[{"meta":{"title":"Big Five? Zwei Giganten!","headline":null,"description":"Wie sollte ein Persönlichkeitstest gestaltet werden, der nur zwischen zwei Haupttypen unterscheidet? Die Graphentheorie ist dabei eine große Hilfe. Und nebenbei erhält man einen klaren Blick auf das Wesen von Konflikt und Kooperation.","dateCreated":"2024-04-20T00:00:00.000Z","datePublished":"2024-04-20T00:00:00.000Z","datesModified":null,"dateLastModified":"2024-04-23T00:00:00.000Z","image":"/logbuch/2024/04/20/zwei-giganten/Penrosedreieck.png","imageAlt":"Zwei Giganten – Penrosedreieck","tags":["Persönlichkeit","Mathematik","Graphentheorie"],"keywords":["Big Five"]},"path":"/logbuch/2024/04/20/zwei-giganten","postContent":{"html":"

Sind Sie offen für ein Gedankenexperiment? – Nehmen wir an, dass wir von einer großen Gruppe von Menschen sämtliche Persönlichkeitsmerkmale kennen und wir einen Maßstab haben, um die Ähnlichkeit von Persönlichkeiten anhand dieser Merkmale zu bestimmen. Nehmen wir weiter an, dass sich diese Persönlichkeitsmerkmale empirisch messen und der Ähnlichkeitsmaßstab wissenschaftlich festlegen lassen.

Teile und herrsche

Dann teilen wir diese Menschen so in zwei gleich große Untergruppen auf, dass sich die Persönlichkeiten zwischen beiden nach unserem Maßstab am wenigsten ähneln: Wir partitionieren die Menschen in zwei möglichst gegensätzliche Gruppen. Wir nennen diese Gruppen A und B.

Es ist eine Sache der Natur, dass sich Menschen in zwei solche Gruppen aufteilen lassen. Die Einteilung ist, gegeben die Persönlichkeitsmerkmale und ihr Abstandsmaß, ein mathematischer Automatismus.

Die Big Five gelten als wissenschaftlich belegtes Modell, das Persönlichkeiten nach fünf Dimensionen einordnet. Nimmt man unsere Einteilung nicht mit zwei (A und B), sondern in fünf möglichst verschiedene Gruppen (A, B, C, D, E) vor, so ist davon auszugehen, dass diese fünf Gruppen den Big Five (Offenheit, Gewissenhaftigkeit, Extraversion, Verträglichkeit, Neurotizismus) entsprechen werden.

Es drängt sich die Frage auf, wie unsere beiden Gruppen A und B bezeichnet werden sollten — extrovertiert/introvertiert, autoritär/freiheitlich, linke/rechte Gehirnhälfte, dominant/unterwürfig, rechts/links, egoistisch/altruistisch, …? Eine wissenschaftlich begründete Antwort zu geben ist nicht trivial, aber ist sicherlich von großem allgemeinem Interesse.

Die offenen Fragen enden damit nicht. Wie groß sind etwa die Persönlichkeitsunterschiede zwischen Mitgliedern von A und B im Vergleich zu den Unterschieden innerhalb — oder anders ausgedrückt: Wie stark ist die Kohärenz in und die Gegensätzlichkeit zwischen A und B tatsächlich ausgeprägt?

Vereine und werde geliebt

Es gibt für die Gesamtgruppe, also A und B zusammengenommen, eine übergeordnete Persönlichkeit M (für Mitte, Mehrheit oder Masse), die sich weder in der einen noch der anderen Gruppe verorten lässt, sondern dadurch charakterisiert ist, dass sie im Durchschnitt den meisten Menschen am nächsten steht. Wir führen unser Gedankenexperiment fort:

Im ersten Szenario werden persönliche Bindungen abhängig von der eigenen Persönlichkeit eingegangen. Die Zugehörigkeit zu A oder B ist in diesem Szenario reine Abstraktion.
Im zweiten Szenario herrscht ein Bewusstsein über die Zugehörigkeit zu A oder B. Wir gehen davon aus, dass sich dies auf den Aufbau von Bindungen auswirkt.

Sowohl A als auch B besitzen ihrerseits eine allgemeine Persönlichkeit M-A und M-B. Was geschieht in diesen beiden Szenarien mit denen, die der allgemeinen Persönlichkeit M näher stehen als M-A oder M-B — wie geht es der Mitte, der Mehrheit, der Masse der Menschen?\nWelche Rolle spielen die Durchschnittspersönlichkeiten M-A und M-B für die Gruppenmitglieder von A und B; welches Verhältnis haben sie zum Übertypus M?

