伊莱·本·萨森;亚历山德罗·奇埃萨;埃兰·特罗姆;夫人维尔扎 通过椭圆曲线循环可扩展的零知识。 （英语） Zbl 1383.68035号 算法 79，第4期，1102-1160（2017）. 摘要：一般NP语句的非交互式零知识证明在理论和实际应用中都是一种强大的密码学原语。最近，许多研究都集中于获得额外的财产，简洁要求证明非常简短且易于验证。这种证明系统称为零知识简洁的非交互知识论元（zk-SNARK），并且在通信开销较大或验证器计算能力较弱时需要。现有的zk-SNARK实现在空间复杂度方面具有严重的可扩展性限制，而空间复杂度是被证明计算大小的函数（例如，NP语句的决策程序的运行时间）。首先，证明密钥的大小在计算大小的上界中是拟线性的。其次，生成证明需要“写下”整个计算的所有中间值，然后执行全局操作，如FFT。的引导技术N.比坦斯基等[摘自：第45届ACM计算理论研讨会论文集，STOC'13。纽约州纽约市：计算机协会（ACM）。111–120 (2013;Zbl 1293.68264号)]，以下是P.瓦利安【Lect.Notes Compute.Sci.4948,1–18（2008年；Zbl 1162.68448号)]提供了一种通过递归组合证明来实现可伸缩性的方法：证明关于接受证明系统自己的验证器的声明（以及程序最新步骤的正确性）。唉，由于巨大的计算成本，已知zk-SNARK的递归组合在实践中从未实现。使用新的椭圆曲线密码技术，以及利用证明系统的字段结构和不确定性的方法，我们实现了第一个zk-SNARK实现，实际上实现了递归证明合成。我们的zk-SNARK实现运行随机访问机器程序，并在任何程序运行时间内，在当今的硬件上证明其正确执行。生成支持的密钥需要持续的时间全部的计算大小。随后，与原始计算的时间相比，证明过程只会产生恒定的乘法开销，以及内存中基本恒定的加法开销。因此，我们的zk-SNARK实现是第一个具有“每秒验证指令”的明确定义的时钟速率（尽管很低）的实现。 引用于5文件 MSC公司： 2015年第68季度 复杂性类（层次结构、复杂性类之间的关系等） 11T71型 代数编码理论；密码学（数论方面） 94A60型 密码学 关键词：计算可靠的证明;校对数据;零知识;椭圆曲线 引文：Zbl 1293.68264号;Zbl 1162.68448号 软件：C的SNARK;ECPP公司;皮诺奇;SiRiUS公司;盖比特;ADSNARK公司;zk-快照;SWIFFT码;普鲁特斯 PDF格式BibTeX公司 XML格式引用 \textit{E.Ben-Sasson}等人，Algorithmica 79，No.4，1102--1160（2017；Zbl 1383.68035） 全文： 内政部 链接 参考文献： [1] Lyubashevsky，V.，Micciancio，D.，Peikert，C.，Rosen，A.：SWIFFT：FFT散列的适度建议。摘自：《第15届快速软件加密国际研讨会论文集》，FSE’08，第54-72页（2008）·Zbl 1154.68403号 [2] Ajtai，M.：生成晶格问题的硬实例。摘自：第28届ACM计算机理论年会论文集，STOC’96，pp.99-108（1996）·Zbl 0921.11071号 [3] Atkin，A.O.L.，Morain，F.：椭圆曲线和素性证明。数学。计算。61, 29-68 (1993) ·Zbl 0792.11056号 ·doi:10.1090/S0025-5718-1993-199989-X [4] Anguin，D.，Valiant，L.G.：哈密顿电路和匹配的快速概率算法。摘自：第九届ACM计算机理论年会论文集，STOC’77，第30-41页（1977）·Zbl 0437.05040号 [5] Boneh，D.，Boyen，X.：没有随机预言机的基于身份的安全加密。收录于：《第24届国际密码学年会论文集》，2004年，第443-459页（2004）·兹比尔1104.94019 [6] Backes，M.，Barbosa，M.，Fiore，D.，Reischuk，R.M.：ADSNARK：对经过验证的数据进行几乎实用且保护隐私的证明。第36届IEEE安全与隐私研讨会论文集，2015年标准普尔，第271-286页（2015）·Zbl 0963.11068号 [7] Bitansky，N.，Canetti，R.，Chiesa，A.，Tromer，E.：从可提取的碰撞阻力到简洁的非交互知识论证，然后再回来。摘自：《第三届理论计算机科学创新会议论文集》，ITCS’12，pp.326-349（2012）·Zbl 1347.68129号 [8] Bitansky，N.，Canetti，R.，Chiesa，A.，Tromer，E.：SNARK和校对数据的递归组合和自举。