โปรโตคอลการตัดกันชุดส่วนตัวที่ใช้ Diffie-Hellman ไม่สามารถผ่านการพิสูจน์การจำลองได้หรือไม่

กำหนดโปรโตคอล Private Set Intersection (PSI) ที่ได้รับความนิยมซึ่งอธิบายไว้ใน [1]:

• อลิซเลือกแบบสุ่ม $a$และส่ง $\{H(x_i)^{a}\bmod p\}| (i=1,...m)$ ถึงบ๊อบ
• บ๊อบเลือกแบบสุ่ม $ข$และส่ง $\{H(y_i)^{b}\bmod p\}| (i=1,...n)$ ถึงอลิซ
• อลิซคำนวณและส่ง $\{H(y_i)^{ba}\bmod p\}| (i=1,...n)$ ถึงบ๊อบ
• Bob คำนวณและส่ง $\{H(x_i)^{ab}\bmod p\}| (i=1,...m)$ ถึงอลิซ
• แต่ละฝ่ายคำนวณทางแยกในพื้นที่

คำถามที่ 1: ถ้า(มีโอกาสน้อยมาก)มีอยู่ $x_1$ และ $x_2$ นั่น $H(x_1)=H(x_2)^2\bmod p$แล้วบ็อบก็ค้นพบมันได้เพราะ $H(x_1)^a=(H(x_2)^a)^2\bmod p$. แน่นอนว่า Bob ไม่สามารถจำลองข้อมูลนี้ได้ หมายความว่าโปรโตคอลนี้ละเมิดความปลอดภัยกึ่งซื่อสัตย์หรือไม่?

ฉันได้พูดคุยกับเพื่อน ๆ บางคนกล่าวว่าสิ่งนี้ไม่ละเมิดความปลอดภัยกึ่งซื่อสัตย์เพราะมีโอกาส $H(x_1)=H(x_2)^2\bmod p$ เป็นเรื่องเล็กน้อย แต่ฉันคิดว่ามันเป็นเช่นนั้น เพราะในคำจำกัดความ 4.1ของบทช่วยสอนการพิสูจน์การจำลอง [2] การจำลองควรสำเร็จเสมอ และไม่ควรขึ้นอยู่กับอินพุต $\{x,y\}$.

คำถามที่ 2: ในโปรโตคอล PSI (รูปที่ 3) ของ [3] พวกเขาใช้ $H(H(x_i)+H(x_i)^{a})$ แทน $H(x_i)^{a}$ (โปรดสังเกตว่าโปรโตคอลยังคงถูกต้องหากใช้ $H(x_i)^{a}$) สิ่งนี้ดูเหมือนจะทำให้ประเด็นของฉันแข็งแกร่งขึ้น (โปรโตคอล DH-PSI ที่ไร้เดียงสาไม่สามารถพิสูจน์ได้) เพราะ $H(H(x_i)+H(x_i)^{a})$ จำลองได้ง่ายกว่า $H(x_i)^{a}$ . ความเข้าใจของฉันถูกต้องหรือไม่?

ขอบคุณ.

1. Huberman BA, Franklin M, Hogg T. การเพิ่มความเป็นส่วนตัวและความไว้วางใจในชุมชนอิเล็กทรอนิกส์[C]// ACM Conference on Electronic Commerce ACM, 2542:78-86
2. ลินเดลล์ วาย วิธีการจำลอง https://eprint.iacr.org/2016/046.pdf
3. Heinrich A, Hollick M, Schneider T และคณะ PrivateDrop: การรับรองความถูกต้องที่รักษาความเป็นส่วนตัวในทางปฏิบัติสำหรับ Apple AirDrop, USENIX'SEC 21