t p u b l i c l y k n o w nd e t e rm i n i s t ic t r a n s f o r m a t i o n T ( I , j ) , a n d t h e s e c re t s q u a re r o o t s S j a r e c o m p u t e da n d s t o r e d i n t h e c a r d b y th e c e n t e r . W e a s s u m e t h a t t h e s m a r t c a r d s a r e b u i l t b ys o m e t a m p e r - fr e e te c h n o l o g y , a n d t h u s t h e c o n t e n t s o f th e i r m e m o r i e s c a n n o t b er e a d o r c o p i e d e v e n b y t h e u s e r s p o s s e s s i n g t h e c a r d s . W h e n A w a n t s t o p r o v e h i si d e n t i t y , B c a n d e r i v e t h e I j d i r e c t l y f r o m A ' s c l a i m e d i d e n t i t y r a t h e r t h a n f r o ma p u b l i c k e y d i r e c t o r y . T h e a c t u a l i d e n t i f i c a ti o n p r o t o c o l r e m a i n s t h e s a m e a s i no u r o r i g i n a l s c h e m e , a n d i t c o n v i n c e s B t h a t A k n o w s t h e S j t h a t c o r r e s p o n d t ot h o s e lj. T h e s e v a l u es c o u l d o n l y b e c o m p u t e d b y t h e t r u s t e d c e n t e r w h e n t h e r e a lA r e q u e s t e d a c a r d .


13/18

Zero-Knowledge Proofs o f Identity 89

T h e a b o v e c o n v e n i e n t s c h e m e o f f e rs p r o v a b l e s e c u r it y . N o o u t s i d e r is e x p e c te dt o p r o d u c e a s m a r t c a r d b y h i s o w n , a s t h e r e is n e g l i g ib l e p r o b a b i l i t y t h a t t h e s e to f n u m b e r s t o w h i c h h e c a n e x t r a c t m o d u l a r s q u a r e r o o t s i n te r se c ts t h e s e t o fp o s s i b l e I j s . T h i s c l a i m i s p r o v e d b y a s i m p l e c o u n t i n g a r g u m e n t , a s s u m i n g t h a tt h e n u m b e r o f p o s s i b l e id e n t it ie s i s p o l y n o m i a l i n In l a n d t h a t t h e t r a n s f o r m a t i o nT i s c h o s e n r a n d o m l y f r o m a s e t o f n p o s s i b l e t r a n s f o r m a t i o n s . T h e i d e n ti f ic a t io np r o t o c o l , b e i n g a p r o o f o f k n o w l e d g e , g u a r a n t e e s t h a t p r o v e r s d o n o t c h e a t v e r if ie rs .T h e z e r o - k n o w l e d g e p r o p e r t y g u a r a n t e e s t h a t n o i n f o r m a t i o n l ea k s , a n d t h u s t h eu s e r s o f t h e s y s t e m g a in n o a d v a n t a g e i n tr y i n g t o c o p y o r f o rg e s m a r t c a r d s .

W e w a n t t o p o i n t o u t t h e ro l e o f u n r e s t r i c te d i n p u t z e r o k n o w l e d g e i n t h i s sc h e m e .C o n s i d e r t h e p o s s i b l e c ho i ce s f o r t h e t r a n s f o r m a t i o n T . I n c a s e s o f u n r es t r ic t e d i n p u tp r o o f s o f k n o w l e d g e , w e m a y c h o o s e T b y r a n d o m l y c h o o s i n g a fi xe d o ff s et m a n dc o n s t r u c t i n g I = I + j + m m o d n ( if t h e r e s u l t h a p p e n s t o h a v e J a c o b i s y m b o l - 1i t c a n b e m u l t i p li e d b y a s ta n d a r d n u m b e r w i t h J a c o b i s y m b o l - 1). T h u s t h e r e isn o p r o b l e m i n c h o s i n g T , a n d t h e t r a n s f o r m a t i o n g iv e s o u t n o i n f o r m a t i o n . O nt h e o t h e r h a n d , i f l j n e e d s t o b e o f s o m e s p e c i a l f o r m ( q u a d r a t i c r e s id u e ) , th e n t h et r a n s f o r m a t i o n b y i t s el f m i g h t r e v e a l i n f o r m a t i o n . I f w e t r y t o u s e t h e f ix e d - o f fs e tt r a n s f o r m a t i o n a s b e f o r e , w e r u n i n t o t r o u b l e i f t h e r e s u lt h a p p e n s t o b e a q u a d r a t i cn o n r e s i d u e w i th J a c o b i s y m b o l + 1. T h i s n u m b e r c a n n o t f o r m t h e b a si s o f a r e s t ri c te di n p u t i n t er a c t iv e p r o o f o f q u a d r a t i c r e s id u o s i t y , a n d s o t h e t ru s t e d c e n t e r m u s td i s c a r d i t. F r o m t h is w e c a n d e d u c e t h a t t h e r e s u l t w a s n o t a q u a d r a t i c r e s i d u e. I ti s t r ue t ha t t h i s I j w a s r ea ll y c o m p u t e d a t r a n d o m ( as m is ch o s e n a t r a n d o m ) , a n ds o k n o w i n g t h a t i t i s a q u a d r a t i c n o n r e s i d u e d o e s n o t c o n s t i t u t e u s e f u l i n f o r m a t i o n .B u t t h i s s a m e p h e n o m e n o n i s l i k e l y t o o c c u r f o r m a n y d i f f e r e n t s t r i n g s I , a n da s t h e s e s t r i n g s a r e n o t i n d e p e n d e n t a m o n g t h e m s e l v e s , w e g e t m a n y q u a d r a t i cn o n - r e s i d u e s w i t h d e p e n d e n c i e s w h i c h a r e d i f fi c u lt to a n a l y z e . T h e s e k i n d o f p r o b -l e m s w e r e t h e m o t i v a t i o n t o i n t r o d u c i n g u n r e s t r i c t e d i n p u t p r o t o c o l s t o i d e n t i t ys c h e m e s .

