Kriptografski dokaz može sakriti tajnu tako da je teško dokazati odsutnost simulatora

Trik nije u tome da dokažete da je tajna skrivena

Počnimo od najjednostavnije verzije zero-knowledge dokaza.

Alice želi uvjeriti Boba da Sudoku ima rješenje. Ako mu pošalje rješenje, Bob će biti uvjeren, ali slagalica je uništena. Ona želi nešto neobičnije: dokaz da rješenje postoji, bez otkrivanja samog rješenja.

To je obećanje zero-knowledge dokaza. Dokazivač (Alice) uvjerava provjeravatelja (Boba) da je tvrdnja istinita, a pritom ne otkriva ništa osim same istinitosti tvrdnje.

Problem je što to obećanje nešto košta. Običan matematički dokaz ima dvije ugodne značajke. On je jedna poruka: napišete ga, predate i odete. I savršeno je zvučan (perfectly sound): lažna tvrdnja nema nijedan valjan dokaz. Klasični rezultati nemogućnosti kažu da se zero-knowledge mora odreći obiju značajki — i ne samo njihove kombinacije; svaka je pojedinačno zabranjena.

Prvo, zero-knowledge dokaz treba razgovor. Ako Alice pošalje samo jednu poruku, bez pouzdanog setupa dogovorenog unaprijed, jamstvo zero-knowledgea se ruši — bez obzira koliko ste zvučnosti spremni žrtvovati zauzvrat.

Drugo, zero-knowledge dokaz treba malu toleranciju na pogrešku. Zahtjev za savršenom zvučnošću pokazuje se kao način da se tiho uništi i interakcija: provjeravatelj koji nikada ne može biti prevaren, bez obzira na svoje slučajne izbore, mogao bi te izbore jednako dobro fiksirati unaprijed — a kad postane predvidljiv, Alice može odgovoriti na sve u jednoj poruci, upravo u slučaju za koji već znamo da ne funkcionira.

Rad Rahula Ilanga govori o putu oko tog dvostrukog zida. Ne tako da se pravi da zid ne postoji i ne tako da proizvede klasični zero-knowledge u nemogućem okruženju. Potez je suptilniji: oslabiti značenje „ne otkriva ništa”, ali na način koji čuva sigurnosna svojstva koja kriptografi stvarno mogu testirati.

Rezultat se zove effectively zero-knowledge — učinkovito zero-knowledge.

Stari test: simulator postoji

Klasična formalizacija zero-knowledgea koristi izmišljenog pomagača koji se zove simulator.

Ideja je ova: zamislite Jane, koja ne zna Alicinu tajnu. Ako Jane može potpuno sama generirati dokaze koji izgledaju jednako kao dokazi koje bi Bob primio od Alice, tada Alicini dokazi Boba nisu naučili ništa novo. Jane je već mogla lažirati cijelo iskustvo bez Alicine tajne.

Klasični zero-knowledge zato zahtijeva stvarni simulator. Mora postojati učinkovit algoritam koji može proizvesti dokaze nalik pravima bez poznavanja tajne — svjedoka (witness), u stručnom jeziku; za Sudoku je svjedok jednostavno riješena mreža.

Ta je definicija snažna, ali upravo je na tom mjestu pogađa stara nemogućnost. Intuicija je sljedeća. Doista neinteraktivni dokaz samo je niz znakova. Kada Bob dobije taj niz, može ga pokazati nekome drugome: stekao je sposobnost dokazati tvrdnju drugima, što već zvuči kao više od „ničega”. Klasični teoremi tu intuiciju zaoštravaju u gore navedene rezultate nemogućnosti.

Mega-Sudoku verzija razlike

Evo namjerno pojednostavljenog načina da se razlika osjeti.