Graphentheorie, Krieg und Frieden

Dieses Gedankenexperiment war ein spontaner Einfall und ich habe ihn an zwei Abenden in insgesamt weniger als vier Stunden entworfen, auf seine Plausibilität geprüft, niedergeschrieben, nach kritischen Rückmeldungen verfeinert und schließlich veröffentlicht. Psychologie, Politik- und Sozialwissenschaften (bis auf die Referenz zu den Big Five) habe ich ignoriert und stattdessen mit mathematischen Kategorien gearbeitet.

Die Idee der Partitionierung von Gruppen anhand von verschiedenen Merkmalen habe ich aus der Graphentheorie übernommen. Sie ist ein Teilgebiet der Mathematik, das sich mit den Eigenschaften von Netzwerken (Graphen genannt), beschäftigt. Auf einer breiten Datengrundlage ließe sich dieses Modell wissenschaftlich auswerten, verifizieren bzw. falsifizieren und konkretisieren.

Unser duales Modell suggeriert Gegensätze und macht damit Konflikt und Kooperation, Krieg und Frieden zum Thema. Ob wir es wollen oder nicht, dies ist die Realität, mit der alle Menschengruppen konfrontiert werden. Wir können diese Realität nicht ignorieren, sondern müssen sie anerkennen und sollten sie zu einem besseren Verständnis sowohl von Uneinigkeit als auch zur Wiedererlangung von Einigkeit nutzen.

Ich bin überrascht, wie leicht sich ein sinnvolles Grundmodell über Konflikt und Kooperation für große Menschengruppen entwerfen und begründen lässt, wenn man die politik- und sozialwissenschaftlichen Theorien beiseite lässt und stattdessen den Scharnier zwischen Geistes- und Naturwissenschaft, die Mathematik (und ihre große Schwester, die Philosophie), bemüht.

Elektronische Medien

Es ist davon auszugehen, dass Plattformanbieter für soziale Netzwerke und Medien die Methode der Partitionierung in abgewandelter Form verwenden, um die Interaktionen auf ihren Plattformen anzuregen und den geführten Diskurs zu analysieren und zu steuern. All dies lässt uns im Alltag der elektronischen Medien mit vielen weiteren offenen Fragen zurück, die bei der Grundsatzfrage zur Rezeption der Realität durch Bild und Sprache nicht enden.

Und die Moral von der Geschicht’:
Teilst Du nur, dann herrschst Du nicht.

","css":{"code":"","map":null},"head":""}},{"meta":{"title":"Bulletproofs und anonyme Kommunikation","headline":null,"description":"Protokolle aus der Welt der Kryptowährungen lassen sich mit Anpassungen für anonymisierte Kommunikation verwenden.","dateCreated":"2024-04-19T00:00:00.000Z","datePublished":"2024-04-19T00:00:00.000Z","datesModified":null,"dateLastModified":"2024-04-20T00:00:00.000Z","image":"/logbuch/2024/04/19/bulletproofs-anonymous-communication/bp-shuffle.jpg","imageAlt":"Sichere Kommunikation","tags":["Kryptographie","Datenschutz","Informatik"],"keywords":["Bulletproof Shuffle","Multi-Key Verifiable Shuffle","Bulletproofs"]},"path":"/logbuch/2024/04/19/bulletproofs-anonymous-communication","postContent":{"html":"

Große Kryptowährungen und etablierte Banken haben Bulletproofs, ein Protokollschema für Beweise über homomorph verschlüsselte Daten, in ihr Zahlungssystem integriert.\nDie Entdecker des Schemas, Bünz et al., haben 2023 mit dem Entwurf einer Erweiterung, die sich für anonymisierte Kommunikation einsetzen lässt, nachgelegt.\nIn meiner Masterarbeit (Englisch) habe ich ihren Entwurf vervollständigt und die Korrektheit und Sicherheit meiner Hinzufügungen formell bewiesen. Alle Dateien, um die Implementierung selbst auszuprobieren befinden sich auf Github.

