Decidir DDH basado en información parcial

La suposición decisiva de Diffie-Hellman , o DDH en resumen, es un problema famoso en criptografía. La suposición DDH se mantiene en un grupo cíclico de orden (primo) , si es para un generador , y para aleatoriamente \ mathbb {Z} _q $$, los siguientes pares son indistinguibles (para algoritmos probabilísticos de poli-tiempo): $(G,*)$ $q$ $g \in G$ $a,b,c \in$

Tipo 1: $(g,g^a,g^b,g^{ab})$
Tipo 2: $(g,g^a,g^b,g^{c})$

Ahora, suponga que es un grupo en el que DDH es difícil, y considere la siguiente pregunta informal : $G$

¿Conocemos un algoritmo probabilístico de poli-tiempo (PPT), que obtiene un par Diffie-Hellman, junto con alguna información parcial sobre (por ejemplo, es impar), y puede generar correctamente si el par de entrada es "Tipo 1" o "Tipo 2" (con probabilidad no despreciable)? $a$ $a$

Por información parcial, me refiero a una cadena , de modo que dado y un par Diffie-Hellman, ningún algoritmo PPT puede calcular , con una probabilidad no despreciable. $z$ $z$ $a$

Es posible formalizar la pregunta anterior. Sin embargo, dado que la cantidad de notación requerida es tediosa, trato de usar una analogía.

Una suposición criptográfica no estándar famosa se llama Conocimiento del exponente (KEA).

Para cualquier adversario A que toma la entrada , , y vuelve , existe un "extractor" B , que da las mismas entradas como retornos tal que . $q$ $g$ $g^a$ $(C,C^a)$ $A$ $c$ $g^c = C$

Intuitivamente, se afirma que, puesto que el adversario no puede resolver logaritmo discreto para obtener , la única forma de salida un par es "saber" el exponente donde . $a$ $(C,C^a)$ $c$ $g^c = C$

Ahora, yo estoy haciendo una pregunta similar, basado en la DCC (en lugar de registro discreto): para distinguir "tipo 1" y "2" Tipo pares de Diffie-Hellman, debemos "saber" ya sea o ? $a$ $b$

Un poco más formal (pero aún no completamente formal):

Sea un grupo de primer orden , y sea una función arbitraria cuya longitud de salida es polinómica en la longitud de su entrada. Escoja , , y azar de , y dejar que . Lanza una moneda y deja que si el resultado es cara. De lo contrario, sea . $(G,*)$ $q$ $f(\cdot)$ $a$ $b$ $c$ $\mathbb{Z}_q$ $z=f(a)$ $X = ab$ $X=c$

Para cualquier adversario PPT A que tome datos y decida correctamente entre Tipo 1 y Tipo 2 con probabilidad no despreciable, existe un "extractor" PPT B , que toma la misma entrada que a , las salidas ya sea o (con probabilidad no despreciable). $(q,g,g^a,g^b,g^X,z)$ $a$ $b$

cr.crypto-security randomized-algorithms

— MS Dousti
fuente

eso es probablemente una respuesta trivial para una persona de cifrado, y no es específico para DDH bien, pero no lo hace Goldreich-Levin le dan un extractor como si el consejo es

, donde

es unvectoraleatorio

bit 0-1, y

se representan comovectores

-bit

(r, ⟨ r, a ⟩ + ⟨ r, b ⟩ (\mod 2))

$(r, \langle r, a\rangle + \langle r, b\rangle \pmod{2})$

r

$r$

n

$n$

a

$a$

b

$b$

n

$n$

— Sasho Nikolov

@ Sasho: Gracias por la sugerencia. Requiero que el extractor funcione para cualquier

, no para una específica. En otras palabras, dada cualquier información parcial, si

puede distinguir los pares,

debería poder extraer ...

z

$z$

A

$A$

B

$B$

— MS Dousti

Entonces estoy confundido acerca de lo que significa "información parcial". ¿Por qué

no puede ser

si y solo si

? Sonidos inverosímiles que se puede extraer

usando éste poco, pero seguramente se puede utilizar para distinguir entre los dos posibles distribuciones de entrada.

z

$z$

1

$1$

X = a b

$X = ab$

a

$a$

b

$b$

— Sasho Nikolov

@Sasho:

es información parcial sobre

, y no puede depender de

. Pero puede que tengas un punto allí. Cambié la pregunta, para que

pueda depender solo de

z

$z$

a

$a$

b

$b$

X

$X$

z

$z$

a

$a$

— MS Dousti

Dada la última formulación de su pregunta, esto parece ser imposible. Consideremos el caso en que tenga (familias) de grupos cíclicos y , en donde y tenemos un mapa bilineal . Bajo el supuesto de XDH podemos suponer que DDH es difícil en y del logaritmo discreto es difícil en . $\mathbb{G}$ $\mathbb{H}$ $\mathbb{G} \ne \mathbb{H}$ $e: \mathbb{G} \times \mathbb{H} \to \mathbb{T}$ $\mathbb{G}$ $\mathbb{H}$

Deje ser un generador de y sea un generador de . Luego defina como . $g$ $\mathbb{G}$ $h$ $\mathbb{H}$ $f : \mathbb{Z}_{|\mathbb{G}|} \to \mathbb{H}$ $f(a) = h^a$

Ahora dado , podemos determinar fácilmente si marcando . (También puede verificar de manera similar la corrección de si lo desea). Sin embargo, parece poco probable que un extractor pueda extraer $(g, g^a, g^b, g^X, z=f(a)=h^a)$ $X = ab$ $e(g^b, z) \overset{?}= e(g^X,h)$ $z$ o de tal tupla. Extraer es obviamente equivalente a un registro discreto; si hay un mapa de distorsión de a (no puede haber uno en la otra dirección), extraer equivalente es registro discreto (en ). $a$ $b$ $b$ $\mathbb{H}$ $\mathbb{G}$ $a$ $\mathbb{H}$

— mikero
fuente

Gran respuesta, gracias! Su respuesta me ayudó a centrarme más en lo que realmente quería: DDH, XDH y similares no proponen que la suposición correspondiente sea difícil para todos los grupos, sino que existen grupos en los que el problema asociado es difícil. Entonces, mi error fue que propuse mi suposición en un grupo general . Tengo que especificar el grupo (por ejemplo,

es un subgrupo cíclico de

de primer orden q), o exponer la suposición en una forma existencial: existe un grupo

, sobre el cual los resultados distintivos en la extracción. ¿Todavía me falta algo?

G

$G$

Z_{p}^{*}

$\mathbb{Z}_p^*$

(G, *)

$(G,*)$

— MS Dousti