Por ejemplo, aquí está nuestra ecuación de verificación actual:

$$[A]_1\bullet[B]_2 \stackrel{?}= [\alpha]_1 \bullet [\beta]_2 + \sum_{i=1}^\ell a_i\Psi_i +  [C]_1\bullet G_2$$

Si ampliamos el término C bajo el capó, obtenemos lo siguiente:

$$[A]_1\bullet[B]_2 \stackrel{?}= [\alpha]_1 \bullet [\beta]_2 + \sum_{i=1}^\ell a_i\Psi_i + \underbrace{(\sum_{i=\ell+1}^m a_i[\Psi_i]_1 + h(\tau)t(\tau))}_C \bullet G_2$$

Supongamos por ejemplo y sin pérdida de generalidad que $\mathbf{a} = [1,2,3,4,5]$ y $\ell=3$. En ese caso, la parte pública del testigo es $[1,2,3]$ y la parte privada es $[4,5]$.

La ecuación final sería la siguiente:

$$[A]_1\bullet[B]_2 \stackrel{?}= [\alpha]_1 \bullet [\beta]_2 + (1\Psi_1+2\Psi_2+3\Psi_3)\bullet G2 + \underbrace{(4\Psi_4 + 5\Psi_5  + h(\tau)t(\tau))}_C \bullet G_2$$

Sin embargo, nada impide que el probador cree una parte válida del testigo público como [1,2,0] y mueva la parte pública eliminada a cero a la parte privada del cálculo de la siguiente manera:

$$[A]_1\bullet[B]_2 \stackrel{?}= [\alpha]_1 \bullet [\beta]_2 + (1\Psi_1+2\Psi_2+\boxed{0\Psi_3})\bullet G2 + \underbrace{(\boxed{3\Psi_3}+4\Psi_4 + 5\Psi_5  + h(\tau)t(\tau))}_C \bullet G_2$$

La ecuación anterior es válida, pero el testigo no necesariamente satisface las restricciones originales.

Por lo tanto, debemos evitar que el probador use $\Psi_1$ a $\Psi_{\ell}$ como parte del cálculo de $[C]_1$.


### Presentamos $\gamma$ y $\delta$

Un grupo no requiere que el inverso sea "calculable utilizando el operador binario de grupo" sólo para existir. Es decir, calculamos la inversa multiplicando cada elemento por $-1$ aunque la multiplicación por $-1$ no es una operación de grupo.

Si definimos nuestro operador para matrices $n veces m$ como el producto de Hadamard (multiplicación por elementos), este no puede ser un grupo por la misma razón discutida anteriormente. Específicamente, la inversa se calcula como el recíproco de cada elemento de la matriz, y si uno de los elementos es cero, entonces la inversa no se puede calcular.

En el código resultante anterior, podemos ver que $5$ también generará todos los elementos distintos de cero.

Por qué el prover no puede hacer trampa

## Pruebas sucintas de conocimiento cero con programas de aritmética cuadrática