¿Por qué no ha habido un algoritmo de cifrado basado en los problemas conocidos de NP-Hard?

La mayor parte del cifrado actual, como el RSA, se basa en la factorización de enteros, que no se cree que sea un problema NP-hard, pero pertenece a BQP, lo que lo hace vulnerable a las computadoras cuánticas. Me pregunto, ¿por qué no ha habido un algoritmo de cifrado basado en un problema NP-hard conocido? Parece (al menos en teoría) que sería un mejor algoritmo de encriptación que uno que no es NP-hard.

La peor dureza de los problemas NP-completos no es suficiente para la criptografía. Incluso si los problemas de NP completo son difíciles en el peor de los casos ( ), aún podrían resolverse eficientemente en el caso promedio. La criptografía supone la existencia de problemas intratables de caso promedio en NP. Además, demostrar la existencia de problemas difíciles de promediar en NP utilizando el supuesto es un problema abierto importante.P ≠ N $P \ne NP$$P \ne NP$

Una lectura excelente es el clásico de Russell Impagliazzo, A Personal View of Average-Case Complexity , 1995.

Una excelente encuesta es la complejidad de casos promedio de Bogdanov y Trevisan, Fundamentos y tendencias en informática teórica vol. 2, no 1 (2006) 1–106

Ha habido.

Un ejemplo de ello es el criptosistema McEliece, que se basa en la dureza de decodificar un código lineal.

Un segundo ejemplo es NTRUEncrypt, que se basa en el problema de vector más corto que creo que se sabe que es NP-Hard.

Otro es el criptosistema de mochila Merkle-Hellman que se ha roto.

Nota: No tengo idea si los dos primeros están rotos / qué tan buenos son. Todo lo que sé es que existen, y los obtuve haciendo una búsqueda en la web.

Puedo pensar en cuatro obstáculos principales que no son completamente independientes:

• La dureza NP solo le brinda información sobre la complejidad en el límite . Para muchos problemas de NP completo, existen algoritmos que resuelven todas las instancias de interés (en un determinado escenario) razonablemente rápido. En otras palabras, para cualquier tamaño de problema fijo (por ejemplo, una "clave" dada), el problema no es necesariamente difícil solo porque es NP-difícil.
• La dureza NP solo considera el peor de los casos. Muchas, incluso la mayoría de todas las instancias, pueden ser fáciles de resolver con los algoritmos existentes. Incluso si supiéramos cómo caracterizar las instancias difíciles (afaik, no lo hacemos), todavía tendríamos que encontrarlas.
• $2^{n(n-1)}$$n$$n$
• Necesitas algún tipo de reversibilidad. Por ejemplo, cualquier número entero se describe de manera única por su factorización prima. Imagen que desearíamos usar TSP como método de cifrado; dados todos los recorridos más cortos, ¿puedes (re) construir el gráfico del que provienen de manera única?

Tenga en cuenta que no tengo experiencia en criptografía; estos son meramente algorítmicos resp. objeciones teóricas de complejidad.

La criptografía de clave pública tal como la conocemos hoy se basa en permutaciones de trampillas unidireccionales , y la trampilla es esencial.

Para que un protocolo sea público seguro, necesita una clave disponible para todos y una forma de cifrar un mensaje con esta clave. Obviamente, una vez encriptado, debería ser difícil recuperar el mensaje original conociendo solo su cifrado y la clave pública: el cifrado solo debe ser descifrable con alguna información adicional, es decir, su clave privada.

Con eso en mente, es fácil construir un sistema criptográfico primitivo basado en cualquier permutación de trampilla unidireccional.

1. Alice le da la permutación unidireccional al público, y mantiene la trampa para ella sola.
2. Bob puso su entrada en la permutación y transmitió la salida a Alice.
3. Alice usa la trampilla para invertir la permutación con la salida de Bob.

$\mathsf{P} \ne \mathsf{NP}$ , por lo que probar que una función es unidireccional es intratable.

$\mathsf{P} \ne \mathsf{NP}$$\mathsf{NPI}$$\mathsf{NP}$$\mathsf{NP}$$\mathsf{NPI}$$\mathsf{NP}$

$\mathsf{NP}$$\mathsf{NP}$$\mathsf{NP}$

Solo para dar un argumento heurístico, basado en la experiencia práctica.

Casi todas las instancias, de casi todos los problemas de NP completo, son fáciles de resolver. Hay problemas en los que esto no es cierto, pero son difíciles de encontrar, y es difícil estar seguro de que tienes esa clase de sonido.

Esto ha surgido en la práctica varias veces cuando las personas intentan escribir generadores de problemas aleatorios para alguna clase famosa de NP completo, como Programación de restricciones, SAT o Vendedor ambulante. En una fecha posterior, alguien encuentra un método para resolver casi todas las instancias que el generador aleatorio produce trivialmente. Por supuesto, si ese fuera el caso de un sistema de cifrado, ¡estaríamos en serios problemas!

Los criptosistemas Merkle-Hellman se basan en problemas de mochila binarios (suma de subconjuntos).