3 新型的零知识鉴别协议
在实际生活中，A要向B证明他知道某秘密的常用方法是把他知道的秘密告诉B，但这样一来B就知道了这个秘密。如何在不告诉B这个秘密的情况下使B相信A知道这个秘密，就是零知识证明要解决的问题。有了零知识证明，A就可以不公布秘密，却能使任何人相信他知道这个秘密。零知识证明可以使研究人员向世人证明他知道一个特殊定理的证明方法但又不泄漏证明，这种方法在商业上也有许多用途。零知识证明的研究受到各国研究人员的重视，在国际上一直很活跃，基本的零知识证明算法基于同构图和汉密尔顿回路"[4]。
所谓的零知识鉴别协议是指一个证明者P是一个具有无限计算能力的图灵机，向一个仅具有多项式计算能力的图灵机(验证者)V证明他宣称的一个结论是正确的，在此过程中，验证者V除了相信P的宣称以外，得不到其他额外的信息，允许P，V违背协议[5]。
严格地讲，假设P，V是两个概率图灵机，P有无限的计算能力，V的计算能力是多项式的，若一个证明协议满足以下3点，就称此协议为一个零知识证明协议[6]：
完备性 如果P的声称是真的，则V以绝对优势的概率接受P的结论；
有效性 如果P的声称是假的，则V以绝对优势的概率拒绝P的结论；
零知识性 无论V采取任何手段，当P的声称是真的，并且不违背协议时，V除了接受P的结论以外，得不到其他额外的信息。
这一概念产生之后，关于他的理论和实际应用方面的研究立刻全面展开。零知识证明系统已逐渐形成一个体系，他象单向函数、单向陷门函数以及伪随机数发生器一样，成为构造安全密码系统的基本方法之一。零知识交互式证明系统在身份验证、数字签名和抗选择密文攻击等方面获得了广泛的应用，使用零知识交互式证明的身份验证模式比使用RSA的执行速度要快得多[7]。
Feige-Fiat-Shamir算法是第一个基于零知识证明的算法，他出现于上个世纪80年代。2000年，Nyang和Song提出了一个应用于智能卡的基于零知识证明和身份认证协议，从此关于零知识证明的应用研究广泛展开。
目前有一种有效的零知识鉴别协议可应用于RFID系统，该协议是以离散对数为基础的，离散对数是现代密码学常用的重要的单向函数，其特点之一是只需较小的通信量和计算量。
假设P是一个素数，Zp是整数环模p，定义Kp是p-1最大的除数，他的素因子至少为v=[log2p]。
我们将考虑语言集L，他的元素是串a=(I；β，p)，而β是串Znp=Zp／{O}，βkp 1(mod p),I∈Znp是I·βs 1(mod p)，对于所有的s∈Zp-1，有L={(I；β，p)│p是一个素数，β，I∈Z*p；βkp 1(mod p)；I·βs 1(mod p)}。
我们称I为公开数，s为秘密数。假设H为Z*p(·)的子集，有kp，那么公开数是H的元素，注意到任何β∈H，β≠1，有至少为v=[10g2p]的阶。
我们约定│p│表示p的二进制长度，a∈RA表示元素a是用一致性分配从集合A中随机选取的。
协议(P，V)：输入x=(I；β，p)，V校验p是一个素数，然后计算kp，校验I∈H，βkp 1(mod p)。如果任何一个条件失败了，那么V停止和退出。
步骤一 P发送给V：z=βr(mod p)，而r∈RZp-1；
步骤二 V发送给P：q，而q∈RZ│p│；
步骤三 P认证q∈Z│p│；如果校验成功，发送给V：y (r+qs)(mod(p一1))，而s是βs·I (mod p)；
步骤四 V认证y∈Zp-1，Z βy·Iq(mod p)。如果这一校验失败，那么协议停止。
步骤五 上面的步骤独立的重复t次，V接受，其中t=t(│p│)几乎恒定。
