Несколько дискретных логарифмов с нулевым разглашением

Но безопасно ли это?

Ну и знание $x_1 + x_2$ не означает, что вы тоже знаете $x_1$ или же $x_2$.

С другой стороны, если бы вы должны были доказать знание $r_1x_1 + r_2x_2$, для случайного (например, выбранного верификатором или случайным оракулом) $r_1, r_2$ значений, это было бы доказательством знания обоих $x_1, x_2$

Это можно сделать, расширив однократное доказательство с нулевым разглашением довольно простым способом:

• Доказывающий отправляет $g^v$ верификатору (для некоторого случайного $v$)

• Верификатор отправляет случайные $с, д$ доказывающему

• Доказывающий отправляет $r = v - cx_1 - dx_2$ верификатору

• Верификатор принимает, если $g^v = g^r (g^{x_1})^c (g^{x_2})^d$