Din câte știu eu, ai înțeles ideea. „Rebobinarea” este doar strategia de „privire” făcută posibilă prin accesul oracol al simulatorului la verificator
De obicei, este denumită „superputere” pentru că este o capacitate pe care un Prover nu o are în timpul execuției normale a protocolului, altfel soliditatea ar putea fi compromisă (din moment ce simulatorul poate produce o transcriere convingătoare a interacțiunii fără să știe nimic, ar putea uzurpa identitatea unei înșelăciuni). doveditor pretinzând că dovedește o afirmație falsă)
În ceea ce privește faptul că simularea este exact ceva ce verificatorul poate face singur, este adevărat: simulatorul nu trebuie să știe nimic pentru a dovedi ZKness, și cine este un candidat mai bun decât Verificatorul pentru rolul cuiva care nu știe?!
EDITĂ PENTRU RĂSPUNS LA COMENTARIU DE URMAR:
În capitolul 6 din Tutoriale despre fundamentele criptografiei (Springer), Yehuda Lindell scrie:
În primul rând, cineva s-ar putea întreba cum este posibil să derulați „tehnic” verificatorul. De fapt, atunci când luăm în considerare cunoștințele zero-box, acest lucru este banal. Mai exact, simulatorului i se oferă acces oracol la următoarea funcție de mesaj V*(x, z, r, ·) a verificatorului. Aceasta înseamnă că furnizează o transcriere m' = (m1, m2,...) a mesajelor primite și primește înapoi următorul mesaj trimis atunci când V* are intrare x, intrare auxiliară z, bandă aleatoare r și mesaje primite m'
deci este doar următorul mesaj, nu întreaga transcriere rezultată la sfârșitul interacțiunii (dacă asta a fost îndoiala ta).
Având în vedere definiția de mai sus a funcției mesajului următor (unde provocarea doveditorului aparține mesajelor primite anterior de verificator), „modul evident” mi se pare greșit pentru un verificator V* generic (aka potențial înșelat).
Dacă verificatorul este sincer (deci provocarea este sincer „aleatorie” - chiar dacă nu este neapărat distribuită uniform) puteți pur și simplu să inversați ordinea în care simulatorul primește mesajele (deci mai întâi rezultatul, apoi provocarea, apoi angajamentul): BTW, este strategia de a demonstra că protocolul de identificare Schnorr este HVZKP (omițând -de dragul simplității- că avem de-a face cu distribuții și nu doar cu valori reale).
Dar dacă avem de-a face cu un verificator V* care poate înșela (și acesta este cazul presupus al secțiunii 8.7 a prelegerii dvs.), poate că provocările sunt în funcție de angajamente, deci nu sunt independente reciproc, așa că cea mai bună strategie este să încercați toate rezultatele. până îl găsești pe cel valid (sau, adoptând punctul de vedere al prelegerii, având în vedere un rezultat, începi să încerci toate angajamentele până când funcția produce provocarea „potrivită”)... oricum trebuie să testezi un număr de cazuri care cresc exponențial dacă aveți doar un grad de libertate, așa că un simulator PPT nu se poate descurca, adică ZK nu este dovedit:
Aceasta înseamnă că după ce simulatorul se derulează, este ca și cum întregul protocol începe din nou de la zero. Acest lucru implică faptul că numărul așteptat de derulări este exponențial și că nu putem construi un simulator PPT, ceea ce implică faptul că nu putem demonstra proprietatea zero-cunoaștere.
Deci, nu există contradicție între definiția anterioară a derulării înapoi și concluzia primului paragraf din secțiunea 8.7 a prelegerii dumneavoastră.
Recunosc că nu m-am gândit prea mult de ce un simulator trebuie să fie PPT și nu poate -să spunem- să fie nelimitat din punct de vedere computațional, cel puțin în principiu: aș dori să aud de la alții despre el.
Între timp, presupunerile mele educate sunt următoarele:
- "considerăm insolubile acele sarcini care nu pot fi efectuate de mașina PPT" (Goldreich, Fundamentul Criptografiei Volumul I pag. 19)
- pentru orice utilizare reală, suntem întotdeauna constrânși să folosim entități eficiente (incluși dovezitorii, chiar dacă teoretic nu există nicio problemă să le considerăm nelimitate)
- existența unui simulator este o condiție suficientă, dar nu necesară pentru ZK, așa că folosirea acestei paradigme înseamnă deja pierderea oricăror ipoteze cele mai cuprinzătoare: în acest scenariu pare acceptabil să se folosească o definiție prea prudentă.
