Entscheidung über DDH anhand von Teilinformationen

Die Entscheidung über die Diffie-Hellman-Entscheidung , kurz DDH, ist ein bekanntes Problem in der Kryptographie. Die DDH-Annahme gilt für eine zyklische Gruppe $(G,*)$ der (Haupt-) Ordnung $q$ , wenn für einen Generator $g \in G$ und für zufällig ausgewählte $a,b,c \in$ \ mathbb {Z} _q $$ die folgenden Paare gelten sind nicht zu unterscheiden (für probabilistische Polyzeitalgorithmen):

• Typ 1: $(g,g^a,g^b,g^{ab})$
• Typ 2: $(g,g^a,g^b,g^{c})$

Nehmen wir nun an, dass $G$ eine Gruppe ist, für die DDH schwierig ist, und betrachten Sie die folgende informelle Frage:

Kennen wir einen probabilistischen Poly-Time (PPT) -Algorithmus, der ein Diffie-Hellman-Paar zusammen mit einigen Teilinformationen über $a$ (z. B. $a$ ist ungerade) erhält und korrekt ausgeben kann, ob das Eingabepaar "Typ 1" ist? oder "Typ 2" (mit nicht zu vernachlässigender Wahrscheinlichkeit)?

Mit Teilinformationen meine ich eine Zeichenfolge $z$ , so dass bei gegebenem $z$ und einem Diffie-Hellman-Paar kein PPT-Algorithmus $a$ mit nicht zu vernachlässigender Wahrscheinlichkeit berechnen kann .

Es ist möglich, die obige Frage zu formalisieren. Da die erforderliche Notation jedoch langwierig ist, versuche ich, eine Analogie zu verwenden.

Eine berühmte, nicht standardmäßige kryptografische Annahme heißt Knowledge-of-Exponent (KEA).

$q$$g$$g^a$$(C,C^a)$$A$$c$$g^c = C$

$a$$(C,C^a)$$c$$g^c = C$

$a$$b$

Ein bisschen formeller (aber immer noch nicht vollständig formal):

$(G,*)$$q$$f(\cdot)$$a$$b$$c$$\mathbb{Z}_q$$z=f(a)$$X = ab$$X=c$

$(q,g,g^a,g^b,g^X,z)$$a$$b$

Angesichts der neuesten Formulierung Ihrer Frage scheint dies unmöglich zu sein. Stellen Sie sich den Fall vor, in dem Sie (Familien von) zyklischen Gruppen und , in denen und wir eine bilineare Karte . Unter der XDH-Annahme können wir annehmen, dass DDH in und diskretes Protokoll in schwierig ist .$\mathbb{G}$$\mathbb{H}$$\mathbb{G} \ne \mathbb{H}$$e: \mathbb{G} \times \mathbb{H} \to \mathbb{T}$$\mathbb{G}$$\mathbb{H}$

Sei ein Generator von und ein Generator von . Definieren Sie dann als .$g$$\mathbb{G}$$h$$\mathbb{H}$$f : \mathbb{Z}_{|\mathbb{G}|} \to \mathbb{H}$$f(a) = h^a$

Wenn nun gegeben ist , können wir leicht bestimmen, ob indem wir . (Sie können auf ähnliche Weise auch die Richtigkeit von überprüfen, wenn Sie möchten.) Es ist jedoch unwahrscheinlich, dass ein Extraktor oder aus einem solchen Tupel extrahieren kann . Das Extrahieren von entspricht offensichtlich dem diskreten Protokoll; Wenn es eine Verzerrungskarte von nach gibt (es kann keine in die andere Richtung geben), entspricht das Extrahieren von dem diskreten Protokoll (in ).$(g, g^a, g^b, g^X, z=f(a)=h^a)$$X = ab$$e(g^b, z) \overset{?}= e(g^X,h)$$z$$a$$b$$b$$\mathbb{H}$$\mathbb{G}$$a$$\mathbb{H}$