Dieser Logbucheintrag beleuchtet diese Arbeit aus meiner persönlichen Perspektive. Ich wage einen Blick über den Tellerrand der theoretischen Informatik hinaus und gehe auf meine Motivation und gewonnenen Erkenntnisse ein, die für andere von Nutzen sein können.

Inhalt:

Forschungsgebiet Kryptographie

Gegenstand der Kryptographie ist der Schutz von Daten vor Manipulation und unbefugtem Lesen.\nDafür ist nicht nur die Verschlüsselung, sondern auch die Signierung von Daten erforderlich.\nIn einigen Anwendungsfällen sollen außerdem zugehörige Metadaten wie beispielsweise die Identität von Absender und Empfänger, der Zeitpunkt der Übermittlung und die Datenmenge geheim gehalten werden.

Die Anwendungen von Kryptographie finden sich bereits in der alltäglichen Kommunikation per Text, Telefon und Video oder dem Speichern und Archivieren von Daten.\nUnverzichtbar ist Kryptographie im Bankenwesen und für verteilte Kassenbücher (Distributed Ledger).\nDiese wenigen Beispiele zeigen bereits, dass die Kryptographie ein weltumspannender und in sehr viele Lebens- und Geschäftsbereiche hineinragender Markt ist.\nEbenso verhält es sich mit dem eng verwandten Gegenspieler der Kryptographie, der Kryptoanalyse, die sich mit dem Knacken und der Manipulation von verschlüsselten Daten beschäftigt.

$\"Logbucheintrag$

(Symbolbild mit KI erstellt)

Recht und Relevanz

Haftungsausschluss: Dieser Abschnitt stellt keine Rechtsberatung dar.
Achtung: In vielen Jurisdiktionen wird die Verwendung von Kryptographie gesetzlich eingeschränkt.

In Deutschland sind das Brief-, Post-, und Fernmeldegeheimnis durch Verankerung im Grundgesetz verfassungsrechtlich garantiert.\nIn Anbetracht der technischen Entwicklung seit Inkrafttreten dieser Rechte werden sie mittlerweile auch als Telekommunikationsgeheimnis bezeichnet.\nZusätzlich bestehen völkerrechtliche Verträge, die den Schriftverkehr vor willkürlichen oder rechtswidrigen Eingriffen schützen.\nAus der Sicht des Staatsbürgers handelt es sich bei diesen Grundrechten nicht nur um Abwehrrechte gegen die Überwachung durch Einzelpersonen, Unternehmen und Institutionen, sondern auch gegen den Staat.\nZum Schutzbereich gehören nicht nur die Inhalte ausgetauschter Nachrichten, sondern ebenfalls die bereits erwähnten Metadaten.

Die Geschichte der Rechtsvorschriften zum Schutz der Korrespondenz reicht in Deutschland über 300 Jahre zurück.\nZu dieser Geschichte gehört, dass dieser Schutz bis heute durch Gesetze und Behörden eingeschränkt wird — je nach herrschendem Zeitgeist unterschiedlich stark.\nZuletzt wurde das Grundgesetz 1968 nach einer langen Debatte als Teil der Notstandsgesetze geändert.\nDie verantwortlichen Politiker standen damals unter einem hohen Rechtfertigungsdruck, nicht nur durch die dauernden Straßenaufstände in der Zeit der Anbahnung dieser Gesetze.\nDie vor knapp 60 Jahren hinzugefügten Teile in Artikel 10 des Grundgesetzes sind kursiv markiert:

(1)Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich.

(2)Beschränkungen dürfen nur auf Grund eines Gesetzes angeordnet werden. Dient die Beschränkung dem Schutze der freiheitlichen demokratischen Grundordnung oder des Bestandes oder der Sicherung des Bundes oder eines Landes, so kann das Gesetz bestimmen, daß sie dem Betroffenen nicht mitgeteilt wird und daß an die Stelle des Rechtsweges die Nachprüfung durch von der Volksvertretung bestellte Organe und Hilfsorgane tritt.