摘自：第45届ACM计算机理论研讨会论文集，STOC’13，pp.111-120（2013）·Zbl 1293.68264号 [9] Ben-Sasson，E.，Chiesa，A.，Genkin，D.，Tromer，E.，Virza，M.：C的SNARKs：在零知识条件下简洁地验证程序执行。《第33届国际密码学年会论文集》，《密码》2013年，第90-108页（2013）·Zbl 1317.68050号 [10] Ben-Sasson，E.，Chiesa，A.，Genkin，D.，Tromer，E.，Virza，M.：TinyRAM架构规范v2.0013。http://scipr-lab.org/tinyram ·Zbl 1364.94548号 [11] Ben-Sasson，E.，Chiesa，A.，Garman，C.，Green，M.，Miers，I.，Tromer，E.，Virza，M.：Zerocash：比特币分散匿名支付。摘自：2014年IEEE安全与隐私研讨会论文集，SP'14，第459-474页（2014） [12] Ben-Sasson，E.，Chiesa，A.，Genkin，D.，Tromer，E.：从RAM快速减少到可委托简洁约束满足问题。摘自：《第四届理论计算机科学创新会议论文集》，ITCS’13，第401-414页（2013）·Zbl 1361.68088号 [13] Ben-Sasson，E.，Chiesa，A.，Genkin，D.，Tromer，E.：关于概率可检验证明的具体效率。摘自：第45届ACM计算机理论研讨会论文集，STOC’13，第585-594页（2013）·Zbl 1293.94054号 [14] Bitansky，N.，Chiesa，A.，Ishai，Y.，Ostrovsky，R.，Paneth，O.：通过线性交互证明简洁非交互论点。摘自：《第十届密码学理论会议论文集》，TCC’13，第315-333页（2013）·Zbl 1316.68056号 [15] Bitansky，N.，Canetti，R.，Paneth，O.：如何构造可提取的单向函数来对抗统一的对手。Cryptology ePrint Archive，报告2013/468（2013） [16] Bitansky，N.，Canetti，R.，Paneth，O.，Rosen，A.：不可区分性模糊与辅助输入可提取函数：必须失败。Cryptology ePrint Archive，报告2013/641（2013）·Zbl 1366.94540号 [17] Ben-Sasson，E.，Chiesa，A.，Tromer，E.，Virza，M.：冯·诺依曼架构的简洁非交互零知识。摘自：《第23届USENIX安全研讨会会议记录》，《安全》第14期，第781-796页（2014年）。http://eprint.iacr.org/2013/879 ·Zbl 1334.68077号 [18] Blum，M.，De Santis，A.，Micali，S.，Persiano，G.：非交互式零知识。SIAM J.计算。20(6), 1084-1118 (1991) ·兹比尔0738.68027 ·doi:10.1137/0220068 [19] Blum，M.，Evans，W.，Gemmell，P.，Kannan，S.，Naor，M.：检查记忆的正确性。摘自：第32届计算机科学基础年度研讨会论文集，FOCS’91，第90-99页（1991）·Zbl 1323.68200号 [20] Babai，L.、Fortnow，L.，Levin，L.A.、Szegedy，M.：检查多对数时间的计算。摘自：第23届ACM计算机理论研讨会论文集，STOC’91，第21-32页（1991）·Zbl 1181.94094号 [21] Blum，M.、Feldman，P.、Micali，S.：非交互式零知识及其应用。摘自：第20届ACM计算机理论研讨会论文集，STOC’88，pp.103-112（1988）·Zbl 0919.94011号 [22] Braun，B.，Feldman，A.J.，Ren，Z.，Setty，S.，Blumberg，A.J.，Walfish，M.：用状态验证计算。摘自：第25届ACM操作系统原理研讨会论文集，SOSP’13，pp.341-357（2013）·Zbl 0957.94025号 [23] Ben-Sasson，E.，Goldreich，O.，Harsha，P.，Sudan，M.，Vadhan，S.：可在多对数时间内验证的短PCP。摘自：第20届IEEE计算复杂性年会论文集，CCC’05，第120-134页（2005）·Zbl 0957.94025号 [24] Barreto，P.S.、Galbraith，S.D.、Ohéigeartaigh，C.