编辑“零知识证明（ZKP）”（章节）

=== 离散对数 ===
前段概念适用于较实际的密码学场景。设小静欲向阿严证明，自己知道某群某指定元素的离散对数。

例如，给定数、素数、生成元，小静希望证明自己知道某数使，而不泄漏。事实上，知晓之事，本身可用作身份证明，即小静可借此证明该值是由她先暗中选某随机值，再计算，公诸所有潜在的验证者。如此，若某人证明自己知道，则相当于证明自己即小静，因为学者相信离散对数很难计算，即其他人无法从倒推出值。

证明协议如下：每轮，小静预备随机数，计算，将该值传予阿严。收到后，阿严随机请求下列两者之一：小静公开值，或值。单独看任何一个值，其分布皆是均匀随机，所以协议每轮皆不泄露任何机密。

阿严可以验证所得回应。若问，则可以计算，检查是否等于。若问，则可以计算，而该值应当等于，所以亦验证值是否满足该条件。若小静确实知道值，理应很易回答阿严的任一条问题。

若小静预知阿严采用何种盘问，则很易作弊，在不知的情况下，向阿严假装自己知道：若她知道阿严将要问，则如常继续，选，计算，告知阿严值；她可以答出值。另一方面，若她知道阿严将问，则取随机一个值，计算，然后发送值予阿严（阿严会以为该值为值）。当阿严要求公开值时，小静公开，但这足以让阿严验证结果，因为他计算的值实为，是等于，因为正是小静一早乘上的逆元而计出。

然而，若有某轮验证中，阿严的问题与小静预估的有出入，则小静无法计算出要答的结果（假定该群的离散对数问题难解）。若她拣选并公开，则无法作弊给出服众的值来通过阿严的检查，因为不知道。又若她拣选值，伪装成，则要回答公开值的离散对数，但她无法回答，因为该值是由已知值乘出，而非某已知值以为底的幂，所以她不能计出其离散对数

所以，作弊的证明者仅得概率通过某轮验证。重复足够多轮，成功作弊的概率可压到任意小。

==== 撮要 ====
小静要证知道值（如其密码）。

# 小静与阿严约定某素数，及域的乘法生成元。
# 小静计算，发送予阿严。
# 重复以下步骤若干次：
## 小静选某个均匀随机数，计算，发送予阿严。
## 阿严问小静或，二选其一。若问前者，则阿严验证。若问后者，则他验证。

之值，可视为的加密。若确为随机，在至间均匀分布，则也同样均匀分布，所以不会泄漏任何关于的信息（见一次性密码本）。