该协议是语言集L中的成员证明。当x∈L时，那么认证方将(几乎)总是接受，而当x不是L的成员时，那么认证方将(几乎)总是拒绝。
4算法的完备性、有效性和零知识性 完备性 当x∈L时，βr·Iq βr·βφ·Iq Z(βs，I)q Z·(Mod p)，对于步骤4中的校验，V总是接受；
有效性 当x L时，若I H或βk，≠1(mod p)，V总是拒绝；若I∈H，βkp 1(mod p)，甚至是功能无限强的，不诚实证明方都不能回答步骤3的几个序列q，所以当没有s使得βs 1(mod p)时，连续t次后，V接受的概率可以忽略不计。
零知识性 从直观上讲，证明方不向认证方显示任何新知识，因为认证方可以自己模拟协议通信。认证方可以猜测他自己的问题q，自己得到证明方将发给他的Z和y。就是说，他可以用实际协议中同样的分配，产生满足步骤4中条件的串(Z，q，y)。这一模拟的关键是，给定的q和y，都容易获得适当的Z。当然，模拟的证明将不向认证方保证x∈L。
因此，该协议符合零知识鉴别的条件。
5性能分析
V是限于│n│的多项式，因此│v│=O(log│n│)。对于通信和计算复杂度，我们只考虑群元素G，H为模数，群操作可以按模操作的方式表达的情况。我们假设H=*m，输入的长度是θ(│m│)，协议的性能将按│m│的方式测量。在协议的每一循环中，步骤1和步骤3通信│m│比特，步骤2通信│v│比特。对于t的重复，我们有t(2│m│+│v│)比特。由于当t△logs│m│时，│v│=O(log │m│)，通信的比特数是│m│logε│m│。
6 结语
RFID技术中应用身份鉴别机制是一种必然趋势，本文提出将基于零知识证明的鉴别协议应用在RFID技术上，此协议具有较低的运算复杂度、较小的通信量和较高的安全性，并且密钥不易被窃听，随着研究的不断深入和人们对于信息安全和个人隐私的重视，一定会有广阔的应用前景。
3 新型的零知识鉴别协议
在实际生活中，A要向B证明他知道某秘密的常用方法是把他知道的秘密告诉B，但这样一来B就知道了这个秘密。如何在不告诉B这个秘密的情况下使B相信A知道这个秘密，就是零知识证明要解决的问题。有了零知识证明，A就可以不公布秘密，却能使任何人相信他知道这个秘密。零知识证明可以使研究人员向世人证明他知道一个特殊定理的证明方法但又不泄漏证明，这种方法在商业上也有许多用途。零知识证明的研究受到各国研究人员的重视，在国际上一直很活跃，基本的零知识证明算法基于同构图和汉密尔顿回路"[4]。
所谓的零知识鉴别协议是指一个证明者P是一个具有无限计算能力的图灵机，向一个仅具有多项式计算能力的图灵机(验证者)V证明他宣称的一个结论是正确的，在此过程中，验证者V除了相信P的宣称以外，得不到其他额外的信息，允许P，V违背协议[5]。
严格地讲，假设P，V是两个概率图灵机，P有无限的计算能力，V的计算能力是多项式的，若一个证明协议满足以下3点，就称此协议为一个零知识证明协议[6]：
完备性 如果P的声称是真的，则V以绝对优势的概率接受P的结论；
有效性 如果P的声称是假的，则V以绝对优势的概率拒绝P的结论；
零知识性 无论V采取任何手段，当P的声称是真的，并且不违背协议时，V除了接受P的结论以外，得不到其他额外的信息。
这一概念产生之后，关于他的理论和实际应用方面的研究立刻全面展开。零知识证明系统已逐渐形成一个体系，他象单向函数、单向陷门函数以及伪随机数发生器一样，成为构造安全密码系统的基本方法之一。零知识交互式证明系统在身份验证、数字签名和抗选择密文攻击等方面获得了广泛的应用，使用零知识交互式证明的身份验证模式比使用RSA的执行速度要快得多[7]。
