Zero-Knowledge Proof Playground

สุ่มความลับ x (256 บิต) แล้วคำนวณ y = g^x mod p — เผยแพร่ได้แค่ y เท่านั้น (g = 2, p = จำนวนเฉพาะ 256 บิต, q = p−1)

สุ่ม r (nonce, ใช้ครั้งเดียวทิ้ง) แล้วส่ง t = g^r mod p ให้ผู้ตรวจ — จุดสำคัญ: ต้องคอมมิตก่อนเห็นคำท้าทาย

สุ่ม c (128 บิต) — ความสุ่มของผู้ตรวจนี่แหละที่บังคับให้ผู้พิสูจน์ต้องมี x จริง

คำนวณ s = (r + c·x) mod (p−1) — สังเกตว่าใน s มีทั้งความลับ x ปนอยู่ แต่กลับ "หัก r ออก" พอดี ทำให้เปิดเผยอะไรไม่ได้

ตรวจว่า gˢ ≟ t · yᶜ (mod p) — ถ้า s คำนวณจาก x จริง สมการจะออกมาเท่ากันเสมอ โดยไม่ต้องรู้ x เลย