NotesNotes要点

• Anonymous credentials lack device binding, risking credential cloning.
• Existing efficient binding uses pairing-friendly curves, incompatible with legacy phone P256 hardware.
• Three constructions bridge P256 to pairing curves with different trade-offs.
• Fastest: ~1.5KB proof, <500ms, using simple arithmetic circuit.
• Circuit-free: ~500ms but ~175KB proof.
• Designed with reductions of knowledge framework for modular security analysis.

• 匿名凭证虽保护隐私但缺乏设备绑定，易被克隆或分享
• 现有高效设备绑定方案依赖配对友好曲线，与旧手机P256硬件不兼容
• 本文提出三种方案桥接P256与配对曲线，性能各异
• 最快方案证明大小约1.5KB，耗时<500ms，依赖简单算术电路
• 无电路方案同样约500ms但证明大小175KB
• 采用知识归约框架设计，便于模块化安全分析和实现

• 匿名クレデンシャルにはデバイスバインディングがなく、クレデンシャルのクローニングのリスクリがあります。
• 既存の効率的なバインディングはペアリングフレンドリーな曲線を使用しており、レガシーなP256ハードウェアとは互換性がありません。
• 3つの構成がP256とペアリング曲線をつなぎますが、それぞれトレードオフが異なります。
• 最速: シンプルな算術回路を使用し、証明サイズ約1.5KB、時間<500ms。
• 回路不要: 証明サイズ約175KBですが、時間約500ms。
• モジュラーセキュリティ解析のために知識フレームワークの還元を考慮して設計されています。