4 . Th e P a r a l l e l Version of th e Ident i f icat ion SchemeI n t e r a c t i v e p r o o f s a r e u s u a l ly i t e r a te d v e r s i o n s o f s o m e b a s i c p r o t o c o l w i t h a c o n -s t a n t n u m b e r o f e l e m e n t a r y o p e r a t i o n s a n d a c o n s t a n t p r o b a b i l i t y o f c h e a ti n g . T h i sc a n b e d o n e e i t h e r b y r e p e a t i n g t h e p r o t o c o l a s a w h o l e ( s e q u e n t i a l e x e c u t i o n )o r b y r e p e a t i n g e a c h e l e m e n t a r y o p e r a t i o n b y i t s e lf ( p a r a l le l e x e c u ti o n ) . P a r a l l e le x e c u t i o n s c h a n g e t he d ir e c ti o n o f t h e c o m m u n i c a t i o n o n l y a c o n s t a n t n u m b e ro f ti m e s ( w h i c h i s p r e f e r a b le f o r t h e o r e t i c a l a s w e l l a s p r a c t i c a l r e a s o n s ) , b u tu n f o r t u n a t e l y t h e y a r e n o t z e r o k n o w l e d g e f o r v e r y s u b t l e t e c h n i c a l r e a s o n s .

T h e p r o b l e m o f s e q u e n ti a l v e r su s p a r a l le l e x e c u t i o n s o f p r o t o c o l s h a s a t t r a c t e dc o n s i d e r a b l e a t t e n t i o n , a n d w a s d u b b e d " t h e c a s e w h e r e i n t u i ti o n f a i ls " i n t h el it e r at u r e . T h e i n f o r m a t i o n / 3 c a n c o m p u t e a s a r e s u lt o f hi s p ar a ll e l in t e r a c t i o nw i t h A s e e m s t o b e v e r y s p ec i al iz e d , a n d t h u s i t i s n a t u r a l t o s p e c u l a t e t h a t p a r a l l e lv e r s i o n s o f z e r o - k n o w l e d g e p r o t o c o l s r e le a s e o n l y " u n u s a b l e " i n f o r m a t i o n . W ef o r m a l i z e th e a b o v e s p e c u l a ti o n a n d p r o v e t h a t o u r i d e n ti f ic a ti o n s c h e m e i s s e cu r e ,even i f t he para l l e l ver s ion o f the iden t i f i ca t ion pro toco l s i s u sed .W e o b s e r v e t h a t i d e n ti f ic a ti o n s c h e m e s a r e t y p i c a ll y c o m p o s e d o f t w o s ta g e s:


14/18


1 . I n i t i a l i z a t i on . I n t h i s s t a ge a l i nk be tw e e n e a c h use r U a nd i t s pub l i c ke y Ki s e s t a b l i she d ( e .g ., v i a d i s t r i b u t ion o f d i r e c to r i e s by a t r us t e d c e n t e r ) .2 . O p e r a t i o n . I n t h is s t a g e a n y u s e r U j c a n d e m o n s t r a t e i t s i d e n t i t y b y p e r f o r m i n g

s o m e i d e n t i f i c a t i o n p r o t o c o l r e l a t e d t o i t s p u b l i c k e y K j ( e . g . , d e m o n s t r a t ek n o w l e d g e o f a m o d u l a r s q u a r e r o o t o f K j) .