Za ozbiljni dio analogije nemojte uzeti običan Sudoku 9-na-9. Premalen je i previše konačan: računalo ga jednostavno može riješiti ili dokazati da nema rješenja. Umjesto toga zamislite obitelj zagonetki MegaSudoku(n). Uvećajte uobičajeno pravilo: odaberite veličinu bloka n, neka je N = n^2, i napravite mrežu N puta N podijeljenu u blokove n puta n, s N simbola. Obični Sudoku samo je maleni slučaj n = 3, N = 9: mreža 9-na-9, blokovi 3-na-3 i devet simbola. Priča iz teorije složenosti dokaza počinje tek kada n smije rasti i kada mreža može nositi dodatne gadgete zbog kojih se ponaša kao SAT formula prerušena u Sudoku. SAT formula samo je popis da/ne ograničenja: možete li varijablama dodijeliti true/false vrijednosti tako da su sva ograničenja zadovoljena?

Svjedoka je i dalje lako zamisliti. Alice zna potpuno valjano popunjavanje mega-Sudokua. Bob želi biti uvjeren da takvo popunjavanje postoji, ali Alice ga ne želi otkriti. Ako pošalje cijelu mrežu, Bob je uvjeren, ali tajna je nestala.

U klasičnoj zero-knowledge verziji Alice i Bob komuniciraju. Jedan stari mentalni model koristi pokrivene pločice. Alice skriva riješenu mrežu, potajno preimenuje simbole prije svakog kruga i Bobu dopušta provjeru jednog nasumično odabranog lokalnog ograničenja: retka, stupca, bloka ili gadgeta. Ako otvorena polja sadrže sve različite simbole, Bobovo povjerenje raste. Zatim se sve ponovno pokrije, a simboli svježe preimenuju. (Postoji jedna kvaka: zadani tragovi trebaju dodatni trik jer preimenovanje skriva i njih. Bilješka ispod objašnjava kako klasični protokoli to rješavaju; pojednostavljena slika dovoljna je za ono što slijedi.)

To nije protokol iz rada. To je mentalni model klasičnog zero-knowledgea:

• Alice i Bob komuniciraju naprijed-natrag.
• Bob bira nasumične provjere.
• Alice otkriva samo lokalnu konzistentnost, ne cijelo rješenje.
• Dokaz privatnosti radi tako da se pokaže kako je Bobov pogled mogao biti generiran bez Alicina tajnog rješenja.

Klasični zero-knowledge zato se gradi oko pozitivne činjenice:

Simulator stvarno postoji.

Sada uklonite ugodne dijelove. Alice pošalje jedan dokaz i ode. Nema pouzdanog setupa, nema zajedničkog nasumičnog niza pripremljenog unaprijed, a Bob nikada ne smije prihvatiti lažnu zagonetku. To je okruženje u kojem klasični zero-knowledge ne može preživjeti.

Prije trika treba još jedan lik. Fiksirajte pravilnik: formalni dokazni sustav u logičkom smislu — fiksni skup aksioma i mehaničkih pravila za provjeru pisanih matematičkih dokaza. ZFC, standardni aksiomi matematike, kanonski je primjer. Sve što slijedi navodi se relativno prema unaprijed odabranom pravilniku, a izbor je fleksibilan: konstrukcija radi za bilo koji pravilnik koji fiksirate, uključujući ZFC.

(Napomena o terminima, prema samom radu: „proof system” ovdje uvijek znači taj pravilnik — formalni sustav koji provjerava matematičke dokaze — a nikada poruke koje Alice šalje. Alicin i Bobov mehanizam zovu se „prover” i „verifier”.)

Gödelovska verzija zadržava priču o mega-Sudokuu, ali mijenja dokaz.