Steht eine Verletzung des Telekommunikationsgeheimnisses im Raum, muss dies vor Gericht nachgewiesen werden, um tatsächlich Recht zu bekommen. In der Praxis ist das häufig schwierig bis unmöglich. Deshalb ist es für den Einzelnen erstrebenswert, das Grundrecht auf private Korrespondenz durch technische Maßnahmen abzusichern.\nZwar ist das Angebot für verschlüsselte Kommunikation heutzutage sehr breit, aber die Metadaten werden meist wenig bis gar nicht geschützt.\nLetzteres ist nicht nur weit aufwändiger und weniger erforscht als die bloße Verschlüsselung des Inhaltes, sondern es war bis vor kurzer Zeit kein allgemeines Verfahren bekannt, das kryptographisch gegen Manipulationssicherheit geschützt ist und Anonymität garantieren kann.\nMit dem Multi-Key Verifiable Shuffle von Bünz (und meinen Ergänzungen) ist es mittlerweile möglich, Sender- und Empfängerdaten zu verschleiern und die kryptographische Sicherheit des Gesamtsystems unter wenigen Grundannahmen zu beweisen.

Nach Rechtsprechung des Bundesverfassungsgerichtes besteht zusätzlich zum Telekommunikationsgeheimnis ein Recht auf informationelle Selbstbestimmung, und zwar als ein Datenschutz-Grundrecht, welches nicht im Grundgesetz erwähnt wird.\nAuch dieses Grundrecht lässt sich unabhängig von den Gerichten mit Hilfe von Kryptographie realisieren.\nEin Beispiel dafür ist die Verschlüsselung von Datenträgern.\nDieses Recht spielt für die Anwendung von Multi-Key Shuffles für anonyme Kommunikation jedoch eine untergeordnete Rolle und wird in diesem Logbucheintrag deshalb nicht weiter analysiert.

Der Sicherheitsbegriff in der Kryptographie

Während eine erschöpfende Untersuchung der rechtlichen Rahmenbedingungen von Datensicherheit und Kryptographie sehr kompliziert ist und zusätzlich abhängig von der jeweiligen Jurisdiktion angestellt werden müsste, sind der Sicherheitsbegriff in der Kryptographie und die Kryptographie als Teilgebiet der Mathematik universell gültig und gründen sich auf eine kleine Zahl von Definitionen und Grundannahmen.\nDiese sind zwar sehr komplex, aber von ihrer Natur sind sie rein mathematisch.\nSie können deshalb dazu verwendet werden, die Sicherheit von Verschlüsselungsschemen, zu denen auch die Multi-Key Shuffles gehören, formell zu beweisen.

Um die Sicherheit eines real genutzten Kryptosystems zu untersuchen, ist es erforderlich, den Sicherheitsbegriff um informations- und ingenieurstechnische Kategorien zu erweitern.\nSo lässt sich bei Beachtung der eingesetzten Rechen- und Kommunikationsgeräte für jedes denkbare Angriffsszenario die Sicherheit strikt definieren, vorhersagen und garantieren.

Diese strengen Sicherheitsgarantien sind es, die die Kryptographie zu einem der mächtigsten Werkzeuge der Informatik machen.\nKryptographie ist zeitlos und hat bereits eine lange Geschichte hinter sich, die weit über das Computerzeitalter hinausgeht — sie ist fast so alt wie die Schrift selbst.\nIhr großes praktisches Potenzial hat sich zuletzt wieder bei der Distributed-Ledger-Technologie gezeigt.\nEs ist sehr wahrscheinlich, dass die Innovation dort nicht enden, sondern sich auf viele weitere Geschäfts- und Lebensbereiche ausweiten wird.

Der nächste Hype? Der Weg hin zu anonymen Nachrichtensystemen

Die Anforderungen an einen sicheren Nachrichten- und Zahlungsverkehr gleichen sich in vielen Punkten: Bei beiden soll der Inhalt ohne Veränderung durch Dritte, nur für Sender und Empfänger einsehbar und gegebenenfalls auch nicht nachverfolgbar (anonym) übermittelt werden.\nEs drängt sich der Gedanke auf, dass Konzepte von anonymen Kryptowährungen für anonymisierte Kommunikation angepasst werden könnten.

$\"Hype\"$

(Kryptojubel – Symbolbild mit KI erstellt)

Sowohl in der Forschung als auch in der Welt der Kryptowährungen haben Bünz et al. mit der Vorstellung von Bulletproofs gesorgt.\nBulletproofs wurden von vielen Kryptowährungen und Banken zügig in ihre Protokolle integriert.\nDas Bulletproof-Schema ermöglicht es mit hoher Effizienz beim Energie- und Speicherplatzverbrauch, Eigenschaften von verschlüsselten Daten zu beweisen, ohne diese verraten zu müssen (Nullwissen-/Zero-Knowledge-Beweis).\nZudem benötigen Bulletproofs keine vertrauenswürdige Initialisierung (trusted setup), wie sie für zk-SNARKs erforderlich sind.\nBeispielsweise kann ein Kontoinhaber mit einem Zero-Knowledge-Beweis zeigen, dass sein Kontostand für eine Zahlung ausreichend ist, ohne dem Zahlungsdienstleister bzw. Kryptowährungs-Knoten oder dem Empfänger seinen Kontostand offenlegen zu müssen.