、Scott，M.：超奇异阿贝尔变种的有效配对计算。设计。密码。42(3), 239-271 (2007) ·Zbl 1142.14307号 ·doi:10.1007/s10623-006-9033-6 [25] Barreto，P.S.L.M.、Kim，H.Y.、Lynn，B.、Scott，M.：基于配对的密码系统的高效算法。收录于：第22届国际密码学年会论文集，CRYPTO’02，第354-368页（2002）·Zbl 1026.94520号 [26] Brakerski，Z。、Langlois，A。、Peikert，C。、Regev，O。、Stehlé，D。：带错误学习的经典困难。摘自：第45届ACM计算机理论研讨会论文集，STOC’13，第575-584页（2013）·Zbl 1293.68159号 [27] Barreto，P.S.L.M.、Lynn，B.、Scott，M.：构建具有规定嵌入度的椭圆曲线。摘自：《第三届通信网络安全国际会议论文集》，SCN’02，第257-267页（2003）·Zbl 1022.94008号 [28] Barreto，P.S.L.M.、Lynn，B.、Scott，M.：基于配对的密码系统的高效实现。J.加密。17(4), 321-334 (2004) ·Zbl 1123.94334号 ·doi:10.1007/s00145-004-0311-z [29] Benger，N.，Scott，M.：构建有限域的塔式扩展以实现基于对的加密。摘自：《第三届有限域算术国际会议论文集》，WAIFI’10，第180-195页（2010）·兹比尔1245.11122 [30] Boneh，D.，Segev，G.，Waters，B.：目标延展性：限制计算的同态加密。在：第三届理论计算机科学创新会议论文集，ITCS'12，pp.350-366（2012）·兹伯利1347.68119 [31] Brezing，F.，Weng，A.：适用于基于配对的加密的椭圆曲线。设计。密码密码。37(1), 133-141 (2005) ·Zbl 1100.14517号 ·doi:10.1007/s10623-004-3808-4 [32] Cohen，H.，Frey，G.，Avanzi，R.，Doche，C.，Lange，T.，Nguyen，K.，Vercauteren，F.：椭圆和超椭圆曲线密码手册，第二版。查普曼和霍尔/CRC，博卡拉顿（2012）·Zbl 1082.94001号 [33] Costello，C.、Fournet，C.、Howell，J.、Kohlweiss，M.、Kreuter，B.、Naehrig，M.，Parno，B.、Zahur，S.：Geppetto：通用可验证计算。摘自：第36届IEEE安全与隐私研讨会论文集，2015年标准普尔，第253-270页（2015）·Zbl 0738.68027号 [34] Cormode，G.，Mitzenmacher，M.，Thaler，J.：流式交互证明的实际验证计算。摘自：第四届理论计算机科学创新研讨会论文集，ITCS’12，第90-112页（2012）·Zbl 1347.68157号 [35] Cocks，C.，Pinch，R.G.E.：基于weil配对的基于身份的密码系统。未出版手稿（2001）·Zbl 0979.11057号 [36] Cook，S.A.，Reckhow，R.A.：定时随机存取机器。摘自：第四届ACM计算机理论年会论文集，STOC’72，第73-80页（1972）·Zbl 0357.68055号 [37] Canetti，R.，Riva，B.，Rothblum，G.N.：使用多个服务器的实际计算委托。摘自：第18届ACM计算机和通信安全会议记录，CCS’11，pp.445-454（2011）·Zbl 0382.10001号 [38] Chiesa，A.，Tromer，E.：证明签名卡中的令人信服的数据和传闻论据。摘自：第一届计算机科学创新研讨会论文集，ICS’10，第310-331页（2010）·Zbl 0963.11068号 [39] Chiesa，A.，Tromer，E.：防篡改数据：在不受信任的平台上进行安全计算（高级描述）。下一波全国。安全。机构的Rev.Emerg.Technol。19(2), 40-46 (2012) [40] Chong，S.、Tromer，E.、Vaughan，J.A.：使用校对数据加强语言语义。Cryptology ePrint Archive，报告2013/513（2013）·Zbl 0792.11056号 [41] Chiesa，A.，Tromer，E.，Virza，M.：零知识中的集群计算。摘自：《第34届密码技术理论与应用国际年会论文集》，EUROCRYPT’15，第371-403页（2015）·Zbl 1371.68257号 [42] Dupont，R.