<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Thu, Feb 23, 2017 at 5:31 PM, isis agora lovecruft <span dir="ltr"><<a href="mailto:isis@patternsinthevoid.net" target="_blank">isis@patternsinthevoid.net</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Schnorr notes in his original paper that "the protocol is not zero knowledge<br>
because the tripel" (W',R,C) "may be a particular solution to the equation"<br>
W' = g R + h C, however, with randomly chosen basepoints each time the<br>
protocol is run (i.e. the prover chooses a new g and h each time and sends<br>
these along with the proof), I don't see the issue.  (I might just be missing<br>
something obvious.)<br>
<br>
Another paper worth reading is (1988) "Zero Knowledge Proofs of Identity" by<br>
Feige, Fiat, and Shamir. [1]<br>
<br>
Hopefully that helps!</blockquote><div><br></div><div>Awesome, thanks for the pointers, Iris!</div><div> </div></div>-- <br><div class="gmail_signature" data-smartmail="gmail_signature">Tony Arcieri<br></div>
</div></div>