Mit Bulletproofs lassen sich aber auch komplexere Bedingungen als ein ausreichender Kontostand beweisen.\nZum Beispiel ist es möglich zu zeigen, dass zwei Listen, die die gleichen Zahlen in unterschiedlicher Reihenfolge enthalten, aber unterschiedlich verschlüsselt sind, tatsächlich den gleichen Inhalt haben (Beweis einer Permutation).\nUnd an dieser Stelle wurden viele Kryptographen hellhörig: Könnte man diesen Permutationsbeweis dazu verwenden, eine Liste verschlüsselter Nachrichten zu mischen, während man gleichzeitig die Korrektheit des Mischvorganges, also die Manipulationssicherheit, beweisen kann, ohne die tatsächliche Mischreihenfolge offenzulegen? Würde man mehrere solche Mischer hintereinander schalten, ließe sich daraus ein Mischer-Netzwerk (mix-net) bauen, welches alle Sicherheitseigenschaften, die in Fachkreisen für einen anonymisierten Nachrichtenverkehr verlangt werden, einschließlich der Manipulationssicherheit, erfüllt.

Die Schwierigkeit bei der Umsetzung dieser Idee besteht darin, dass die verschlüsselten Nachrichten beim Mischen neu verschlüsselt werden müssen, damit die Ein- und Ausgaben eines Mischers nicht einander zugeordnet werden können.\nAndernfalls ginge die Anonymität verloren.\nDamit der Empfänger die für ihn bestimmte Nachricht dennoch lesen kann, müssten Informationen über die Neuverschlüsselung dem Empfänger jedoch sicher und anonym zugestellt werden — ein Zirkelschluss, der mit dem Bulletproofs-Schema von 2017 bisher von niemandem, der mir bekannt wäre, aufgelöst wurde.\nMit einer Modifikation der Bulletproofs, die das Nachrichtensystem und die zugehörige Neuverschlüsselung von Grund auf integriert, lässt sich dies realisieren, wie Bünz et al. in ihrem Paper-Draft von 2023 „Efficient Multi-Key Verifiable Shuffles from Short Arguments for Randomized Algorithms“ gezeigt haben. Es ist sogar möglich, dass die Empfänger anonym auf die erhaltenen Nachrichten antworten.

Irrelevant für den Hype: Funktionsweise

Dieser Abschnitt gibt einen groben Überblick über die Funktionsweise des Multi-Key Shuffle. Für detaillierte Erklärungen verweise ich auf meine Masterarbeit und die Transkripte im Abschnitt Implementierung.

Der Multi-Key Verifiable Shuffle mischt ElGamal-Chiffren mit Nachricht im Exponenten zusammen mit den öffentlichen Schlüsseln des Absenders und des vorgesehenen Empfängers, wobei zusätzlich eine Neuverschlüsselung all dieser Teile der Gesamtnachricht mit dem nur dem Mischer bekannten Faktor s vorgenommen wird.\nDer Mischer verkündet den zu s passenden öffentlichen Schlüssel g^s, den die Empfänger unter Zuhilfenahme ihres privaten Schlüssels verwenden, um die an sie gerichtete Nachricht in der Ausgabe des Mischers zu identifizieren und zu entschlüsseln.\nDer mitgesendete öffentliche Schlüssel des Senders erlaubt es dem Empfänger außerdem, eine Antwortnachricht zu verfassen, die durch den Mischer zurückgeleitet und mit dem umgekehrten Faktor 1/s (öffentlicher Schlüssel g^(1/s)) neuverschlüsselt wird.\nDer Empfänger kann die Nachricht des Senders dann entschlüsseln — und das Spiel beginnt von vorne.\nÜblicherweise werden zur Verbesserung der Anonymität mehrere Mischer mit nicht konvergenten Interessen hintereinander geschaltet, sodass bereits ein einziger ehrlich agierender Mischer (das heißt er generiert tatsächlich eine zufällige Mischung und ein zufälliges s) genügt, damit die Anonymität der Nachrichten gewährleistet ist.

