读心术：从零知识证明中提取「知识」——探索零知识证明系列(6)

第三步：这时候Bob 会从随机数传送带上取得 c，并且将c发送给 Zlice。请注意这个c正好就是第一步中 Zlice 产生的c。

第四步：Zlice 将第三步产生的随机数 z发送给 Bob，Bob 按照 Schnorr 协议的验证公式进行验证，大家可以检查下，这个公式完美成立。

但区别是：
在「理想世界中」，Zlice 没有 sk；而在「现实世界中」，Alice 有sk在「理想世界中」，z是一个随机数，没有涉及sk；而在「现实世界中」，z的计算过程里面包含sk在「理想世界中」，Zlice 使用了超能力，替换了 Bob 的随机数；而在「现实世界中」，Alice 看不到 Bob 的随机数传送带，也无法更改传送带上的数字这里请大家思考下：Schnorr 协议中，Bob 在第二步发挑战数能不能和第一步对调顺序？也就是说 Bob 能不能先发挑战数，然后 Alice 再发送 R = r*G。
（两分钟后……）
答案是不能。
如果 Alice 能提前知道随机数，那么 （现实世界中的）Alice 就可以按照模拟器 Zlice 做法来欺骗 Bob。
再遇模拟器
其实，「可靠性」和「零知识」这两个性质在另一个维度上也是存在着一种对称性。可靠性保证了恶意的 Alice 一定失败，零知识保证了恶意的 Bob 一定不会成功。有趣地是，这种对称性将体现在模拟出来的「理想世界」中。