，Enge，A.，Morain，F.：在有限素数域上构建具有任意小MOV度的曲线。J.密码。18(2), 79-89 (2005) ·兹比尔1084.94014 ·doi:10.1007/s00145-004-0219-7 [43] Danezis，G.，Fournet，C.，Groth，J.，Kohlweiss，M.：应用于简洁NIZK参数的平方跨度程序。摘自：《密码学和信息安全理论与应用第20届国际会议论文集》，《亚洲密码》第14期，第532-550页（2014年）·Zbl 1306.94042号 [44] Enge，A.，Sutherland，A.V.：CRT方法的类不变量。摘自：第九届算法数论国际研讨会论文集，ANTS’10，pp.142-156（2010）·Zbl 1260.11083号 [45] Frey，G.，Müller，M.，Rück，H.-G.：应用于椭圆曲线密码系统的Tate对和离散对数。IEEE传输。《信息论》45（5），1717-1719（2006）·Zbl 0957.94025号 ·doi:10.1109/18.771254 [46] Frey，G.，Rück，H.-G.：关于曲线除数类群中的m-可除性和离散对数的注记。数学。计算。62(206), 865-874 (1994) ·Zbl 0813.14045号 [47] Fiat，A.，Shamir，A.：如何证明自己：识别和签名问题的实用解决方案。摘自：《第六届国际密码学年会论文集》，87年《密码》，第186-194页（1987年）·Zbl 0636.94012号 [48] Freeman，D.，Scott，M.，Teske，E.：配对友好椭圆曲线的分类。J.加密。23(2), 224-280 (2010) ·Zbl 1181.94094号 ·doi:10.1007/s00145-009-9048-z [49] Gennaro，R.：多门户承诺及其在并发跨中人攻击下的知识安全证明中的应用。收录于：《第24届国际密码年会论文集》，2004年，第220-236页（2004）·Zbl 1104.94050号 [50] Goldreich，O.，Goldwasser，S.，Halevi，S.：晶格问题的无碰撞散列。技术报告，1996年。ECCC TR95-042·Zbl 1343.94055号 [51] Garg，S.，Gentry，C.，Halevi，S.：理想格的候选多线性映射。摘自：《第32届密码技术理论与应用国际年会论文集》，EUROCRYPT’13，第1-17页（2013）·Zbl 1300.94055号 [52] Gennaro，R.、Gentry，C.、Parno，B.、Raykova，M.：无PCP的二次跨度程序和简洁NIZK。摘自：《第32届密码技术理论与应用国际年会论文集》，EUROCRYPT’13，第626-645页（2013）·Zbl 1300.94056号 [53] Galbraith，S.D.，Harrison，K.，Soldera，D.：实现Tate配对。摘自：第五届算法数论国际研讨会论文集，ANTS’02，pp.324-337（2002）·兹比尔1058.11072 [54] Gopalan，P.，Lovett，S.，Shpilka，A.：关于布尔函数在不同特征下的复杂性。在：第24届IEEE计算复杂性年会论文集，CCC’09，第173-183页（2009）·兹比尔1213.68309 [55] Groth，J.：基于短配对的非交互式零知识论点。摘自：《第十六届国际密码学和信息安全理论与应用会议论文集》，《亚洲密码》，2010年，第321-340页·Zbl 1253.94049号 [56] Granger，R.，Smart，N.：关于配对的计算产品。Cryptology ePrint Archive，报告2006/172（2006）·Zbl 1366.94540号 [57] Granger，R.，Scott，M.：六次扩张的分圆子群中的更快平方。摘自：第13届公钥密码术实践与理论国际会议论文集，PKC’10，第209-223页（2010）·Zbl 1279.94079号 [58] Gassend，B.，Suh，G.E.，Clarke，D.E.，van Dijk，M.，Devadas，S.：高效内存完整性验证的缓存和哈希树。摘自：第九届高性能计算机体系结构国际研讨会论文集，HPCA’03，第295-306页（2003） [59] Goh，E.-J.，Shacham，H.，Modadugu，N.，Boneh，D.：SiRiUS：保护远程不可信存储。In:网络和分布式系统安全研讨会论文集，NDSS’03（2003）·Zbl 0979.11057号 [60] Gentry，C.