Die Manipulationssicherheit der Nachrichten wird vom Mischer durch einen Zero-Knowledge-Beweis für die Korrektheit der Mischung (Permutation) und Neuverschlüsselung mit Hilfe eines Beschränkungssystems vom Rang 1 (rank 1 constraint system, R1CS) ähnlich wie bei Bulletproofs gewährleistet:

Der Mischer legt sich auf die Permutation fest, indem er sie mit kryptographischen Pseudo-Zufallszahlen zu Pedersen-Commitments kombiniert. Auf s legt er sich durch das einfach Commitment g^s fest.
Die durchgeführte Permutation und Neuverschlüsselung mit s der Nachrichten werden als Beschränkungen durch lineare Gleichungen ausgedrückt und zu einem Hadamard-Produkt umgewandelt.\nEin Hadamard-Produkt ist das zeilenweisen Produkt mehrerer Vektoren.\nMit einem Polynom-Test werden alle Beschränkungen, die für eine korrekte Permutation und Neuverschlüsselung mit s erfüllt sein müssen, zu einem inneren Produkt von der Größe der Permutation und weiteren (Pedersen-)Commitments zusammengeführt.
Dieses innere Produkt lässt sich in einen Zero-Knowledge-Beweis von logarithmischer Größe umwandeln.\nZusammen mit den zuvor erzeugten Commitments bildet dies den Zero-Knowledge-Beweis für die Korrektheit des Misch- und Neuverschlüsselungsvorganges.

Ein solcher Zero-Knowledge-Beweis wird vom Mischer bei jedem Mischvorgang neu erzeugt und veröffentlicht.\nDieser Beweis kann von jedem verifiziert werden, der überprüfen möchte, ob der Mischer korrekt gearbeitet hat.

Zukunftsaussichten

$\"Spy\"$

(Schlapphut - Symbolbild mit KI erstellt)

Für die Verschlüsselung von Nachrichteninhalten herrscht heute ein starkes Bewusstsein, während das Problem der Metadatenverschlüsselung unabhängig davon weiterbesteht.\nEin System, das Metadaten so sicher wie die kommunizierten Inhalte verschlüsselt, ermöglicht volle Datensouveränität, und verspricht deshalb ein hohes Nutzerpotenzial.\nSelbst wenn dieser große Markt von Regierungen für Bürger und Unternehmen eingeschränkt werden würde, wären Akteure, die solcher Regulation nicht unterliegen oder ihr entgehen können, mit Sicherheit an diesen Lösungen interessiert.

Multi-Key Shuffles nutzen den diskreten Logarithmus als kryptographische Falltür.\nDeshalb wären sie nicht sicher vor dem Angriff eines hinreichend starken Quantencomputers.\nEs wurde bis heute allerdings kein einziger Quantencomputer vorgestellt, der nur annähernd groß genug wäre, damit Shors Algorithmus für diskrete Logarithmen darauf hätte laufen können.\nEs ist davon auszugehen, dass Multi-Key Shuffles mindestens für die jüngere Zukunft vor Quantencomputern sicher sein werden.\nDer Multi-Key Shuffle stellt einen großen Fortschritt für anonymisierte Kommunikation dar und macht Hoffnung auf weitere Innovationen.

Mein Beitrag

Der Entwurf von Bünz et al. wurde bisher von den Autoren nicht in einer Endversion veröffentlicht.\nEr enthielt wenige kleine Ungenauigkeiten, die ich recht schnell beseitigen konnte, aber auch eine größere Auslassung: Es fehlte ein Zero-Knowledge-Hilfsprotokoll, mit dem bewiesen werden kann, dass eine geheime Zahl die n-te Potenz einer anderen geheimen Zahl ist (Potenz-Protokoll).\nDieses Protokoll konnte ich auf Grundlage des Bulletproofs Range Proof und des schon bestehenden Multi-Key Shuffle Protokolles entwickeln und integrieren.

