部分盲簽名的不可偽造性證明（基於 schnorr 簽名）

我讀了一篇關於部分盲簽名的代表性論文。

Abe 和 Okamoto - “可證明安全的部分盲簽名”。

他們提出了一種基於 Schnorr 簽名的部分盲簽名方案。

但我無法理解引理 2 證明該方案是不可偽造的。

下圖是證明過程的一部分。（第 281 頁）

$ {M} $ 是由偽造者製造的機器 $ {U^*} $ , y 是公鑰 $ {y=g^x} $ , $ {F, H} $ 是隨機預言機，並且 $ {Info} $ 意思是消息。

為什麼 $ {M} $ 至少以機率輸出一個有效簽名 $ {1-e^{-1}} $ ? （高亮部分）

謝謝。

如果機率（通過隨機磁帶的隨機選擇 $ \rho $ 和隨機預言機 $ \mathcal{H} $ ) 成功的特定試驗至少是 $ \mu’ $ ，那麼機率 $ 1/\mu’ $ 獨立試驗* 最多不成功 $ (1-\mu’)^{1/\mu’} $ — 這個表達式收斂到 $ 1/e $ . 索賠如下。

*這裡，獨立性是指選擇 $ \rho $ 和 $ \mathcal{H} $ .

引用自：https://crypto.stackexchange.com/questions/44589