Chi phí truyền thông tối thiểu cho bằng chứng kiến ​​thức bằng không về ba màu

Bằng chứng của Goldreich và cộng sự rằng ba khả năng tạo màu không có bằng chứng kiến ​​thức sử dụng cam kết bit cho toàn bộ màu của đồ thị trong mỗi vòng [1]. Nếu một đồ thị có đỉnh và cạnh , hàm băm an toàn có bit và chúng tôi tìm kiếm xác suất lỗi , tổng chi phí truyền thông làe b $n$$e$$b$$p$

qua vòng. Sử dụng cây Merkle được tiết lộ dần, tổng số giao tiếp có thể được giảm xuống với chi phí tăng số vòng thành .O ( b e log n log ( 1 / p ) ) O ( log n $O(1)$$O(be \log n \log (1/p))$$O(\log n)$

Có thể làm tốt hơn thế này, về tổng số giao tiếp hoặc số vòng?

1. http://www.wisdom.weizmann.ac.il/~oding/X/gmw1j.pdf

Chỉnh sửa : Cảm ơn Ricky Demer đã chỉ ra yếu tố còn thiếu của .$e$

Vì vậy, đây là giấy phù hợp cho mục đích của tôi:

Joe Kilian, "Một lưu ý về bằng chứng và lập luận không kiến ​​thức hiệu quả." http://people.csail.mit.edu/vinodv/6892-Fall2013/fficargs.pdf

Để có được kết quả mạnh nhất, chúng ta cần chấp nhận các đối số kiến thức bằng không hơn là bằng chứng (prover ràng buộc tính toán); đây là những gì tôi quan tâm nhưng không biết thuật ngữ này.

Giả sử đủ các giả định về mật mã, bài báo đưa ra các đối số kiến ​​thức bằng không với tổng giao tiếp cho .c = O ( 1 $O(b \log^c n \log (1/p))$$c = O(1)$

Kết quả này được Ishai và cộng sự siết chặt với các vòng , "Về các PCP không có kiến ​​thức hiệu quả", http://www.cs.virginia.edu/~mohammad/files/ con / 13% 20ZKPCPs.pdf .$O(1)$

Cập nhật : Câu trả lời này đã bị lỗi thời bởi câu trả lời khác của tôi, với giới hạn đa giác hoàn toàn từ các tham chiếu thích hợp.

Theo suy nghĩ thứ hai, không cần phải tiết lộ cây Merkle dần, vì vậy phiên bản giao tiếp thấp hơn không cần thêm vòng. Các bước giao tiếp là

1. Người tục ngữ P chọn ngẫu nhiên màu của nó, biến nó thành cây Merkle (đã được muối) và gửi gốc đến trình xác minh V.
2. V chọn một cạnh ngẫu nhiên và gửi nó cho P.$e$
3. P gửi các đường dẫn cây Merkle từ gốc đến từng điểm cuối của đến V.$e$

Điều này mang lại cho giao tiếp qua các vòng .O ( 1 $O(be \log n \log (1/p))$$O(1)$

Cập nhật: Dưới đây là chi tiết về việc xây dựng cây Merkle. Để đơn giản, hãy mở rộng biểu đồ để có chính xác đỉnh bằng cách thêm một vài nút bị ngắt kết nối (những nút này không ảnh hưởng đến ba màu sắc hoặc kiến ​​thức bằng không). Giả sử hàm băm an toàn lấy bất kỳ kích thước đầu vào và tạo đầu ra -bit. Đối với mỗi cây Merkle, prover chọn nonces -bit ngẫu nhiên , một cho mỗi lá và không lá của cây nhị phân. Tại các lá, chúng ta băm màu kết hợp với nonce để tạo ra giá trị của lá. Ở mỗi nonleaf, chúng tôi băm hai giá trị con với nonce của nonleaf để tạo ra giá trị của nonleaf. b 2 a + 1 - 1 $2^a$$b$$2^{a+1}-1$$b$

Trong vòng đầu tiên, người hoạt động chỉ gửi giá trị gốc, không cung cấp thông tin nào vì nó được băm bằng lệnh nonce của root. Trong vòng thứ ba, không có thông tin nào được chuyển tải về bất kỳ nút chưa được mở rộng nào trong cây nhị phân, vì một nút như vậy đã được băm với một nonce tại nút đó. Ở đây tôi giả sử người cung cấp và người xác minh đều bị ràng buộc tính toán và không thể phá vỡ hàm băm.

Chỉnh sửa : Cảm ơn Ricky Demer đã chỉ ra yếu tố còn thiếu của .$e$

Có một sự đột biến gần đây trong hoạt động trong các đối số kiến ​​thức không tương tác ngắn gọn. Ví dụ, người ta biết cách xây dựng một đối số NIZK cho Circuit-SAT trong đó độ dài đối số là một số lượng rất nhỏ các phần tử nhóm (xem Groth 2010, Lipmaa 2012, Gennaro, Gentry, v.v., Eurocrypt 2013, v.v.). Dựa trên mức giảm NP, sau đó bạn có thể xây dựng một đối số rõ ràng cho khả năng 3 màu với cùng một giao tiếp.

Tất nhiên đây là một mô hình khác so với câu hỏi ban đầu của bạn - ví dụ, trong các đối số đó, độ dài CRS là tuyến tính theo kích thước mạch và trong một số trường hợp, có thể được coi là một phần của giao tiếp (mặc dù nó có thể được sử dụng lại trong nhiều lập luận khác nhau).

(Điều này không phù hợp trong một nhận xét.)

Tôi nghĩ bây giờ tôi thấy làm thế nào để chứng minh rằng việc muối của bạn không nhất thiết phải cung cấp
kiến thức không xác minh trung thực.$\:$$H_0$$\:$
$H_0$$H_1$$H_0$
$H_1$$H_0$
$||$$\:$$H_2$


$x$$z$$\; ((3\hspace{-0.05 in}\cdot \hspace{-0.05 in}b)\hspace{-0.03 in}+\hspace{-0.02 in}6)$$\;$$y$
$m$$\;\;\;\;\; m \:\: = \:\: x\:||\:111...[b\text{ of them}].\hspace{-0.04 in}.\hspace{-0.04 in}.111\:||\:y\:||\:z \;\;\;\;\;$,
người ta có$\;\;\;\;\; H_2(m) \;\; = \;\; x\:||\:\:111...[b\text{ of them}].\hspace{-0.04 in}.\hspace{-0.04 in}.111\:||\:H_{\hspace{-0.02 in}1}(m)\:||\:z \;\;\;\;\;$



$x$$r\hspace{-0.02 in}$$m$$x$$r\hspace{-0.02 in}$$m$
$\;\;\;\;\; H_2(m) \:\: = \:\: x\:||\:\:111...[b\text{ of them}].\hspace{-0.04 in}.\hspace{-0.04 in}.111\:||\:H_{\hspace{-0.02 in}1}(m)\:||\:x \;\;\;\;\;$



$m$
$H_2(m) \:\: =$
$[b\hspace{-0.04 in}+\hspace{-0.05 in}3 \text{ bits whose values don't matter}]\:||\:H_{\hspace{-0.02 in}1}(m)\:||\:[3 \text{ bits whose values don't matter}]\;\;\;\;\;$.


.

$H_1$$H_2$$H_1$$\:$$H_1$
$H_0$$\:$$H_0$$H_2$


$1/(2^{(b-1)})$