Odaberite drugi sustav ograničenja iste prikazane veličine i nazovite ga D. U priči su S i D dva MegaSudoku(n) problema u istom formatu. U pozadini je D možda nastao iz teške logičke formule druge veličine; po potrebi se može nadopuniti bezopasnim lažnim ograničenjima kako bi stao u istu mrežu. D je izgrađen iz logičke formule koja je stvarno nezadovoljiva: ne postoji dodjela vrijednosti koja zadovoljava sva njezina ograničenja, kao što pokvarena zagonetka nema legalno popunjenu mrežu. Jednostavan primjer bila bi formula koja zahtijeva i „X je istinit” i „X je neistinit”. Dakle, D nema valjano rješenje.

Ali D ne smije biti pokvarena zagonetka koju je lako razotkriti. Gornji jednostavni primjer ne valja: svaki pravilnik opovrgava „X i ne-X” u jednom retku. D mora biti lažan na način koji odabrani pravilnik ne može potvrditi kratkim argumentom. Kada bi pravilnik mogao opovrgnuti D kratkim dokazom, priča ispod bi propala: alternativni put koji bi možda proizveo dokaze bez Alicine tajne mogao bi se formalno isključiti, a s njim i jamstvo privatnosti. Zato se D bira iz obitelji koju fiksni pravilnik ne može učinkovito opovrgnuti: u tom pravilniku nema kratkog dokaza da D nema rješenje.

Alicin jednoporukovni dokaz tada govori o disjunkciji:

ili stvarni mega-Sudoku S ima rješenje, ili mamac D ima rješenje.

To je logička veza. D nije generiran nekim čarobnim načinom koji čini S istinitim. Dokaz ne tvrdi „D nema rješenje, stoga S ima rješenje”. Dokazuje disjunkciju S ili D. Savršena zvučnost kaže da lažna disjunkcija ne može imati valjan dokaz. Budući da je D u stvarnosti lažan — nema rješenje — jedini način da disjunkcija bude istinita jest da je S istinit. Ako se dokaz prihvati, S mora imati rješenje. Mamak ne može lažni S pretvoriti u istiniti.

Ali za dio nalik zero-knowledgeu pitajte što bi se dogodilo da D ima rješenje. To rješenje mamca bilo bi alternativni svjedok. Omogućilo bi nekome proizvesti dokaze bez poznavanja Alicina pravog rješenja mega-Sudokua — drugim riječima, simulator. U stvarnosti D nema rješenje, pa je taj put simulatora zatvoren. Poanta je da pravilnik ne može učinkovito dokazati da je zatvoren.

D dakle ima dva posla. Za zvučnost, D je lažan, pa valjan dokaz „S ili D” prisiljava S. Za effectively zero-knowledge, D je teško opovrgnuti, pa pravilnik ne može brzo isključiti mamac koji bi simulaciju učinio mogućom.

Sigurnosni test više nije:

Možemo li dokazati da simulator stvarno postoji?

Postaje:

Može li vaš pravilnik učinkovito dokazati da je simulator nemoguć?

Ako je odgovor ne, slijedi nešto iznenađujuće snažno: svako sigurnosno jamstvo koje (a) možemo opažati izvođenjem testa i (b) unutar pravilnika dokazivo slijedi iz postojanja simulatora, zapravo vrijedi. Uspješan napad na bilo koje od njih sam bi predstavljao nedostajuće kratko opovrgavanje, a takvog kratkog opovrgavanja nema. To je „effective” u effectively zero-knowledgeu.

Kontrast za učionicu glasi:

Klasični zero-knowledge: dokazi su sigurni jer simulator postoji.

Gödelovski effectively zero-knowledge: dokazi se za opažljive sigurnosne testove tretiraju kao sigurni jer pravilnik ne može učinkovito dokazati da je simulator nemoguć.

Druga tvrdnja je slabija. Upravo zato rad može zadržati tri značajke koje su slomile klasičnu verziju: jednu poruku, bez setupa i savršenu zvučnost.

Novi test: ne možete dokazati da simulator nedostaje

Ilangovo slabljenje definicije mijenja pitanje.

Klasični zero-knowledge pita:

Postoji li simulator?

