Algoritmo de identificación de Schnorr

El Algoritmo de identificación de Schnorr es un esquema de identificación que se puede usar como prueba de conocimiento cero del conocimiento de la clave secreta del algoritmo de cifrado de ElGamal sin revelarla.^[1]​

Descripción

El esquema requiere que una autoridad confiable, vamos a llamar TA, defina una serie de parámetros públicos para el esquema que cumplan una serie de propiedades:^[2]​

• p es un primo grande (${\displaystyle p\approx 2^{1024}}$ )
• q es un primo grande divisor de p-1 (${\displaystyle p\approx 2^{160}}$ )
• ${\displaystyle g\in Z_{p}^{*}}$  tiene orden q por lo que es generador de un grupo ${\displaystyle G_{q}}$  el cual es un subrupo de ${\displaystyle Z_{p}^{*}}$ 
• t es un parámetro de seguridad tal que ${\displaystyle q>2^{t}}$  (La probabilidad del adversario de engañar a Alice o Bob será ${\displaystyle 2^{-t}}$ , así que t=40 dará una seguridad adecuada para la mayor parte de las aplicaciones)

Los parámetros p,q,g y t son públicos y serán usados por todas las parte en la red

Cada usuario de la red escoge su ${\displaystyle x\in Z_{q}=0\leq a\leq q-1}$  que se va a llamar clave secreta. A partir de ella construye ${\displaystyle y=g^{-x}(\mod p)}$  que será la correspondiente clave pública. Para calcularla podemos aprovechar que g tiene orden q en ${\displaystyle Z_{p}^{*}}$  y por tanto ${\displaystyle y=g^{-x}(\mod p)=g^{q-x}(\mod p)}$ . Para cada usuario de la red (información de identificación) la TA certificará (creando un certificado con firma digital) su clave pública. El certificado también puede contener los parámetros p,q,g y t públicos.^[2]​

Con el siguiente algoritmo el probador P puede probar que conoce x sin revelarlo al verificador V:^[2]​^[1]​

1. P escoge de forma aleatoria un valor ${\displaystyle c\in Z_{q}=0\leq a\leq q-1}$ , y envía a V su certificado y ${\displaystyle w=g^{c}(\mod p)}$ 
2. V verifica, a partir del certificado, que la clave pública de P es y. A continuación envía a P un desafío aleatorio ${\displaystyle e\in Z_{q}}$  y ${\displaystyle 1\leq r\leq 2^{t}}$ 
3. P calcula ${\displaystyle s=c+xe\ (mod\ q)}$  y envía ${\displaystyle s}$  a V
4. V verifica la identidad de P si y solo si se cumple ${\displaystyle w=g^{s}y^{e}(\mod p)}$  ya que

${\displaystyle g^{s}y^{e}(\mod p)=g^{c+xe}y^{e}(\mod p)=g^{c+xe}g^{-xe}(\mod p)=g^{c}(\mod p)=w}$ 

Ejemplo

Veamos un ejemplo de aplicación de algoritmo omitiendo la parte del certificado emitido por la TA^[2]​

• Supongamos p=88667, q=1031, t=10 y g=70322.
• Supongamos que Alicia escoge como clave privada x=755.
• Por tanto la clave pública es ${\displaystyle y=g^{-x}(\mod p)=g^{q-x}(\mod p)=70322^{1031-755}\mod 88667=13136}$ 
• Supongamos que Alicia escoge c=543. Por tanto ${\displaystyle w=70322^{543}\mod 88667=84109}$ 
• Supongamos que Bob escoge el desafío e=1000. Entonces Alicia computa ${\displaystyle s=c+xe\ (mod\ q)=543+755*1000\mod 1031=851}$ 
• Bob verifica que ${\displaystyle 84109=70322^{851}13136^{1000}\mod 88667}$ 

Propiedades

Se puede demostrar que el algoritmo de identificación de Schnorr es muy rápido y eficiente, tanto desde un punto de vista computacional como de la cantidad de información que necesita ser intercambiada entre las partes.^[2]​

Se puede demostrar que un parámetro de seguridad t suficientemente grande evita que un impostor pueda suplantar la identidad de un usuario legítimo. La probabilidad de que un impostor pueda suplantar es ${\displaystyle 2^{-t}}$  siempre que e sea elegida de forma aleatoria.^[2]​

Se puede demostrar que el sistema propuesto verifica los requisitos de una prueba de conocimiento cero: Totalidad, solvencia y conocimiento cero. Esto implica que el sistema es seguro bajo la suposición de la clave privada es imposible de calcular (logaritmo discreto).^[2]​

Prueba de conocimiento cero de clave de cifrado de ElGamal

Además, para un texto cifrado de ElGamal ${\displaystyle (G,M)=(my^{r},g^{r})}$ , el algoritmo de identificación de Schnorr puede ser usado para probar el conocimiento de el texto plano m sin revelarlo. El protocolo primero prueba que P conoce el factor de cegado r en ${\displaystyle g^{r}}$ . Como ${\displaystyle y}$  es un parámetro público, si P conoce r, puede recuperar m calculando ${\displaystyle m=G/y^{r}}$ . Por tanto el protocolo también prueba que P conoce el texto plano m.^[1]​

Referencias

1. Verifiable Voting Systems el 15 de octubre de 2013 en Wayback Machine.. Thea Peacock, Peter Y. A. Ryan, Steve Schneider y Zhe Xia. University of Luxembourgy University of Surrey
2. Cryptography. Theory and practice. Third Edition. Douglas R. Stinson. University of Waterloo. Chapman & Hall/CRC. 2006

•   Datos: Q30899618