L e t h b e t h e s e c u r i t y p a r a m e t e r o f th e i d e n t i f ic a t i o n s c h e m e . A s w e a r e d e a l i n go n l y w i t h p o l y n o m i a l - t i m e u s e r s ( v e r if i er s a n d p r o v e r s ) , t h e l i fe t im e o f a s y s t e m isl i m i t e d b y s o m e p o l y n o m i a l in h . L i k e w i s e , t h e n u m b e r o f u se r s is p o l y n o m i a l i n h ,a s o t h e rw i s e n o d i r e c t o r y c o u l d b e c r e a te d . W e d o n o t w a n t t o f ix th e n u m b e r o fuse r s a priori , a n d s o w e d e f in e :D e f in i t i on . A p o lyn o mia l en semb le o f u sers P E m a p s f o r e a c h s e c u r it y p a r a m e t e r ha p o l y n o m i a l n u m b e r ( i n h ) o f p o l y n o m i a l - t i m e ( i n h ) p r o b a b i l i s t i c T u r i n g m a c h i n e s("users") .

A u s e r i s ca l l ed a " g o o d " u s e r ( d e n o t e d b y U ), if t h r o u g h o u t t h e l i f e ti m e o f t h ei d e n t i f i c a t io n s y s t e m i t d o e s n o t d e v i a t e f r o m t h e p r o t o c o l s d i c t a t e d b y t h e s c h e m e .A n e n s e m b l e o f u s e rs m a y c o n t a i n u s e r s w h i c h a r e g o o d a n d u s e r s w h i c h a r e n o t .T h e s e c u r i t y g u a r a n t e e is g iv e n o n l y t o t h e g o o d u s e rs .D e f in i t i on . A n ide n t i f i c a ti on sys t e m sc he m e i s secure i f f o r a n y p o l y n o m i a l e n s e m b l eo f u s e rs t h e p r o b a b i l i t y o f a n i m p e r s o n a t i o n e v e n t i n a r a n d o m l y c h o s e n i d en t if ic a -t i o n s y s t e m i s n e g l i g i b l e . A n i m p e r s o n a t i o n e v e n t i s t h e e v e n t t h a t a t l e a s t o n c ed u r i n g t h e l i f e ti m e o f t h e s y s t e m o n e u s e r i m p e r s o n a t e s s o m e o t h e r g o o d u s e r .M o r e f o r m a l ly :

VPE , Vc, 3 N suc h th a t Vh > N, VUI , Uj , i :~ j ,P r o b [ ( U i , / 3 ) a c c e p t s K j ] < 1/h c.

T h e p r o b a b i l i t y i s t a k e n o v e r t h e c o i n to s s e s o f t h e c o m p l e t e h i s t o r y o f t h e s y s t e mu p t o t h e t i m e o f t h e a t t e m p t e d i m p e r s o n a t i o n : t h e c o i n t o s s e s o f Ui, o f U j, o f / 3 ,o f t he t r us t e d c e n t e r ( if t he r e e x i s t s one ) , a n d o f a l l o the r use r s . I n pa r t i c u l a r , U i isn o t e x p e c t e d t o s u c c e e d i n f a l s e ly r e p r e s e n t i n g h i m s e l f a s U j e v e n a f t e r v e r i f y in gm a n y r e a l p r o o f s o f i d e n t i t y o f U j. T h i s m e a n s t h a t U f s p r o o f s o f i d e n t i t y a ren o t e x p e c t e d t o l e a k a n y u s e f u l i n f o r m a t i o n . T h i s d o e s n o t m e a n t h a t t h e p r o o f so f i d e n t i t y a r e f o r m a l l y z e r o k n o w l e d g e . I n f a c t , t h e r e a r e t w o m a i n d i f fe r e n c esb e t w e e n p r o t o c o l s w h i c h a r e z e r o k n o w l e d g e a n d p r o t o c o l s w h i ch r e l e as e n o u s ef uli n f o r m a t i o n ( a t le a s t in o u r c o n t e x t o f i d e n t i fi c a t i o n s c h em e s ) :

