這是針對誠實驗證者的零知識協議嗎？

假設證明者知道零知識協議 $ x $ 這樣： $ g^x = h \pmod{p} $ .

• 證明者隨機選擇一個 $ t \in \mathbb{Z}^*_m $ 並發送 $ y = g^t \pmod{p} $
• 驗證者隨機發送 $ c \in \mathbb{Z}^*_m $ 並發送
• 證明者計算 $ s = t + c + x $ 並發送
• 驗證者接受當且僅當 $ g^s = yg^ch \pmod{p} $

這是給誠實的驗證者的嗎？

試圖：

真實的成績單是 $ (t, g^t \pmod{p}, c, t +c+x) $ ，但我找不到模擬成績單 $ (t, \cdot, c, \cdot) $ 與真實的分佈相同。你能給我一些提示嗎？

你能給我一些提示嗎？

這不是知識的證明，因為沒有知識的人 $ x $ 可以通過誠實的驗證者成功完成此協議。

提示：如果無知的證明者發送 $ y = h^{-1} $ ?

引用自：https://crypto.stackexchange.com/questions/87731