Effectively zero-knowledge pita nešto slabije:

Može li vaš odabrani pravilnik učinkovito dokazati da simulator ne postoji?

To zvuči kao tehničko izvlačenje, ali to je središnja ideja. Konstrukcija živi u čudnom stanju: simulator u stvarnosti ne postoji — rad je oko toga izričit — ali fiksirani pravilnik ne može učinkovito dokazati da ne postoji. Ako bi svaka loša posljedica koja vas zanima zahtijevala upravo takvo opovrgavanje, sustav se za te posljedice i dalje ponaša kao zero-knowledge.

Tu ulazi Gödel. Ne kao ukras i ne kao „Gödel čini kriptografiju sigurnom”. Veza je dokazno-teorijska. Pravilnik se naziva optimalnim ako je, u preciznom smislu, najbolji mogući: kad god neki pravilnik može opovrgnuti formulu relevantne vrste kratkim dokazom, optimalni to može također, dokazom najviše polinomno duljim. Krajíček i Pudlák 1989. postavili su pretpostavku da ne postoji optimalan dokazni sustav: koji god pravilnik fiksirate, neki drugi pravilnik neke obitelji istinitih tvrdnji dokazuje mnogo sažetije. To je jedna od središnjih otvorenih pretpostavki teorije složenosti dokaza i konačni, složenostni rođak Gödelova teorema nepotpunosti: neke istinite tvrdnje nemaju kratak dokaz u pravilniku koji ste fiksirali — ne zato što ih je načelno nemoguće dokazati, nego zato što svaki fiksni pravilnik ostavlja neke kratke istine bez kratkih dokaza.

Rad pretpostavlja tu hipotezu, u malo jačem obliku „infinitely often”, standardnom kada se pretpostavke koriste kriptografski. Dobitak, prema teoremu Krajíčeka i Pudláka, konkretan je: za svaki pravilnik postoji niz formula koje su stvarno nezadovoljive, a koje pravilnik ne može opovrgnuti kratkim dokazima — i, presudno, koje učinkovit algoritam može generirati. To posljednje svojstvo, uniformnost, pretvara ideju iz tvrdnje o postojanju u stvarni algoritam koji Alice može pokrenuti: njezini mamci D izlaze s proizvodne trake, ne iz ničega.

Kriptografski potez je iskoristiti taj nedostatak dokazne moći.

Što konstrukcija radi

Evo konstrukcije rada, svedene na oblik.

Fiksirajte pravilnik — recimo ZFC. Pod pretpostavkom iz složenosti dokaza postoji učinkovito generabilan niz formula koje su stvarno nezadovoljive, ali pravilnik nema kratke dokaze njihove nezadovoljivosti.

Sada izgradite jednoporukovni dokaz oblika:

ili je stvarna tvrdnja zadovoljiva, ili je ova posebna teška formula zadovoljiva.

Posebna teška formula nije zadovoljiva. Ako je temeljni dokazni mehanizam savršeno zvučan, prihvaćanje poruke zato i dalje znači da je stvarna tvrdnja istinita. To daje savršenu zvučnost.

Ali za sigurnost nalik zero-knowledgeu zamislite da je posebna teška formula zadovoljiva. Tada bi se njezin svjedok mogao koristiti za simuliranje dokaza bez poznavanja pravog svjedoka. Formula u stvarnosti nije zadovoljiva — ali pravilnik to ne može učinkovito dokazati. Zato ne može učinkovito dokazati da je simulator nemoguć.

To je ključ. Sustav ne skriva tajnu proizvodnjom klasičnog simulatora. Za veliku klasu opažljivih sigurnosnih testova skriva je iza nesposobnosti pravilnika da potvrdi odsutnost simulatora.