1. T h e c o m m u n i c a t i o n t a p e r e s u l ti n g f r o m z e r o - k n o w l e d g e i n t e r a ct i v e p r o o f sm u s t n o t c o n t a i n d i s t i n g u i s h i n g f e a t u r e s w h i c h a r e d i ff ic u l t t o r e p r o d u c e b y" i g n o r a n t " p o l y n o m i a l - t i m e m a c h i n e s. W i t h p r o t o c o l s w h i c h r e le a s e n o u s ef u li n f o r m a t i o n w e o n l y d e m a n d t h a t i f s u c h d i s t in g u i s h in g f e a tu r e s d o o c c u r , th e yw o u l d n o t h e l p t h e v e r if i e r i n e x t r a c t i n g t h e p r o v e r ' s s e c re t k n o w l e d g e . N o t et h a t w e d o n o t e x c l u d e t h e p o s s i b i l i ty o f d i s c l o s u r e o f p a r t i a l i n f o r m a t i o n , b u ta g a i n , a s l o n g a s t h i s p a r t i a l i n f o r m a t i o n i s n o t s u f fi c ie n t i n o r d e r t o p e r f o r mt h e p r o v e r ' s p a r t o f t h e p r o t o c o l .


15/18


2 . T h e z e r o - k n o w l e d g e p r o p e r t y m u s t h o l d w i t h re s p e c t to all l a r g e e n o u g hc o m m o n i n p u t s . W i t h " n o u s e f u l i n f o r m a t i o n t r a n s f e r " w e n o l o n g e r h a v et h is u n i v e r s a l q u a n t i f i c a t i o n o v e r t h e i n p u t s t r i n g s . In s t e a d , w e i n c l u d e t h ec h o i c e o f t h e c o m m o n i n p u t i n t h e p r o b a b i l i t y s p a ce . T h u s , t h es e p r o t o c o l sp r o t e c t t h e p r i v a c y o f t h e p r o v e r ' s e x t r a k n o w l e d g e o n l y f o r almost all l a r gee n o u g h c o m m o n i n pu t s. T h i s c h a n g e h a s n o s i g n if ic a n ce i n m o s t c r y p t o g r a p h i ca p p l i c a t io n s , a s t h e fo r m a l t o o l c r y p t o g r a p h y u s e s i n o r d e r t o d e f i n e a s " s e c r e t "t h e e x t r a i n f o r m a t i o n t h e p r o v e r h a s , is b y l e tt i n g it b e c h o s e n a t r a n d o m .

T h e f o l l o w i n g le m m a d e m o n s t r a t e s t h a t t h e p a r a l l el v e r s i o n o f t h e i d e n t i f ic a t i o np r o t o c o l r e t a i n s t h e c o m p l e t e n e s s a n d s o u n d n e s s p r o p e r t i e s o f t h e s e r ia l v e r s i o n o ft h e p r o t o c o l . T h i s i s a r e s t r i c t e d a n a l o g u e t o T h e o r e m 3 , a s w e d o n o t p r o v e t h ez e r o - k n o w l e d g e p r o p e r t y . B u t a s i t tu r n s o u t , t h i s l e m m a i s t h e fi rs t s t e p t o w a r dp r o v i n g t h a t t h e p a r a ll e l v e r s io n r e l e a se s n o u s e fu l i n f o r m a t i o n .L e m m a 4 . The parallel identification protocol is a pro of o f knowledge o f P (I, S)fo r k = O ( log l og n) and t = ( log n).P r o o f . T h e p r o o f o f t h e c o m p l e t e n e s s p r o p e r t y i s e x a c tl y t h e s am e a s in t h e p r o o fo f T h e o r e m 3.

S o u n d n e s s : w e p r o v e t h a t A m u s t k n o w a m o d u l a r s q u a r e r o o t S ,, o f e a c h o n eo f th e i n p u t s t ri n g s I ,, in o r d e r t o h a v e n o n n e g l i g i b l e p r o b a b i l i t y o f e x e c u t i n g (A , /~ ).W i t h o u t l o s s o f g e n e r a li t y , w e o n l y s h o w h o w M c a n e x t r a c t S 1 , b y p l a y i n g t h er o l e o f / ~ in a p o l y n o m i a l n u m b e r o f e x e c u t i o n s (A , M ) . R e ca l l t h a t M ' s a d v a n t a g eo v e r / 3 i n e x t r a c t i n g k n o w l e d g e f r o m A i s h i s a b i l i t y t o r e s e t A w i t h t h e s a m er a n d o m t ap e .