，Wichs，D.：从所有可证伪的假设中分离简洁的非交互论点。摘自：第43届ACM计算机理论年会论文集，STOC’11，第99-108页（2011）·Zbl 1288.94063号 [61] Hess，F.、Smart，N.P.、Vercauteren，F.：重新审视Eta配对。IEEE传输。《信息论》52（10），4595-4602（2006）·Zbl 1189.11057号 ·doi:10.1109/TIT.2006.881709 [62] Joux，A.，Jacques，S.：格约简：密码分析学家的工具箱。J.加密。11(3), 161-185 (1998) ·Zbl 0919.94011号 ·doi:10.1007/s001459900042 [63] Kim，T.，Kim，S.，Cheon，J.H.：关于泰特配对计算中的最终求幂。IEEE传输。《信息论》59（6），4033-4041（2013）·Zbl 1364.94548号 ·doi:10.1109/TIT.2013.2240763 [64] Kosba，A.E.，Papadopoulos，D.，Papamanthou，C.，Sayed，M.F.，Shi，E.，Triandopoulos，N.：TRUESET：更快的可验证集合计算。收录于：第23届USENIX安全研讨会会议记录，USENIX-Security’14，第765-780页（2014）·Zbl 1016.11021号 [65] Kallahalla，M.、Riedel，E.、Swaminathan，R.、Wang，Q.、Fu，K.：Plutus：不受信任存储上的可扩展安全文件共享。摘自：2003年文件和存储技术会议记录，FAST’03（2003） [66] Karabina，K.，Teske，E.：关于嵌入度为3、4和6的素数阶椭圆曲线。在：第八届国际算法数论会议论文集，ANTS-VIII'08，pp.102-117（2008）·Zbl 1231.11068号 [67] Lipmaa，H.：基于级数自由集和次线性配对的非交互式零知识自变量。载：《第九届密码学理论会议密码理论论文集》，TCC’12，第169-189页（2012）·Zbl 1303.94090号 [68] Lipmaa，H.：从跨度程序和线性纠错代码中提取非交互式零知识参数。摘自：《第19届密码学和信息安全理论与应用国际会议论文集》，《亚洲密码》2013年第41-60页（2013年）·Zbl 1300.94080号 [69] Lipmaa，H.：通过贝内什网络的并行验证实现高效NIZK参数。摘自：《第九届网络安全与密码国际会议论文集》，SCN’14，第416-434页（2014）·Zbl 1378.94054号 [70] Lyubashevsky，V.，Micciancio，D.：广义紧凑背包具有防撞性。摘自：第三十三届国际自动化、语言和编程会议记录，ICALP’06，第144-155页（2006）·Zbl 1133.68353号 [71] Lauter，K.，Montgomery，P.L.，Naehrig，M.：用于配对计算的仿射坐标分析。摘自：《第四届基于配对的密码术国际会议论文集》，Pairing’10，第1-20页（2010）·Zbl 1287.94079号 [72] Lyubashevsky，V.，Micciancio，D.，Peikert，C.，Rosen，A.：SWIFFT：FFT散列的适度建议。摘自：《第15届快速软件加密国际研讨会论文集》，FSE’08，第54-72页（2008）·Zbl 1154.68403号 [73] Lidl，R.，Niederreiter，H.：有限域，第2版。剑桥大学出版社，剑桥（1997）·Zbl 1139.11053号 [74] Micali，S.：计算隔音。SIAM J.计算。30(4):1253-1298, 2000. 初始版本出现在FOCS’94中·Zbl 1009.68053号 [75] Miyaji，A.，Nakabayashi，M.，Takano，S.：FR-还原椭圆曲线迹的新显式条件。IEICE传输。芬丹。电子。Commun公司。计算。科学。84(5), 1234-1243 (2001) ·Zbl 0990.94024号 [76] Menezes，A.，Okamoto，T.，Vanstone，S.：在有限域中将椭圆曲线对数简化为对数。摘自：第23届ACM计算机理论研讨会论文集，STOC’91，第80-89页（1991）·Zbl 0801.94011号 [77] Mazières，D.，Shasha，D.：不要相信你的文件服务器。摘自：第八届操作系统热点专题研讨会论文集，HotOS’01，第113-118页（2001）·兹比尔1123.94334 [78] Maheshwari，U.