Što rad tvrdi

Glavni teorem dolazi u slojevima. Jezgra rezultata je ova:

Pod standardnom kriptografskom pretpostavkom — postojanjem neinteraktivnih witness-indistinguishable dokaza, dobro proučenih objekata koji slijede iz više ustaljenih skupova pretpostavki — i pod pretpostavkom teorije složenosti dokaza da ne postoji (infinitely often) optimalan dokazni sustav, rad za svaki izbor pravilnika konstruira jednoporukovni prover i verifier za NP/SAT s perfect soundness, bez setupa, koji je effectively zero-knowledge relativno prema tom pravilniku. (NP/SAT je standardni „najteži zajednički nazivnik” problema nalik zagonetkama; mega-Sudoku samo je jedan kostim.)

Za širu tvrdnju o očuvanju provjerljivih sigurnosnih svojstava rad dodaje još jednu standardnu pretpostavku, derandomizacijsku hipotezu P = BPP — grubo, da slučajnost algoritmima ne daje bitnu dodatnu moć.

Prevedeno iz jezika teorema:

• Dokaz je jedna poruka.
• Nema pouzdanog setupa.
• Lažne tvrdnje ne mogu se dokazati.
• Prover nije klasični zero-knowledge — nema simulator.
• Ali svaka falsificabilna, na sigurnosnoj igri utemeljena posljedica klasičnog zero-knowledgea može se postići u tom okruženju.

„Falsificabilno” je važno. To znači da se sigurnosni neuspjeh može testirati pokretanjem protivnika u igri. Mnoge kriptografske definicije sigurnosti imaju taj oblik: može li protivnik razlikovati dvije šifrirane poruke, invertirati funkciju, pronaći svjedoka ili pobijediti u određenom eksperimentu? Teorem daje prover za svako falsificabilno svojstvo, jedno po jedno. Jedan prover koji bi istodobno imao svako falsificabilno svojstvo vjerojatno je nemoguć — stari napad ponovne uporabe („Bob može pokazati dokaz drugima”) i sam je falsificabilno svojstvo, a ovdje doista ne vrijedi. Prijedlog rada jest da jedan prover vjerojatno može pokriti sva prirodna falsificabilna svojstva — ona koja se stvarno pojavljuju u kriptografskoj praksi — ali taj je dio uvjetni teorem koji se oslanja na neformalnu ideju „prirodnog”, uz izričitu dodatnu pretpostavku. Jamstvo cilja opažljive neuspjehe, ne svako filozofsko ili simulacijsko značenje tajnosti.

Vrijedi imenovati jednu konkretnu posljedicu: konstrukcija daje prve neinteraktivne witness-hiding dokaze s uniformnim proverom — „dokaz da zagonetka ima rješenje ne pomaže vam pronaći to rješenje”, bez interakcije i bez setupa — objekt skromnog zvuka koji je desetljećima odolijevao konstrukciji.

Što ovo ne kaže

Ovo je dio koji čuva poštenje teksta.

Ne kaže da su stari teoremi nemogućnosti bili pogrešni. Konstrukcija ih zaobilazi promjenom definicije.

Ne daje obični, klasični zero-knowledge bez interakcije, setupa i uz savršenu zvučnost. Rad izričito kaže da konstruirani prover nema simulator.

Ne znači da se dokaz ne može ponovno koristiti. Jednoporukovni dokaz i dalje se može pokazati drugome; rad ne čuva svojstva nalik poricanju. (I neinteraktivni zero-knowledge s pouzdanim setupom ima isto ograničenje.)

Ne znači da je ovo praktičan protokol spreman za primjenu. Ovo su teorija složenosti i temelji kriptografije. Rezultat ovisi o velikim pretpostavkama iz složenosti dokaza i kriptografije, a konstrukcija govori o tome što je načelno moguće.

Ne čini „Gödela” čarobnim sigurnosnim primitivom. Veza s Gödelom ide kroz dokazne sustave, optimalne dokazne sustave i konačne analogije nepotpunosti. Korisna intuicija nije „nepotpunost štiti vašu lozinku”. Ona glasi: ako pravilnik ne može učinkovito dokazati da je simulator nemoguć, tada se napadi koji bi zahtijevali takav dokaz mogu blokirati na razini sigurnosnih definicija.