A s s u m e t h a t t h e c o n t en t s o f A 's k n o w l e d g e t a p e a n d r a n d o m t a p e a r e su c h t h a tt h e e x e c u t i o n (A , /3 ) h a s p r o b a b i l i t y o f s u c c e s s e. T h e p r o b a b i l i t y is t a k e n o v e r t h ec o n t e n t s o f / 3 ' s r a n d o m t a p e R B , w h i c h c o n t a i n s k t b i t s . L og ic a l l y d iv ide R Bi n t o t w o p a r t s : RB1 w hic h p r od uc e s t b i t s f o r E l t o E ' ~, a nd RB2 w h i c h , f o r e a c hj , 2 < j < k , p r o d u c e s t h e b i t s E ) t o E } . T h e p o s s i b l e o u t c o m e s o f t h e e x e c u t i o n so f ( A ,/ 3 ) c a n b e s u m m a r i z e d i n a l a r g e b o o l e a n m a t r i x H w h o s e r o w s c o r r e s p o n dto a l l pos s ib l e c ho i c e s o f RB2, i ts c o l u m n s c o r r e s p o n d t o a l l p o s si b l e c h o i c e s o f R B I ,a n d i ts e n t r ie s a r e 0 i f B r e je c ts A ' s p r o o f a n d 1 i f / ~ a c c e p t s A ' s p r o o f . N o t e t h a tt h is v a l u e is w e ll d ef i n ed s i n c e t h e e x e c u t i o n s b e c o m e d e t e r m i n i s t i c o n c e R A a n dR B a r e c h o s e n .

T o e x t r a c t S 1 , M t ri e s t o f in d t w o l ' s a l o n g t h e s a m e r o w i n H . M c a n p r o b e Hb y e x e c u t i n g (A , M ) w i th p r o p e r l y c h o s e n " r a n d o m " s t r in g s R B 2 a n d R B I , a n di ts g o a l is t o m i n i m i z e t h e n u m b e r o f p r o b e s .

T h e f r a c t i o n o f l ' s i n H i s a t l e a s t e , b u t t h e i r l o c a t i o n s c a n b e c h o s e n b ya n a d v e r s a r y w h o k n o w s t h e p r o b i n g s t r a t e g y a n d t ri e s t o f oi l i t. W e c a l l a r o w"h e a v y" i f t he f r a c t i on o f l ' s a l on g i t i s a t l e a s t e /2 . S inc e the w id th o f H i s 2 ',a n d e > 2 -~+ ~ ( b y o u r a s s u m p t i o n t h a t t h e p r o b a b i l i t y o f s uc c e ss i s n o n n e g li g i b le ) ,a h e a v y r o w c o n t a i n s a t l e a s t t w o l 's .

T h e o b v i o u s p r o b i n g s t r a t e g y u s e s O ( 1 / e 2 ) p r o b e s i n t h e f o l lo w i n g w a y :1 . C h o o s e O ( 1 /e ) r a n d o m r o w s .2 . P r o b e O ( 1 / e) r a n d o m e n t r i e s i n e a c h r o w .


16/18

92 U. F eige, A. Fiat, and A. Shamir

S i n c e t h e f r a c t io n o f h e a v y r o w s i n H i s a t l e a s t e / 2 ( t h e w o r s t c a s e b e i n g e / 2r o w s w h i c h a r e a l l 1 , a n d t h e r e s t o f t h e r o w s w i t h a f r a c t i o n o f l 's s l i g h t l y le s st h a n e / 2 ) , t h e f i r s t s t e p c h o o s e s a t l e a s t o n e h e a v y r o w w i t h c o n s t a n t p r o b a b i l i t ya n d t h e se c o n d s t e p f in d s tw o l 's a l o n g t h is r o w w i t h c o n s t a n t p r o b a b i l it y . H o w e v e r ,a b e t t e r p r o b i n g s t r a t e g y is :

1 . P r o b e O (1 /~ ) r a n d o m e n t r i e s in H .2 . A f t e r t h e f ir s t 1 w a s f o u n d , p r o b e O ( 1 /e ) r a n d o m e n t r i e s a l o n g t h e s a m e r o w .S i n c e a t le a s t h a l f t h e l ' s i n H a r e l o c a t e d i n h e a v y r o w s , t h is s t r a t e g y s u c c e e d s

w i t h c o n s t a n t p r o b a b i l i t y in j u s t O ( I / e ) p r o b e s , w h i c h i s p o l y n o m i a l i n I l l b y o u ra s s u m p t i o n t h a t e r e p r e s e n t s n o n n e g l i g i b l e p r o b a b i l i t y .

