可验证不经意伪随机函数

公钥说“钥匙把 $G$ 变成了 $K$”；求值响应则说“同一钥匙把 $U$ 变成了 $V$”。DLEQ证明让这两句话共享一个隐含标量，而不发送标量本身。组合系数把当前公钥与点对装进RFC规定的上下文，单元素时仍不能删掉这一层后拿标准证明直接比较。

Fiat–Shamir理路Fiat–Shamir 变换Fiat–Shamir transform · Fiat–Shamir heuristic用哈希输入与承诺生成挑战，把公开币交互证明转化为非交互证明或签名。将随机挑战换成包含公开陈述和两个临时点的哈希。验证器并不是从一个点解出私钥，而是检查响应能否重建当初被挑战绑定的同一份记录。

一份64字节证明如何重放 ​

RFC Appendix A.3.2.1仍使用输入单字节 00，但模式改变后派生钥匙、盲点和输出都改变。公开钥匙与线上点为

K = 03e17e70604bcabe198882c0a1f27a92441e774224ed9c702e51dd17038b102462
U = 02dd05901038bb31a6fae01828fd8d0e49e35a486b5c5d4b4994013648c01277da
V = 0209f33cab60cf8fe69239b0afbcfcd261af4c1c5632624f2e9ba29b90ae83e4a2
c = e7c2b3c5c954c035949f1f74e6bce2ed539a3be267d1481e9ddb178533df4c26
s = 64f69d065c604a4fd953e100b856ad83804eb3845189babfa5a702090d6fc5fa

参考程序计算的组合系数为

d = 46968348700845572112859460244973300238657689773219820355681679294538105038972

重建的两个临时点是

T2 = 036b6b7568a58a57a28e5064a81bfcf3ec929d4adba5b89d6959e34b4382d32815
T3 = 0365c79ae57490f9b1cc35f9ddfd94518a904ff09157cd30eaa0e4b8c73c30c318

五个带长度的33字节点，加九字节 Challenge，共184字节。验证通过后得到

0412e8f78b02c415ab3a288e228978376f99927767ff37c5718d420010a645a1

不要要求它等于模式0的输出：两个模式的哈希域已经不同。公开测试用私钥和随机数仅用于复算，不能复用为线上秘密。

真实改变验收责任 ​

保持同一个请求 $U$ 和客户端固定的 $K$，让服务器用另一非零钥匙 $k^{\prime }$ 回答 $V^{\prime }=k^{\prime }U$。基本OPRF能去盲并得到某个函数值；本页验证器则不能接受服务器为 $k^{\prime }G$ 生成的证明。若客户端把固定公钥也一并替换成 $k^{\prime }G$，证明可再次通过，但它检查的是另一个函数。

单元素的零系数不是一个可忽略不写的代码分支：$d=0$ 会使 $M=N=O$，当前响应关系消失。参考器用可注入的散列桩触达这个分支，确认明确报错；此桩只用于测试，不替代实际HashToScalar。截短证明、$c\ge q$、非曲线响应、错模式或错本地请求同样不能输出结果。

证明随机数不得复用。两条不同挑战下若用了同一个 $a$，有 $s=a-ck$、$s^{\prime }=a-c^{\prime }k$，从公开记录即可得到

标准向量中重复公开随机数方便对照；它们同时公开私钥，属于测试资料，不是随机数管理的示范。

两响应提取证明了什么 ​

固定 $K,M,N,T_2,T_3$，若两个不同挑战 $c\ne c^{\prime }$ 都有合法响应 $s,s^{\prime }$，相减得到

由于 $q$ 为素数，非零 $c^{\prime }-c$ 可逆，上述 $k$ 同时满足 $K=kG,N=kM$；再因 $d\ne 0$，推出 $V=kU$。这是同一首消息下的特殊可靠性，不是从一份线上证明提取私钥的算法。

交互式诚实验证者模拟也可以直接构造：先均匀选 $c,s\in {\mathbb{F}}_q$，按验证式生成 $T_2,T_3$，若 $T_2=O$ 就重抽。对真关系，映射 $a=s+ck$ 是双射，条件 $T_2\ne O$ 正好等于 $a\ne 0$；因此所得完整记录与非零 $a$ 的真实分布相同，期望抽样次数为 $q/(q-1)$。这里模拟的是交互均匀挑战，非交互哈希版本还需要随机预言机编程等模型，不能直接套用同一句结论。

错误关系在理想挑战下的逐查询界 ​

考虑一个单独、明确的模型：不同挑战字节串得到独立随机384位整数，再模 $q$；组合系数等其他接口可以自适应调用，但挑战接口与它们域分离。一次挑战的最大点概率为

对任何固定错误关系 $K=kG,N=nM$，有 $k\ne n$。这里只在证明中写离散对数，验证程序不求它。将任意固定临时点写为 $T_2=aG,T_3=bM$，接受等式要求

因此在一次全新挑战查询发生之前，它的字节串至多有一个能使这份错误关系成功的挑战值。即使攻击者自适应形成每次新陈述，条件于此前视图，该次命中概率仍至多 $\eta$。若它最多作 $Q_H$ 次挑战查询，最后再提交一份证明，则由并集界，错误关系接受概率至多

加一覆盖最终提交从未查询过的挑战字节串。重复查询不会提供新的独立机会。这个小定理证明指定理想挑战模型下的关系可靠性；它既不证明客户端输入隐藏，也不证明服务器函数伪随机，更不自动成为现实SHA-256的定理。

安全范围、费用与终点 ​

RFC9497 §7.2.1对其协议变体明确保留多钥匙/批处理的分析边界。本页只执行单公钥单元素，不把上述关系界扩成完整多会话协议定理。原JKK14协议的sid、理想功能和双哈希输入另有规定；引用原论文时应保持这些条件。[3]

验证阶段不依赖原消息长度：计算种子和系数后，用两次标量乘得到 $M,N$，再用四次标量乘及两次点加恢复临时点，最后散列固定长度记录。参考 finalize_verified 还重新计算本地请求、做去盲和Finalize，需额外计哈希到曲线、两次标量乘、一次标量逆及 $O(|x|+1)$ 字节工作。每次倍加乘法的位数和仿射求逆成本沿用OPRF页；Python实现不满足秘密运算常时要求。

终点任务：逐字重放上面证明；在固定公钥下替换服务器钥匙，确认没有Finalize输出；然后连同公钥一起换掉，说明它为何再次通过而没有认证原身份。最后对两个合法点对复用一次公开教学随机数，计算泄出的 $k$，并解释为何“每份证明单独都有效”不能保护复用随机数。完整任务见盲求值与公钥核验练习。