Zašto je ipak zanimljivo

Kriptografija često pretvara težinu problema u sigurnost. Faktorizacija je teška, pa pretpostavke nalik RSA-u postaju korisne. Problemi na rešetkama su teški, pa postaje korisna kriptografija na rešetkama. Ovdje je težina čudnija: ne „teško je izračunati tajnu”, nego „teško je dokazati da određeni dokazni objekt ne može postojati”.

Zato rad djeluje neobično. Aksiome i pravilnike tretira gotovo kao kriptografske resurse. Uobičajena nemogućnost kaže da postoji napetost između zvučnosti i simulacije. Ilangov potez stavlja tu napetost iza dokazno-teorijske zavjese: simulator nedostaje, ali formalni sustav ne može učinkovito razotkriti njegovu odsutnost.

Za čitatelja iznenađenje nije da će ovo zamijeniti današnje zero-knowledge sustave. Vjerojatno neće, barem ne izravno. Iznenađenje je da se ograničenje iz matematičke logike može koristiti konstruktivno: ne samo kao zid nego kao svojevrsno zaklonjeno mjesto.

Koliko su dokazi jaki?

Ovo je rad s teoremima, pa „dokazi” znače nešto drugo nego u biologiji ili astronomiji. Pitanje nije je li eksperiment repliciran. Pitanje je podupiru li definicije, pretpostavke i lanac dokaza tvrdnju.

Dokaz je formalan, a rad otvoreno navodi pretpostavke. One nisu usputne. Neinteraktivni witness-indistinguishable dokazi standardni su objekti u kriptografiji i slijede iz više etabliranih skupova pretpostavki. Pretpostavka da ne postoji optimalan dokazni sustav središnja je pretpostavka složenosti dokaza. P = BPP standardna je derandomizacijska hipoteza koja se koristi samo za širi teorem o falsificabilnim svojstvima.

Rad također tvrdi da su pretpostavke prava cijena, a ne proizvoljna skela: dokazuje obrat koji pokazuje da su u bitnom smislu nužne — ako konstrukcije poput ove uopće postoje, moraju postojati neinteraktivni witness-indistinguishable dokazi i, uz standardne jednosmjerne funkcije, ne može postojati optimalan dokazni sustav. Pretpostavke su i „win-win”: njihovo opovrgavanje samo po sebi bilo bi veliko otkriće u složenosti dokaza, kriptografiji ili teoriji složenosti.

Ali budući da je rezultat uvjetan, i povjerenje je uvjetno. Ako pretpostavke ne vrijede, mijenja se interpretacija teorema. A čak i ako vrijede, jamstvo nije potpuni klasični zero-knowledge; to je opuštena, dokazno-teorijska verzija iz rada.

Zato je ispravno imati visoko povjerenje da rad uspostavlja koherentan uvjetni rezultat mogućnosti; umjereno da njegove pretpostavke opisuju kriptografski svijet u kojem stvarno živimo; i nisko za neposredne praktične posljedice.

Zašto je to važno

Rad otvara put koji je trebao biti zatvoren.

Klasična teorija kaže: puni zero-knowledge ne može biti jedna poruka bez setupa i ne može imati savršenu zvučnost. Ilangov rad kaže: ako tražimo posljedice zero-knowledgea koje se mogu testirati u sigurnosnim igrama i ako dopustimo da sigurnosna definicija ovisi o tome što pravilnik može ili ne može učinkovito opovrgnuti, tada se velik dio korisnog ponašanja može vratiti — s jednom porukom, bez setupa i sa savršenom zvučnošću.