T h e t w o s u c c e s s e s f o u n d b y t h i s p r o b i n g s t r a t e g y a r e l o c a t e d i n t h e s a m e r o w ,a n d s o M c a n e x t r a c t $1 b y m a n i p u l a t i n g t h e v e r i f i c a ti o n c o n d i t i o n s i n a w a y s i m i l a rt o t h a t u s e d i n t h e p r o o f o f T h e o r e m 3 . [ ]

B e f o r e w e t u r n t o t h e m a i n t h e o r e m o f th i s s e c t i o n , w e s k e t c h t h e i n t r a c t a b i l i t yo f f a c t o r i n g ( I F ) a s s u m p t i o n : a n y f a m i l y o f b o o l e a n c i r c u i ts , w h i c h c a n f a c t o r w i t hn o n n e g l i g i b l e p r o b a b i l i t y p r o p e r l y c h o s e n i n t e g e r s n ( m u l t i p le s o f t w o p r i m e s o fa p p r o x i m a t e l y e q u a l s i ze , e a c h w i t h l a r g e d i v i s o r s o f t h e o r d e r o f it s m u l t i p l i c a ti v es u b g r o u p ) , m u s t g r o w i n a r a t e fa s t e r t h a n a n y p o l y n o m i a l i n t h e s iz e o f t h e i n p u t .T h e o r e m 5 . Under the intractability o f fac tor ing assumption, the parallel version o fthe identification scheme is secure.Proof . T h e l i f et im e o f o u r i d e n t i t y s c h e m e i s p o l y n o m i a l i n i ts s e c u r i t y p a r a m e t e r ,a n d s o is t h e n u m b e r o f u s e rs . T h i s i m p l i e s t h a t t h e c o m p l e t e h i s t o r y o f t h e s y s t e mc a n b e s i m u l a t e d b y o n e p o l y n o m i a l - t i m e p r o c e d u r e P . T h i s p r o c e d u r e m a y b en o n u n i f o r m , a s i t m u s t i n c o r p o r a t e t h e d e s c r i p t i o n o f t h e a l g o r i t h m e a c h u s e r r u n s ,a n d t h is m a y c h a n g e f o r d i f f e re n t s i ze s o f th e s e c u r i t y p a r a m e t e r . T h u s P m a y b ev i e w e d as a f a m i l y o f b o o l e a n c i rc u i ts w i t h p o l y n o m i a l g r o w t h r a te . B y t h e I Fa s s u m p t i o n , t h e p r o b a b i l i t y t h a t P f a c t o r i z e s a l a r g e e n o u g h n w h i c h is p r o p e r l yc h o s e n b y t h e t r u s t e d c e n t e r i s n e g l ig i b le .

A s s u m e t h a t t h e i d e n t i f i c a t i o n s c h e m e i s n o t s e c u r e . T h i s m e a n s t h a t w e a r ee x p e c t e d t o r e a c h a s t a g e w h e r e ( U ~,/3 ) h a s n o n n e g l i g i b l e p r o b a b i l i t y o f su c c e ss o ni n p u t K , w h e r e i # j . B y L e m m a 4 th i s i m p l i e s t h a t w i t h o v e r w h e l m i n g p r o b a b i l i t y ,U~ c a n c o m p u t e m o d u l a r s q u a r e r o o t s f o r a n y o n e o f t h e k n u m b e r s Im c o m p r i s i n gU ; s p u b l ic k e y . W e p r o v e t h a t t h e s q u a r e r o o t s t h a t U~ k n o w s a r e i n d e p e n d e n t o ft h e sq u a r e r o o t s th a t ~ k n o w s , a n d t h u s w i t h p r o b a b i l i t y 1 - 1 /2k t h e t w o u s e r sh o l d b e t w e e n t h e m a ll m o d u l a r s q u a r e r o o t s o f a t le a s t o n e i n p u t n u m b e r . T h i si m p l ie s f a c t o r iz a t i o n o f n , a n d c o n t r a d i c t s t h e I F a s s u m p t i o n .

E a c h + I m h a s f o u r s q u a re r o o t s m o d n , b u t o n l y tw o o f t h e m a r e k n o w n t o( o t h e r w i s e i t c o u l d h a v e f a c t o r e d n b y i t s e l f ) . W e c l a i m t h a t e v e n a n i n f i n i t e l yp o w e r f u l / ~ c a n n o t d e t e r m i n e f ro m t h e X ' s a n d Y ' s s e n t b y ~ d u r i n g t h e e x e c u ti o no f ( ~ , ~g) w h i c h s q u a r e r o o t s ~ a c t u a l l y u s e s . T o p r o v e t h is , c o n s i d e r t h e d e f i n i n ge q u a t i o n f o r Y :

Y = R " 1 ~ S, ( m o d n ) .g l=l


17/18


I f ~ r e p l a c e s Sm b y o n e o f th e o t h e r t h r e e s q u a r e r o o t s , t h e Y i s m u l t i p l i e d b y o n eo f t h e t h r e e n o n t r i v i a l s q u a r e r o o t s o f 1 . T h i s e f f e c t c a n b e c a n c e l e d b y d i v i d i n g Rb y t h e s a m e s q u a r e r o o t , w h i c h l e av e s X = + R 2 ( m o d n ) u n c h a n g e d . S i n c e t h e R ' sa r e r a n d o m l y c h o s e n , ~ p r o d u c e s t h e s a m e X , Y v a l u es w i th t h e s am e p r o b a b i l i t yd i s t r ib u t i o n i n b o t h c as es . T h i s s y m m e t r y a r g u m e n t p r o v e s t h a t ~ c a n n o t l e akt o / ] d u r i n g t h e e x e cu t io n s o f ( ~ , / ~ ) w h i c h s q u a r e r o o t o f Q h e c an c o m p u t e f r o mt h e Sm h e k n o w s . [ ]

