공정하다고 확신 할 수있는 복권

27

(이것이 잘 알려진 경우 죄송합니다.) 에이전트 중 하나에 일부 항목을 제공하고 싶습니다. 그래서 에이전트 는 확률로 항목을 가져옵니다 . 모든 요원 (및 모든 관찰자)이 무작위 추첨이 실제로 공정하다는 것을 확신 할 수 있도록 암호화 도구 (또는 다른 도구)가 있습니까? $k$ $j$ $p_i$

cr.crypto-security

— 길 칼라이
소스

1

에이전트는

..

를 알 수 있습니까?

p_{0}

$p_0$

p_{k}

$p_k$

— Mike Samuel

당신은 이것을 본 적 있습니까? ieeexplore.ieee.org/xpls/abs_all.jsp?arnumber=4232861

— dspyz

19

내가 문제를 올바르게 이해하고 있다면 동전 을 공개적으로 뒤집는 것 같습니다 . 비트 커밋을 가정하면이 작업을 수행하는 방법이 많이있는 것 같습니다. 한 가지 예는 각 당사자 가 비트 커밋을 사용하여 해당 비트 문자열에 공개 커밋을 사용하여 0에서 사이의 임의의 정수를 생성하게하는 것 입니다. 그런 다음 각 에이전트가 커밋 한 후 모두 공개적으로 자신의 비밀 정수를 공개합니다. 그 다음에이기는 에이전트는 정수 modulo 의 합으로 인덱스 된 것 입니다. 한 명의 상담원이라도 정직하면 플립은 무작위 여야합니다. $k$ $k-1$ $k$

물론 이것의 한 가지 문제는 약간의 노력이 필요하다는 것입니다. 비트 커밋에 대한 정보 이론 체계는 고전 및 양자 컴퓨팅 모두에서 불가능하다 (아드리안 켄트는 최근 상대성을 활용하는 체계를 제안했지만). 그러나 계산적 가정을 통해 안전한 비트 확약을 달성 할 수 있습니다.

— 조 피츠 시몬스
소스

2

이 접근 방식에 대한 나의 문제는 많은 외부 관찰자들을 공정성으로부터 납득시키고 자한다면 그들 각각은 조금만 노력해야하고 그들 각자가 그들의 헌신의 증거를 공개해야한다는 것입니다. 증거를 밝히지 않는 관찰자의 비트를 무시할 수는 없습니다. 왜냐하면 마지막으로 드러난 관찰자가 그의 증거를 공개할지 여부를 결정함으로써 복권 결과를 조작 할 수 있기 때문입니다.

— Zsbán Ambrus 2016

1

@ user8067 : 나는 적어도 한 당사자가 정직하다고 상호 작용하거나 신뢰하지 않고는 가능하지 않다고 생각합니다. 내가 말하는 이유는 초기 임의성이 실제로 그 시점에 참여하는 모든 사람의 음모를 통해 미리 결정되면 전체 프로세스가 결정적이지 않고 무작위 적이기 때문입니다. 그러나 문제는 프로세스가 임의적이어야하므로 이것이 최선의 방법 인 것 같습니다.

— Joe Fitzsimons 2014 년

2

나는 그것이 가능하다는 것을 확신하지 못한다.

— Joe Fitzsimons 2016 년

2

@RickyDemer : 질문에 어떤 적대적 모델이 적용 가능한지를 알려주는 정보가 충분하지 않습니다. Gil이 정확히 무엇인지 알려 주면 특정 체계가 요구 사항을 충족하는지 여부를 쉽게 증명할 수 있습니다. 그러나 나는 Gil이 우리의 답변이 그의 요구를 충족시키는 지 여부를 점검 할 수있는 능력 이상을 가지고 있다는 것은 의심 할 여지가 없다.

— Joe Fitzsimons 2016 년

2

@RickyDemer :이 경우의 명백한 모델이 무엇인지 전혀 분명하지 않습니다. 설정에 따라 크게 달라지며 기본 가정이 무엇인지 명확하지 않습니다. 내 대답과 Lev가 잘못 된 것처럼 하향 조정하고 행동하기 시작하는 것이 조금 큽니다. 그들은 아담의 대답에서 지적한 경고를 명시 적으로 포함하지 않습니다. Gil의 추가 정보가 없으면 적의 모델에 대해 추측하는 것이 합리적이지 않으므로 가능한 한 일반적인 상태로 남겨 두는 것입니다. 비트 약정은 악의가 없어야합니다).

— Joe Fitzsimons 2016 년

15

다른 사용자가 암시했듯이 이것은 암호화에서 잘 연구 된 문제입니다. 이를 "코인-플 래핑 (coin-flipping)"이라고하며 다자간 계산의 특수한 경우입니다.

실제로 어떤 프로토콜이 작업을 수행하는지는 상황에 따라 크게 다릅니다.

"독립형"설정에서 플레이어는 다른 프로토콜 (실제로 외부 세계와의 상호 작용)에 관여하지 않고 프로토콜을 독립적으로 실행합니다. Oded Goldreich의 교과서 인 "Cryptography의 기초"(볼륨 2, 제 생각에는)에서 이것을 훌륭하게 처리했습니다.