To nije mala promjena definicije. To je drukčiji način razmišljanja o kriptografskim jamstvima. Umjesto da pitate samo što postoji, pitajte što vaš pravilnik može isključiti. Umjesto da nedokazivost tretirate kao filozofsku smetnju, upotrijebite je kao strukturu.

Praktični se svijet možda neće promijeniti sutra. Ali konceptualna karta mijenja se. Sada postoji formalan smisao u kojem „nitko ne može učinkovito dokazati da je tajna procurila” može biti dovoljno snažno da vrati mnoge zaštite iz sigurnosnih igara koje smo željeli od „tajna nije procurila”.

Zato Gödel pripada naslovu.

Sažetak bez ukrasa

Zero-knowledge dokazi omogućuju dokazivaču da uvjeri provjeravatelja da je tvrdnja istinita bez otkrivanja svjedoka. Klasični rezultati nemogućnosti kažu da se zero-knowledge ne može stisnuti u jednu poruku bez setupa i ne može imati savršenu zvučnost. Rad Rahula Ilanga ne opovrgava te nemogućnosti. Definira slabiji pojam, effectively zero-knowledge: umjesto zahtjeva da simulator stvarno postoji, traži da odabrani dokazni sustav — formalni pravilnik poput ZFC-a — ne može učinkovito dokazati da simulator ne postoji. Pod velikim pretpostavkama iz kriptografije (neinteraktivni witness-indistinguishable dokazi) i složenosti dokaza (ne postoji optimalan dokazni sustav), rad konstruira jednoporukovne provere za NP/SAT bez setupa i sa savršenom zvučnošću koji ostvaruju falsificabilne, na sigurnosnim igrama utemeljene posljedice zero-knowledgea, svojstvo po svojstvo. Jedan prover koji bi pokrivao sva „prirodna” takva svojstva daljnje je, djelomično konjekturalno proširenje — a pokriti doslovno svako falsificabilno svojstvo vjerojatno je nemoguće jer se dokazi i dalje mogu ponovno koristiti. Rezultat je teorijski i uvjetan, ne gotov kriptografski primitiv, ali pokazuje novi način korištenja dokazno-teorijske nedokazivosti kao kriptografskog resursa.

Provjera bez uljepšavanja

Što rad pokazuje: Pod navedenim pretpostavkama mogu se izgraditi jednoporukovni, bez-setup, savršeno zvučni proveri za NP/SAT koji su effectively zero-knowledge relativno prema bilo kojem odabranom dokaznom sustavu i koji ostvaruju svaku falsificabilnu posljedicu klasičnog zero-knowledgea definiranu sigurnosnom igrom.

Što je vjerojatno, ali nije bezuvjetno dokazano: Da potrebne pretpostavke iz složenosti dokaza i kriptografije vrijede. Ozbiljne su i dobro proučene — a rad pokazuje da su u bitnom smislu i nužne i dovoljne — ali i dalje su pretpostavke.

Što ne pokazuje: Klasični zero-knowledge bez interakcije, setupa i uz savršenu zvučnost; praktičan sustav spreman za uporabu; mogućnost poricanja ili nemogućnost ponovne uporabe dokaza; niti da Gödelov teorem nepotpunosti sam po sebi čini kriptografiju sigurnom.

Glavna ograničenja: Jamstvo je slabljenje zero-knowledgea; najšira verzija ovisi o više pretpostavki; tvrdnje o jednom univerzalnom proveru ostaju djelomično konjekturalne; rezultat je prije svega temeljan.

Koliko povjerenja treba imati opći čitatelj? Visoko da je ovo važan uvjetni teorijski rezultat ako se prihvate definicije. Umjereno da pretpostavke odgovaraju stvarnosti. Nisko za neposrednu praktičnu uporabu. Siguran zaključak glasi: rad ne ruši nemogućnosti zero-knowledgea; pronalazi novi dokazno-teorijski put oko njihovih dijelova koji su važni u mnogim sigurnosnim igrama.