Feige-Fiat-Shamir算法是第一个基于零知识证明的算法，他出现于上个世纪80年代。2000年，Nyang和Song提出了一个应用于智能卡的基于零知识证明和身份认证协议，从此关于零知识证明的应用研究广泛展开。
目前有一种有效的零知识鉴别协议可应用于RFID系统，该协议是以离散对数为基础的，离散对数是现代密码学常用的重要的单向函数，其特点之一是只需较小的通信量和计算量。
假设P是一个素数，Zp是整数环模p，定义Kp是p-1最大的除数，他的素因子至少为v=[log2p]。
我们将考虑语言集L，他的元素是串a=(I；β，p)，而β是串Znp=Zp／{O}，βkp 1(mod p),I∈Znp是I·βs 1(mod p)，对于所有的s∈Zp-1，有L={(I；β，p)│p是一个素数，β，I∈Z*p；βkp 1(mod p)；I·βs 1(mod p)}。
我们称I为公开数，s为秘密数。假设H为Z*p(·)的子集，有kp，那么公开数是H的元素，注意到任何β∈H，β≠1，有至少为v=[10g2p]的阶。
我们约定│p│表示p的二进制长度，a∈RA表示元素a是用一致性分配从集合A中随机选取的。
协议(P，V)：输入x=(I；β，p)，V校验p是一个素数，然后计算kp，校验I∈H，βkp 1(mod p)。如果任何一个条件失败了，那么V停止和退出。
步骤一 P发送给V：z=βr(mod p)，而r∈RZp-1；
步骤二 V发送给P：q，而q∈RZ│p│；
步骤三 P认证q∈Z│p│；如果校验成功，发送给V：y (r+qs)(mod(p一1))，而s是βs·I (mod p)；
步骤四 V认证y∈Zp-1，Z βy·Iq(mod p)。如果这一校验失败，那么协议停止。
步骤五 上面的步骤独立的重复t次，V接受，其中t=t(│p│)几乎恒定。
该协议是语言集L中的成员证明。当x∈L时，那么认证方将(几乎)总是接受，而当x不是L的成员时，那么认证方将(几乎)总是拒绝。
4算法的完备性、有效性和零知识性 完备性 当x∈L时，βr·Iq βr·βφ·Iq Z(βs，I)q Z·(Mod p)，对于步骤4中的校验，V总是接受；
有效性 当x L时，若I H或βk，≠1(mod p)，V总是拒绝；若I∈H，βkp 1(mod p)，甚至是功能无限强的，不诚实证明方都不能回答步骤3的几个序列q，所以当没有s使得βs 1(mod p)时，连续t次后，V接受的概率可以忽略不计。
零知识性 从直观上讲，证明方不向认证方显示任何新知识，因为认证方可以自己模拟协议通信。认证方可以猜测他自己的问题q，自己得到证明方将发给他的Z和y。就是说，他可以用实际协议中同样的分配，产生满足步骤4中条件的串(Z，q，y)。这一模拟的关键是，给定的q和y，都容易获得适当的Z。当然，模拟的证明将不向认证方保证x∈L。
因此，该协议符合零知识鉴别的条件。
5性能分析
V是限于│n│的多项式，因此│v│=O(log│n│)。对于通信和计算复杂度，我们只考虑群元素G，H为模数，群操作可以按模操作的方式表达的情况。我们假设H=*m，输入的长度是θ(│m│)，协议的性能将按│m│的方式测量。在协议的每一循环中，步骤1和步骤3通信│m│比特，步骤2通信│v│比特。对于t的重复，我们有t(2│m│+│v│)比特。由于当t△logs│m│时，│v│=O(log │m│)，通信的比特数是│m│logε│m│。
6 结语
RFID技术中应用身份鉴别机制是一种必然趋势，本文提出将基于零知识证明的鉴别协议应用在RFID技术上，此协议具有较低的运算复杂度、较小的通信量和较高的安全性，并且密钥不易被窃听，随着研究的不断深入和人们对于信息安全和个人隐私的重视，一定会有广阔的应用前景。
举报
