Аппаратно-программные средства и методы защиты информации. Варлатая С.К - 71 стр.

      2. Сторона В посылает А случайный бит b.
      3. Если b = 0, тогда А отправляет г стороне В. Если b = 1, то А отправляет
стороне В
                                   у = r * S mod n.
      4. Если b = 0, сторона В проверяет, что
                                     x = r2mod n,
      чтобы убедиться, что А знает sqrt(x). Если b = 1, сторона В проверяет, что
                                   x = y2*Vmod n,
      чтобы быть уверенной, что А знает sqrt(V1).
      Эти шаги образуют один цикл протокола, называемый аккредитацией.
Стороны А и В повторяют этот цикл t раз при разных случайных значениях r и
b до тех пор, пока В не убедится, что А знает значение S.
      Если сторона А не знает значения S, она может выбрать такое значение г,
которое позволит ей обмануть сторону В, если В отправит ей b = 0, либо А
может выбрать такое r, которое позволит обмануть В, если В отправит ей b = 1.
Но этого невозможно сделать в обоих случаях. Вероятность того, что А
обманет В в одном цикле, составляет 1/2. Вероятность обмануть В в t циклах
равна (1/2)t
      Для того чтобы этот протокол работал, сторона А никогда не должна
повторно использовать значение г. Если А поступила бы таким образом, а
сторона В отправила бы стороне А на шаге 2 другой случайный бит b, то В
имела бы оба ответа А. После этого В может вычислить значение S, и для А все
закончено.


      Параллельная схема идентификации с нулевой передачей знаний
      Параллельная    схема   идентификации         позволяет   увеличить   число
аккредитаций, выполняемых за один цикл, и тем самым уменьшить
длительность процесса идентификации.
      Как и в предыдущем случае, сначала генерируется число n как
произведение двух больших чисел. Для того, чтобы сгенерировать открытый и

                                       71