，Vingralek，R.，Shapiro，W.：如何在不受信任的存储上构建受信任的数据库系统。载：第四届操作系统设计与实现研讨会论文集，OSDI’00，pp.10-10（2000）·兹伯利0813.14045 [79] Naor，M.，Yung，M.：通用单向散列函数及其加密应用。摘自：《第21届ACM计算机理论研讨会论文集》，STOC’89，第33-43页（1989） [80] Naor，M.，Yung，M.：公开密钥密码系统可证明对选定密文攻击是安全的。摘自：第22届ACM计算机理论年会论文集，STOC’90，pp.427-437（1990） [81] Odlyzko，A.M.：有限域中的离散对数及其密码意义。摘自：《第三届密码技术理论与应用国际年会论文集》，EUROCRYPT’85，第224-314页（1985）·Zbl 0594.94016号 [82] Parno，B.，Gentry，C.，Howell，J.，Raykova，M.：皮诺奇：几乎实用的可验证计算。摘自：第34届IEEE安全与隐私研讨会论文集，奥克兰’13，第238-252页（2013）·Zbl 1016.11021号 [83] Pohlig，S.，Hellman，M.：计算\[gf（p）\]gf（p）上对数的改进算法及其密码意义。J.IEEE传输。《信息论》24（1），106-110（1978）·Zbl 0375.68023号 ·doi:10.1109/TIT.1978.1055817 [84] Pollard，J.M.：指数计算的蒙特卡罗方法（mod p）。数学。计算。32(143), 918-924 (1978) ·Zbl 0382.10001号 [85] Pollard，J.M.：袋鼠、垄断和离散对数。J.加密。13, 437-447 (2000) ·Zbl 0979.11057号 ·doi:10.1007/s0014500100 [86] Peikert，C.，Rosen，A.：基于循环格上最坏情况假设的高效抗碰撞散列。摘自：《第三届密码学理论会议论文集》，TCC’06，第145-166页（2006）·Zbl 1112.94020号 [87] Razborov，A.A.：带逻辑加法的完备基上有界深度电路大小的下界。数学。学术笔记。科学。苏联41（4），333-338（1987）·Zbl 0632.94030号 [88] Rompel，J.：单向函数对于安全签名来说是必要且足够的。摘自：第22届ACM计算机理论年会论文集，STOC’90，第387-394页（1990） [89] Satoh，T.，Araki，K.：反常椭圆曲线的费马商和多项式时间离散对数算法。注释。数学。Sancti Pauli大学47（1），81-92（1998）·Zbl 1044.11591号 [90] Scott，M.，Barreto，P.S.：生成更多MNT椭圆曲线。设计。密码。38(2), 209-217 (2006) ·兹伯利1172.14309 ·doi:10.1007/s10623-005-0538-1 [91] Scott，M.、Benger，N.、Charlemagne，M.，Dominguez Perez，L.J.、Kachisa，E.J.：关于计算普通椭圆曲线对的最终指数运算。收录于：Palo Alto第三届基于配对密码术国际会议论文集，2009年配对，第78-88页（2009）·Zbl 1248.94093号 [92] Setty，S.、Braun，B.、Vu，V.、Blumberg，A.J.、Parno，B.、Walfish，M.：解决验证计算中普遍性和合理性之间的冲突。摘自：《第八届EuoroSys会议记录》，EuroSys’13，第71-84页（2013年） [93] Setty，S.、Blumberg，A.J.、Walfish，M.：远程计算的实用和无条件验证。摘自：《第13届USENIX操作系统热点会议论文集》，HotOS’11，第29-29页（2011） [94] Scott，M.：《计算泰特配对》。摘自：2005年RSA会议上的密码学家会议记录，CT-RSA’05，第293-304页（2005）·Zbl 1079.94572号 [95] Scott，M.：实现密码配对。摘自：第一届基于配对的密码术国际会议论文集，2007年配对，第177-196页（2007年）·Zbl 1148.94432号 [96] Semaev，I.A.：《特征数学》中椭圆曲线p-扭转点组中离散对数的计算。计算。67(221), 353-356 (1998) ·Zbl 1016.11021号 ·网址：10.1090/S0025-5718-98-00887-4 [97] Shanks，D.：类数，因子分解理论和属。交响乐团。纯数学。