Свойство Groth16 (https://eprint.iacr.org/2016/260, стр. 8) неинтерактивный аргумент с нулевым разглашением основан на существовании симулятора $\text{Сима}$ создание «поддельных» доказательств для действительных утверждений $(\фи, ш) \в R$ без ведома свидетеля $w$ для заявления $\фи$.
У меня вопрос, существует ли для Groth16 симулятор $\text{Сим}'$ генерировать «фальшивые» доказательства для недействителен заявления $\фи'$, для которого нет свидетелей $w'$ с $(\фи', ш') \in R$ существуют. Формально удовлетворяет ли Groth16 следующему понятию?
Поддельное нулевое знание: Для всех $\lambda \in \mathbb{N}, (R, z) \gets \mathcal{R}(1^\lambda), (\phi, w) \in R$, все $\фи'$, и все противники $\mathcal{А}$: $Pr[(\sigma, \tau) \gets \text{Setup}(R); \pi \gets \text{Докажите}(R, \sigma, \phi, w): \mathcal{A}(R, z, \sigma, \tau, \pi) = 1] = Pr[(\sigma, \tau) \gets\text{Setup}(R); \pi \gets \text{Sim}'(R, \tau, \phi'): \mathcal{A}(R, z, \sigma, \tau, \pi) = 1]$
Будет полезен любой ответ, включая доказательство фальшивого нулевого знания Грота16 или других схем, определения похожих, но разных понятий или результат невозможности.
(Я пытаюсь сконструировать доказательство безопасности, где создание таких поддельных доказательств кажется необходимым. Я никогда не видел приведенного выше понятия, но мне кажется, что $\text{Сим}'$ должны существовать для некоторых схем.)