그것이 얼마나 미묘한 지에 대한 아이디어를 제공하기 위해, 사용하는 확약 체계 가 가변적 이라면 다른 응답자가 제안한 "모두가 임의의 값에 확약"프로토콜이 안전하지 않습니다. 적용 할 수없는 확약 방식은 안전한 프로토콜을 제공하지만 설계하기에는 약간 복잡합니다.

참가자가 다른 동시 프로토콜에 관여하는 설정에서는 구성 가능한 프로토콜이 필요합니다 . 조합성에 대한 다양한 개념이 있지만, 범용성 (universal composability )이라고하는 가장 강력한 개념은 몇 가지 추가 설정 가정을 필요로합니다 (예 : PKI 또는 모든 당사자가 볼 수 있지만 이들 중 누구도 제어 할 수없는 공통 임의 문자열). 불행히도이 주제에 대한 접근 가능한 치료법을 모르겠습니다. 그러나 보편적 인 작곡 성이나 말로 표현할 수없는 헌신에 관한 최근 논문을 살펴 보는 것이 좋은 출발점이 될 것입니다.

— 아담 스미스
소스

1

“모든 당사자가 볼 수 있지만 어느 누구도 제어 할 수없는 공통 임의 문자열”은 정확히 생성하려는 것입니다.

— Zsbán Ambrus

1

어떻게 든 그 문제를 한 번 해결하면 보편적으로 작곡가

$\hspace{1 in}$ 다시 (임의로 여러 번) 해결하십시오.

$\:$

UC 커밋은 등록 된 공개 키 설정 (PKI보다 강력한 가정)과 다중 문자열 설정 (일반적인 임의 문자열보다 더 약한 가정)에 대해 알려져 있다고 생각합니다.

2

사이트에 오신 것을 환영합니다, Adam!

— Gil Kalai 2016 년

11

참고 : 아래 의견을 읽으십시오. 이 프로토콜에는 문제가있는 것 같습니다.

$p_j$

$\{0,1\}^b$ $b$

임의의 에이전트는 자신의 벡터를 무작위로 균일하게 선택함으로써 선택된 임의의 숫자가 무작위로 균일하게 나왔음을 확신 할 수 있습니다. 모든 관찰자가 확신하기 위해서는 적어도 한 명의 요원이 그 프로토콜을 따랐다는 것을 믿어야하지만, 아무도 그렇게하지 않았다면 누구도 공정한 복권을 원치 않았다고 생각합니다.

— 레브 레이 진
소스

미안 Lev, 방금 당신의 대답을 보았습니다. 대답을 쓰기 시작했을 때 여기에는 아무것도 없었지만 우리는 모두 비슷한 대답을했던 것 같습니다.

— Joe Fitzsimons 2014 년

걱정 마! 그렇다면 우리가 올바른 길을 가고있는 것 같습니다.

— Lev Reyzin

그렇습니다. 실제로 동전 뒤집기의 맥락에서 이것에 관한 많은 논문이 있다고 생각합니다. 그러나 문학에 근거한 적절한 답변을 줄만큼 충분히 문학이 무엇인지 잘 모르겠습니다.

— Joe Fitzsimons 2014 년

7

내가 아는 가장 빠른 참조는 M. Blum입니다. 전화로 뒤집기 동전입니다. CRYPTO 1981 : 11-15. dm.ing.unibs.it/giuzzi/corsi/Support/papers-cryptography/…

— Ryan Williams

4

표준 비트 약정 체계 (예 : 해싱)를 사용하는 경우 표준 공격이 있습니다. Alice가 먼저가는 Alice와 Bob이라는 두 당사자의 경우를 고려해 봅시다. Alice가 자신의 약속을 방송 한 후 Bob은이를 복사 할 수 있습니다. 앨리스가 약속을 시작한 후 밥은 지금 같은 것을 열 수 있습니다. 이제 임의의 벡터가 같으므로 xor는 0이됩니다. Bob은 최종 값을 0으로 설정하여 공정성 요구 사항과 모순됩니다.

— DW

-3

수동 관찰자는 도면이 준비되지 않았 음을 확인할 수 없습니다. 의사 랜덤 프로세스로의 입력은 원하는 결과를 제공하도록 선택 될 수 있습니다.

그러나 관찰자가 임의의 숫자를 제공 할 수 있고 임의의 입력으로 효과를 보상 할 수 있기 때문에 다른 에이전트가 나중에 입력을 변경하지 않도록하려면 결과가 실제로 임의임을 확신 할 수 있습니다. .

이를 위해서는 수학적으로 안전한 것으로 입증 된 사실을 모르지만 실제로 SHA3와 같은 안전한 해시를 사용하여 실현할 수있는 확약 체계 가 필요합니다 .

이 예제를 고려하십시오.

여기에 이미지 설명을 입력하십시오

구현 예제를 만들었습니다. : 당신은 여기 살고 볼 수 있습니다 https://mrogalski.eu/cl/ 또는 체크 소스에 GitHub의 .

— 마렉 로갈 스키
소스

1

이것은 Joe의 답변에 이미 언급되어 있습니다.

— Kaveh

1

그래픽 일러스트는 매우 좋습니다!

— Gil Kalai

3

그래픽은 매우 아름답지만 답변에 기존 답변에없는 내용이 포함되어 있습니다.

— David Richerby