A c r u c ia l a r g u m e n t i n t h e p r o o f o f T h e o r e m 5 is t h a t i n o r d e r t o e x e c u t e U / sp r o t o c o l , U~ m u s t know ( o r h a v e a g o o d c h a n c e t o c o m p u t e ) s o m e s q u a r e r o o t s .T h u s , i n t h e p r o o f o f t h e s e c u r it y o f t h e p a r a l l e l i d e n t i f i c a t io n s c h e m e w e r e a pt h e r e w a r d o f h a v in g d e f in e d th e n o t i o n o f p r o o f s o f k n o w l e d g e.F i n a l l y , w e w a n t t o d i s cu s s i m p r o v e m e n t s t o t h e e f f ic i e n c y o f t h e p a r a l l e l i d e n t i -f i c a t io n p r o t o c o l . I n L e m m a 4 w e r e s t r i c t e d k t o O ( l o g t o g n ) a n d t t o ( l o g n )i n o r d e r t o e m p h a s i z e t h e s i m i l a r i t y b e t w e e n t h e l e m m a a n d T h e o r e m 3 . B u t i nT h e o r e m 3 t h e r e s t r i c t i o n k = O ( l o g l o g n ) w a s o n l y u s e d i n t h e p r o o f o f th ez e r o - k n o w l e d g e p r o p e r t y . A s L e m m a 4 d o e s n o t a t t e m p t t o p r o v e th i s p r o p e r t y ,t h e c o n d i t i o n o n k c a n b e re l a x e d t o k = O ( l o g n ). N o w c o n s i d e r t h e r e s t r i c t i o nt = f ~ (n ) . T h i s w a s n e c e s s a r y i n t h e p r o o f o f L e m m a 4 , b e c a u s e t h e g o a l w a s t od e m o n s t r a t e t h a t t h e p r o v e r k n o w s a m o d u l a r s q u a r e r o o t o f e a c h o n e o f th e Ira 'sc o m p r i s i n g t h e i n p u t s tr in g . B u t a s l ig h t c h a n g e i n t h e p r o o f o f T h e o r e m 5 s h o w st h a t t h e p r o o f c ar r ie s t h r o u g h e v e n if t h e p r o v e r U i k n o w s a s q u a r e r o o t o f a p r o d u c to f th e n u m b e r s i n j u s t o n e s u b s e t o f t h e I ra 's . I f w e c h a n g e t h e g o a l o f L e m m a 4 t op r o v i n g t h e a b o v e , w e c a n r e l ax t h e c o n d i t i o n o n t a n d r e p l a c e i t b y a j o i n t c o n d i t i o nkt = ( l o g n ). T h e p r o o f o f th e l e m m a i s o n l y s im p l i fi e d , a s , i n s t e a d o f t h e b o o l e a nm a t r i x H u s e d i n t h e p r o o f o f t h e l e m m a , w e h a v e ju s t a B o o l e a n v e c t o r .

T h e c u r v e kt = ( l o g n ) e s s e n t ia l l y r e p r e s e n t s a t r a d e b e t w e e n m e m o r y a n dr a n d o m n e s s . F o r l a r g e r v al u es o f k , t h e p r o v e r n e ed s m o r e m e m o r y i n o r d e r t o s a v es q u a r e r o o t s o f m o r e n u m b e r s . F o r l a r g e r v a lu e s o f t, t h e p r o v e r n e e d s t o c h o o s em o r e r a n d o m n u m b e r s R , as t c o r r e s p o n d s t o t h e n u m b e r o f i t er a ti o n s . T h u st h e i n t e r p l a y b e t w e e n k a n d t a l lo w s f l e x i b i li t y i n t h e c h o i c e o f p a r a m e t e r s f o r t h es c h e m e . A d d i t i o n a l i n f o r m a t i o n o n t h e p r a c t i c a l a s p e c ts o f t h e i d e n t i f i c a ti o n s c h e m ea n d i t s o p t i m i z e d i m p l e m e n t a t i o n s c a n b e f o u n d i n [ 5 ] .

