Există aici o distincție subtilă care trebuie făcută explicită. Trebuie să luăm în considerare două tipuri de definiții de securitate:
„Securitate cu Abort”: Un partid corupt i se permite să-și vadă rezultatele și apoi să decidă dacă îi permite părții cinstite să primească rezultatele lor. (Descriu ce se întâmplă în lumea ideală -- protocolul este sigur dacă fiecare atac împotriva protocolului ar putea avea același efect ca un atac din lumea ideală.)
O funcționalitate ideală pentru „aruncarea de monede cu anulare” face următoarele:
- aruncă o monedă corectă $c \gets \{0,1\}$;
- da $c$ adversarului;
- asteapta putin $d$ ($d$ = „livrează”) de la adversar
- dacă $d=0$, apoi dați rezultate $\bot$ părţilor cinstite; altfel dacă $d=1$ apoi da ieșire $c$ la partidele cinstite.
„Ieșire garantată”: Un partid corupt nu poate împiedica un partid onest să primească un rezultat.
O funcționalitate ideală pentru „lansarea de monede cu ieșire garantată” face următoarele:
- aruncă o monedă corectă $c \gets \{0,1\}$;
- da $c$ tuturor părților;
Protocolul pe care l-ai descris nu spune ce ar trebui să se întâmple dacă o Alice coruptă nu își deschide angajamentul spre satisfacția lui Bob. Dacă îi spunem lui Bob să renunțe în acest caz, obținem într-adevăr un protocol care asigură securitatea cu anularea. Deci, în acest sens, intuiția ta este corectă.
Dar indiferent de ce adăugați protocolul, acesta nu va atinge securitatea cu rezultate garantate.
Aceasta este problema care este discutată în hârtie pe care l-ai menționat.
De dragul întrebării dvs., definim un protocol „naïv” ca unul cu părtinire 1/2 -- adică, un adversar poate întotdeauna forța un anumit rezultat cu certitudine.
Ați descris un protocol în întrebarea dvs. și ați întrebat dacă este naiv conform acestei definiții.
Cu toate acestea, protocolul dvs. este subspecificat --- nu descrie ce ar trebui să facă un Bob onest dacă Alice nu reușește (sau alege să nu își deschidă angajamentul).
Deci, nu este posibil să răspundem dacă acest protocol este naiv conform acestei definiții.
Pe pagina 3 a acelei lucrări, ei iau în considerare protocolul pe care l-ați descris, dar cu următoarea condiție adăugată: „Dacă Alice renunță sau nu deschide corect angajamentul, atunci Bob ar trebui să eșantioneze propriul bit aleatoriu și să folosească acel bit ca rezultat.”
Ei arată cum protocolul rezultat are părtinire de 1/4 și, de asemenea, afirmă că 1/4 este cea mai bună părtinire de atac pentru acest protocol rezultat.
Deci, protocolul rezultat nu este naiv conform definiției noastre.