20, 415-440 (1971) ·Zbl 0223.12006号 ·doi:10.1090/pspum/020/0316385 [98] 西尔弗曼，J.H.：《椭圆曲线的算术》，第2版。柏林施普林格出版社（2009）·Zbl 1194.11005号 ·数字对象标识代码：10.1007/978-0-387-09494-6 [99] Smart，N.P.：迹1的椭圆曲线上的离散对数问题。J.加密。12(3), 193-196 (1999) ·Zbl 0963.11068号 ·doi:10.1007/s001459900052 [100] Setty，S.，McPherson，M.，Blumberg，A.J.，Walfish，M.：使外包计算的论证系统实用（有时）。2012年网络和分布式系统安全研讨会论文集，NDSS’12（2012）·Zbl 1269.11056号 [101] Smolensky，R.：布尔电路复杂性下限理论中的代数方法。摘自：第19届ACM计算机理论研讨会论文集，STOC’87，第77-82页（1987） [102] Solinas，J.A.：基于身份的数字签名算法。http://cacr.uwaterloo.ca/conferences/2003/ecc2003/solinas.pdf（2003年） [103] Silverman，J.H.，Stange，K.E.：椭圆曲线的友好对和等分循环。实验数学。20(3), 329-357 (2011) ·Zbl 1269.11056号 ·doi:10.1080/10586458.2011.565253 [104] Sutherland，A.V.：用中国剩余定理计算希尔伯特类多项式。数学。计算。80(273), 501-538 (2011) ·Zbl 1231.11144号 ·doi:10.1090/S0025-5718-2010-02373-7 [105] Sutherland，A.V.：加速CM方法。LMS J.计算。数学。15, 172-204 (2012) ·Zbl 1343.11098号 ·doi:10.1112/S146157012001015 [106] Setty，S.，Vu，V.，Panpalia，N.，Braun，B.，Blumberg，A.J.，Walfish，M.：将基于证明的验证计算更接近实用性。摘自：《第21届USENIX安全研讨会论文集》，《安全》第12期，第253-268页（2012年）·Zbl 1016.11021号 [107] Thaler，J.：电路评估的时间最优交互证明。收录于：《第33届国际密码学年会论文集》，CRYPTO’13，第71-89页（2013）·Zbl 1316.94093号 [108] Thaler，J.、Roberts，M.、Mitzenmacher，M.和Pfister，H.：具有大规模并行交互证明的可验证计算。CoRR，abs/1202.1350（2012）·Zbl 1189.11057号 [109] Valiant，P.：增量可验证的计算或知识证明意味着时间/空间效率。摘自：《第五届密码理论会议论文集》，TCC’08，第1-18页（2008）·Zbl 1162.68448号 [110] Vercauteren，F.：最佳配对。IEEE传输。《信息论》56（1），455-461（2010）·Zbl 1366.94540号 ·doi:10.1109/TIT.2009.2034881 [111] van Oorschot，P.C.，Wiener，M.J.：具有密码分析应用程序的并行碰撞搜索。J.加密。12(1), 1-28 (1999) ·Zbl 0992.94028号 ·doi:10.1007/PL00003816 [112] 华盛顿，L.C.：《椭圆曲线：数字理论和密码学》，第二版。Chapman&Hall/CRC，博卡拉顿（2008）·Zbl 1200.11043号 ·电话：10.1201/9781420071474 [113] Wahby，R.S.、Setty，S.、Ren，Z.、Blumberg，A.J.、Walfish，M.：可验证外包计算中的高效RAM和控制流。摘自：第22届网络和分布式系统安全研讨会论文集，NDSS’15（2015） [114] Zhang，Y.，Papamanthou，C.，Katz，J.：Alitheia：走向实用的可验证图形处理。摘自：《第21届ACM计算机和通信安全会议论文集》，CCS’14，第856-867页（2014） 此参考列表基于出版商或数字数学图书馆提供的信息。其项与zbMATH标识符进行启发式匹配，可能包含数据转换错误。在某些情况下，zbMATH Open的数据对这些数据进行了补充/增强。这试图尽可能准确地反映原始论文中列出的参考文献，而不要求完整或完全匹配。