AcknowledgmentsI t i s a p l e a s u r e t o a c k n o w l e d g e t h e in v a l u a b l e c o n t r i b u t i o n s o f o u r m a n y f r i e n d s ,w h o i n s p i r e d , i m p r o v e d , a n d d e b u g g e d o u r v a g u e i n it i al c o n c e p t s . I n p a r t i c u l a rw e w o u l d l ik e t o t h a n k G i ll es B r a ss a r d , D a v i d C h a u m , O d e d G o l d r e i c h , S ha ftG o l d w a s s e r , J o e H a l p e r n , R a f t H e i m a n , S i lv i o M ic a li , Y o r a m M o s e s , Y a i r O r e n ,C h a r l i e R a c k o ff , R o n R i ve st , M a r t i n T o m p a , a n d H e a t h e r W o l l .

References1. Brassard, G., and C. C repeau, No ntransitive Trans fer of Confidence: A Perfect Zero Know ledgeInteractive Protoco l for SAT and B eyond,Proceedings of FOCS,1986, pp. 18 7-195.


18/18

94 U. Fe ige, A. F ia t , and A . Shamir

2 . Chaum , D. , Dem ons tra t ing tha t a P ubl ic Pred ica te Can Be Sa tis fied Witho ut Revea l ing AnyI n f o r ma t io n a b o u t Ho w , Proceedings of CR YPTO 86, Lec ture Notes in Com puter Sc ience , Vol . 263 ,Springer-Verlag, Berlin, 1987, pp. 195-199.

3. Chor, B. , S. Goldwasser , S. Micali, and B. Awerbuch, Verif iable Secret Sharing and AchievingSimultane i ty in the Presence of Faul ts , Proceedings of FOCS, 1985, pp. 383-395.4. Feige, U., Interac tive Proofs , M .Sc. Thesis , Weiz m ann Ins titute o f Science, 1987.

5 . F ia t , A., and A. Shamir , How T o P rove You rse lf: Prac t ica l So lu t ions to Iden t i f ica t ion and Signa tureP r o b le ms , Proceedings of CRYPTO 86, Lec ture Notes in Computer Sc ience , Vol . 263 , Spr inger -Verlag, B erlin, 1987, pp. 186-194.

6 . Ga l i l , Z . , S . Haber , and M . Yung, A Pr iva te In te rac t ive Tes t o f a Boo lean Pred ica te and M inim um-Kno wled ge Publ ic Key C ryptosys tems , Proceedings of FOCS, 1985, pp. 360-371.7 . Goldre ich , O. , S . Mica l i , and A. Wigderson , Proofs tha t Yie ld Noth ing bu t The ir Val id i ty anda M e th o d o lo g y o f C r y p to g r a p h ic P r o to c o l D e s ign , Proceedings of FOCS, 1986, pp. 174-187.8 . G oldwasser , S . , S . Mical i, and C. Rackoff , K now ledge C om plexi ty of In te rac t ive P roo f Systems,

Proceedings of S TOC, 1985, pp. 291 - 304.9. Goldwasser, S. , S. Micali, and R. Rivest, A Para doxi cal S olution to the Sign ature Problem , Proceedingsof FOCS, 1984, pp. 44 1-448.

10. Goldw asser , S ., and M. Sipser , Ar thur M er l in G am es ver sus In te rac t ive Proof Systems, Proceedingsof STOC, 1986, pp. 59 -68.

1 1. Ha lp e r n , J. , a n d Y . Mo s es , Kn o wle d g e a n d Co m mo n Kn o w le d g e in a D is t rib u te d E n v i r o n me n t ,Proceedings of PODC, 1984, pp. 50 -61.I2 . Oren , Y. , On the Cunning Pow er of Che a t ing Ver ifie rs : Som e Observa t ion s about Ze ro-Kn owle dgeProofs , Proceedings of FOCS, 1987, pp. 462 -471 .13. Po l la rd , J . M. , and C. P . Schnor r , An Ef f ic ien t So lu t io n of the Congruen ce x 2 + ky 2 = m (mod n),

IEEE Transactions on Information Theory (1987), 702-70 9.14. Rives t , R., A. Shamir , and L. Adlem an, A Me thod for Obta in ing Dig i ta l S igna tures and Publ ic -KeyCryptosys tems , Communications of the Association for Computing Machinery, 21 (1978), 120-126.15. Rosensche in , S ., Form al Theor ies o f Kn owle dge in AI and Robotics , New Generation Computing,3 (1985), 345-35 7.16. Tom pa , M . , and H. Woll , Random Se lf -Reduc ib i l i ty and Zero-K now ledge In te rac t ive Proofs o f

Possession of Inform ation, Proceedings of FOCS, 1987, pp. 47 2-482.

Documents

Zk Identity