Hindernisse und deren Überwindung

Am schwierigsten war es für mich, den Jargon für Korrektheits- und Sicherheitsbeweise in der Kryptographie zu erlernen.\nIch wollte nicht nur das Potenz-Protokoll entwickeln, sondern auch seine Sicherheitseigenschaften formell beweisen.\nFolgende Definitionen musste ich dafür anwenden und in Bezug auf das Potenz-Protokoll beweisen:

IND-CPA privacy (Vertraulichkeit)
Perfect Completeness (Jedes tatsächliche n-te-Potenz-Verhältnis zwischen zwei geheimen Zahlen lässt sich mit dem Protokoll beweisen)
SHVZK under Subversion of the CRS (Ein Potenz-Beweis kann effizient simuliert werden und ist äußerlich ununterscheidbar von einem tatsächlich geführten Potenz-Beweis. Durch einen Potenz-Beweis werden keine Informationen über die geheimen Zahlen offengelegt außer dem tatsächlichen Potenz-Verhältnis zwischen diesen Zahlen.)
Computational Witness-Extended Emulation (Es ist mit begrenztem Rechenaufwand nicht möglich, einen Beweis für zwei geheime Zahlen, die nicht in einem Potenz-Verhältnis stehen, zu erzeugen. Dies zu zeigen war recht aufwändig.)

Bevor ich diese Beweise geführt habe, wollte ich den Multi-Key Shuffle vollständig, mit gut lesbarem Code, ausführlicher Dokumentation und größtmöglicher Benutzerfreundlichkeit implementiert haben.\nIch hatte mit Mathematica bereits Erfahrungen in der Implementierung von Zero-Knowledge-Protokollen gemacht und wollte früheren Code gerne wiederverwenden.\nAußerdem bot Mathematica Optionen zur Verwendung von mathematischen Symbolen als Variablen und zur Gestaltung von Dokumentation in Notebooks, die es in anderen Programmiersprachen nicht gibt.\nIch hielt an Mathematica fest und stelle im Nachhinein fest: Es war für meinen sehr speziellen Anwendungsfall im Bildungsumfeld genau die richtige Entscheidung.

Aus der Perspektive des Softwareentwicklers hätte ich aber eine andere Sprache wählen wollen.\nMathematica bietet von Haus aus keine Bibliotheken für Kryptographie, die im Umfeld von Zero-Knowledge-Beweisen benötigt wird.\nDie Erzeugung von Schnorrprimzahlen habe ich selbst implementiert und für elliptischen Kurven habe ich eine externe Bibliothek angepasst.\nFür die Abstraktionen von Sigma-Protokollen wie sie im Multi-Key Shuffle und im Potenz-Protokoll benötigt werden, habe ich eine eigene Sammlung von Hilfsfunktionen geschrieben.\nDazu gehören eine Konfigurations- und Initialisierungsverwaltung, Ereignisbehandlung, Loglevels, eine Zustandsmaschine für das gesamte Protokoll, Speicherung von Kommunikationsaufwand, Fiat-Shamir-Transformation mit Entropie-Prüfung und Zustandsverwaltung, Nachrichten-Parsing und Funktionen für den Empfang von Nachrichten über TCP/IP.

Die Beschränkungen der Netzwerk-Bibliotheken in Mathematica haben mich dazu gezwungen, mich von der Implementierung einer Peer-To-Peer-Anwendung abzuwenden und stattdessen einen Nachrichtenbroker einzuführen, den ich aufgrund der Vielzahl an verfügbaren Bibliotheken und schnellen Entwicklungszeit für Prototypen in Python geschrieben habe.\nWer den Server-Quellcode liest, kann auch erkennen, dass dieser Server mitsamt des Kommunikationsprotokolles bis zum Schluss ein Prototyp geblieben ist - ein robuster Prototyp.\nDie Einführung des Nachrichtenbrokers als man-in-the-middle hatte den Vorteil, dass die im Protokoll gesendeten Daten für eine schnelle Introspektion auf einem Webserver veröffentlicht werden können.\nMit Websockets und Javascript ließ sich eine Netzseite mit Live-Updates über den Protokollstatus einfach und schlank realisieren.

Implementierung

Die Implementierung des Multi-Key Shuffle lässt sich am besten am Beispiel von Protokoll-Transkripten in Mathematica für

Mischer mit Sender- und Empfänger-Komponenten
- Mischer (Prover, führt den Zero-Knowledge-Beweis)
- Sender (Users)
- Empfänger (Users)
Beweis-Verifizierer (Verifier)\nnachvollziehen:

Schlagwörter