Remark 2.5 (Oracle output length) T

Remark 2.5 (Oracle output length) The above definition does not specify the output length
of the oracle (i.e., the length of the answers to the oracle queries). In some cases it is convenient
to identify this output length with the security parameter, but in many case we do not follow this
convention (e.g., in Proposition 2.8 below). In any case, it is trivial to implement an oracle with
one output length given an oracle with different output length, so we allow ourselves to ignore this
issue.
Remark 2.6 (Deterministic verifier) Recall that Definition 2.4 mandates that both the prover
and verifier are deterministic. Indeed this deviates from the tradition (in this area) of allowing
the verifier to be probabilistic; but Micali’s construction (in the Random Oracle Model) happens
to employ a deterministic verifier (cf. [27]). This issue is not essential to our main results, but
plays an important role in the proof of Proposition 5.8 (due to K. Nissim). We note that when
working in the Random Oracle Model (and only caring about completeness and soundness), one may
assume without loss of generality that the prover is deterministic (because it can obtain adequate
randomness by querying the oracle). This does not hold with respect to the verifier, since its coin
tosses may need to be unknown to the prover.
Theorem 2.7 (Micali [27]) There exists a non-interactive CS proof system in the Random Oracle
Model.
For the proof of our construction (Theorem 4.4), we need a different soundness condition than
the one from above. Specifically, we need to make sure that given the machine M (and the
8
By the above, the running time of Prv on input (1k,hMi, x, 1t) is at most poly(k,|hMi|,|x|, t), whereas the
running time of Ver on input (1k,hMi, x, t, π) is at most poly(k,|hMi|,|x|,|π|, log t). The additional efficiency
condition provides even lower running time bound for the prover. Note that if M runs for much less time than t, the
prover may not even have enough time to read its entire input.
11
complexity bound t), it is hard to find any pair (x,π) such that M does not accept x within t
steps and yet Ver will accept π as a valid CS-proof to the contrary. One way to obtain this
soundness property from the original one, is by postulating that when the verifier is given a proof
for an assertion w = (hMi,x,t), it uses security parameter k + |w| (rather than just k). Using a
straightforward counting argument we get:

Kết quả (Việt) 1:

Nhận xét 2.5 (Oracle đầu ra chiều dài) định nghĩa trên không xác định chiều dài của đầu racủa oracle (tức là, độ dài của câu trả lời cho truy vấn oracle). Trong một số trường hợp nó là thuận tiệnđể xác định điều này đầu ra chiều dài với các thông số bảo mật, nhưng trong nhiều trường hợp chúng tôi không làm theo điều nàyHội nghị (ví dụ: trong Döï Luaät 2,8 dưới đây). Trong bất kỳ trường hợp nào, nó là tầm thường để thực hiện một lời sấm vớimột trong những đầu ra chiều dài đưa ra một lời sấm với chiều dài đầu ra khác nhau, vì vậy chúng tôi cho phép bản thân để bỏ quavấn đề.Nhận xét 2.6 (xác định verifier) nhớ lại rằng định nghĩa 2.4 nhiệm vụ mà cả provervà verifier được xác định. Thực sự đây deviates từ các truyền thống (trong lĩnh vực này) cho phépverifier được xác suất; nhưng sẽ xảy ra của Micali xây dựng (trong mô hình Oracle ngẫu nhiên)để sử dụng một xác định verifier (x. [27]). Vấn đề này không phải là điều cần thiết để kết quả chính của chúng tôi, nhưngđóng vai trò quan trọng trong các bằng chứng của Döï Luaät 5.8 (do K. Nissim). Chúng tôi lưu ý rằng khilàm việc trong Oracle mẫu ngẫu nhiên (và chỉ quan tâm về đầy đủ và soundness), một trong những tháng nămgiả sử mà không làm mất quát là prover là xác định (vì nó có thể có được đầy đủngẫu nhiên bởi truy vấn nhà tiên tri). Điều này không giữ đối với verifier, kể từ khi đồng tiền của mìnhtung có thể cần phải được biết đến prover.Chứng minh định lý 2.7 (Micali [27]) có tồn tại một CS không tương tác các hệ thống trong Oracle ngẫu nhiênMô hình.Để chứng minh chúng tôi xây dựng (định lý 4,4), chúng ta cần một điều kiện khác nhau soundness hơnmột trong những từ ở trên. Cụ thể, chúng ta cần phải chắc chắn rằng cho máy M (và các8Bởi các bên trên, thời gian chạy của Prv trên đầu vào (1 k, hMi, x, 1t) tối đa là poly (k, |hMi|, |x|, t), trong khi cácChạy thời gian Ver trên đầu vào (1 k, hMi, x, t, π) là poly (k, |hMi|, |x|, |π|, đăng nhập t). Bổ sung hiệu quảđiều kiện cung cấp thậm chí thấp hơn thời gian chạy hướng về prover. Lưu ý rằng nếu M chạy cho nhiều ít thời gian hơn so với t, cácprover có thể thậm chí không có đủ thời gian để đọc đầu vào toàn bộ.11phức tạp ràng buộc t), rất khó để tìm bất kỳ cặp (x, π) như vậy M không chấp nhận x trong tbước và chưa Ver sẽ chấp nhận π như giá trị CS, bằng chứng ngược lại. Một trong những cách để có được điều nàysoundness bất động sản từ một bản gốc, là bởi postulating mà khi verifier đưa ra một chứng minhĐối với một khẳng định w = (hMi, x, t), nó sử dụng tham số an ninh k + |w| (chứ không phải chỉ k). Bằng cách sử dụng mộtđơn giản kể đối số, chúng tôi nhận được:

Kết quả (Việt) 2:

Nhận xét ​​2,5 (chiều dài đầu ra Oracle) Định nghĩa trên không xác định độ dài đầu ra
của oracle (tức là, chiều dài của câu trả lời cho các truy vấn oracle). Trong một số trường hợp, nó là thuận tiện
để xác định chiều dài đầu ra này với tham số bảo mật, nhưng trong nhiều trường hợp chúng ta không làm theo điều này
ước (ví dụ, trong Dự 2.8 dưới đây). Trong mọi trường hợp, nó là tầm thường để thực hiện một oracle với
một chiều dài đầu ra cho một oracle với chiều dài đầu ra khác nhau, vì vậy chúng tôi cho phép mình bỏ qua điều này
vấn đề.
Ghi chú 2.6 (xác minh xác định) Nhớ lại rằng Definition 2.4 nhiệm vụ mà cả Prover
và xác minh được xác định. Thực tế này lệch khỏi truyền thống (trong lĩnh vực này) cho phép
người xác minh được tính xác suất; nhưng xây dựng Micali (trong các ngẫu nhiên Oracle Model) xảy ra
để sử dụng một thẩm xác định (x [27]). Vấn đề này là không cần thiết cho kết quả chính của chúng tôi, nhưng
đóng một vai trò quan trọng trong chứng minh của mệnh đề 5.8 (do K. Nissim). Chúng tôi lưu ý rằng khi
làm việc trong các ngẫu nhiên Oracle Model (và chỉ chăm sóc về tính đầy đủ và lành mạnh), người ta có thể
giả định mà không mất tính tổng quát rằng Prover là xác định (vì nó có thể có được đầy đủ
ngẫu nhiên bằng cách truy vấn oracle). Điều này không nắm giữ đối với người xác minh với, vì đồng tiền của nó
tung có thể phải là không biết đến Prover.
Định lý 2.7 (Micali [27]) Có tồn tại một hệ thống chứng minh không tương tác CS trong Random Oracle
Model.
Đối với những bằng chứng về xây dựng của chúng tôi (Định lý 4.4), chúng ta cần một điều kiện lành mạnh khác với
một trong những từ trên. Cụ thể, chúng ta cần phải chắc chắn rằng cho máy M (và
8
By ở trên, thời gian chạy của PRV trên đầu vào (1k, HMI, x, 1t) là nhiều nhất poly (k, | HMI |, | x | , t), trong khi
thời gian chạy của Ver trên đầu vào (1k, HMI, x, t, π) là nhiều nhất poly (k, | HMI |, | x |, | π |., đăng t) hiệu quả thêm
điều kiện cung cấp thời gian hoạt động còn thấp hơn bị ràng buộc cho Prover. Lưu ý rằng nếu M chạy cho ít thời gian hơn t, các
Prover có thể thậm chí không có đủ thời gian để đọc toàn bộ đầu vào của nó.
11
phức tạp ràng buộc t), rất khó để tìm thấy bất kỳ cặp ( x, π) sao cho M không chấp nhận x trong t
bước và chưa Ver sẽ chấp nhận π là một CS-bằng chứng hợp lệ ngược lại. Một cách để có được điều này
sở hữu tính đúng đắn từ một bản gốc, là bằng định đề rằng khi kiểm tra xác nhận được đưa ra một bằng chứng
cho một sự khẳng định w = (HMI, x, t), nó sử dụng thông số an ninh k + | w | (chứ không phải chỉ là k). Sử dụng một
tham số đếm đơn giản chúng ta có: