Score:0

การพิสูจน์ความแปรปรวนของ CDH นั้นยาก

ธง ke

อนุญาต $(\mathbb{G},q,p)$ เป็นกลุ่ม $\mathbb{G}$ ด้วยคำสั่งนายก $คิว$ และเครื่องกำเนิดไฟฟ้า $g$. สมมติว่า CDH ยากเมื่อเทียบกับการตั้งค่านี้ (กล่าวคือ ให้ $(g,g^a,g^b)$มันยากที่จะหา $ก^{ab}$).

ตอนนี้ให้พิจารณาสิ่งต่อไปนี้: สำหรับปฏิปักษ์เวลาแบบน่าจะเป็น-โพลิโนเมียล $\คณิตศาสตร์แคล{A}$, และให้ $(\mathbb{G},q,p)$เลือกแบบสุ่ม $a,b,c\in \mathbb{Z}_q$ และเรียกใช้ $\mathcal{A}(g,g^a,g^b,g^c)$. $\คณิตศาสตร์แคล{A}$ สำเร็จหากแสดงผลใด ๆ $g^{ab}, g^{ac}, g^{bc}$.

ฉันกำลังแสดงให้เห็นว่านี่ก็ยากเช่นกัน วิธีการที่ค่อนข้างชัดเจนคือการลดผลลัพธ์ที่เป็นไปได้สามประการซึ่งส่งผลให้ CDH ประสบความสำเร็จ ตัวอย่างเช่น: $g^{bc}$ เป็น CDH ทุกประการหากอินพุตเป็น $(g,g^b,g^c)$. อย่างไรก็ตาม ในกรณีนี้เรายังได้รับ $g^a$ นี่จึงไม่ใช่การจำลอง CDH ฉันได้ลองใช้วิธีอื่นแล้ว พยายามเลือก $ค$ เพื่อที่ฉันจะสามารถฟื้นตัวได้ $ก^{ab}$ มีความเป็นไปได้สูงไม่ว่ากรณีใดๆ ฉันมองไปที่ $g^c=g^{a+b}$ แต่ฉันไม่แน่ใจว่าจะไปได้อย่างไร $ก^{ab}$ จาก $g^{a^2+ab}$.

ความช่วยเหลือใด ๆ ที่ชื่นชมนี่ไม่ใช่การบ้าน

Daniel S avatar
ru flag
คำแนะนำ: สร้าง $x$ แบบสุ่ม; พลิกเหรียญ.ด้วยหัวให้พิจารณา $c=a+x$ และด้วยก้อยให้พิจารณาอย่างอื่น
yankovs avatar
ke flag
@DanielS เมื่อคุณเขียน c = a + x คุณหมายถึง c = a + x mod q?
Daniel S avatar
ru flag
ใช่ ในทำนองเดียวกัน ในความพยายามครั้งแรกของคุณ $a+b$ ควรพิจารณาเป็น $a+b\mod q$
yankovs avatar
ke flag
@DanielS สมมติว่าเราตั้งค่า $c=a+x$ เรารู้ $-x$ ด้วย (อาจใช้ $q-x$ ด้วย) ดังนั้นเราจึงสามารถลบ $bx$ ออกจาก $g^{ab+bx}$ หรือยกกำลังสองและรับ $g^{(a+x)^2}$ จาก $g^{a^2+ax}$ แต่เราไม่รู้ว่าเราได้ผลลัพธ์อะไร ฉันไม่แน่ใจจริงๆ ว่าสิ่งนี้นำเราไปที่ไหน
Daniel S avatar
ru flag
สองในสามของความสำเร็จที่เป็นไปได้จาก $\mathcal A$ จะนำไปสู่วิธีแก้ปัญหาสำหรับ CDH แต่ไม่มีวิธีที่น่าจะเป็นที่สอดคล้องกันสำหรับ $\mathcal A$ ที่จะส่งคืนคำตอบที่ไม่ช่วยเหลือเสมอไป
poncho avatar
my flag
ที่จริงแล้ว ถ้าเรามีวิธีที่น่าจะเป็นไปได้ซึ่งความน่าจะเป็นที่จะสำเร็จมีขอบเขตอยู่ห่างจากศูนย์ และเราสามารถกำหนดได้เมื่อความสำเร็จเกิดขึ้น เราก็ชนะ (อันที่จริง เรายังต้องทำให้แน่ใจว่าความน่าจะเป็นที่สำเร็จจะไม่ได้รับผลกระทบจากอัลกอริทึมที่ Oracle ใช้เพื่อ เลือกคำตอบที่จะให้) เราสามารถทำได้ (คำใบ้: ใช่)
poncho avatar
my flag
นอกจากนี้ยังมีวิธีการคำนวณ $g^{a^2}$ โดยเพียงแค่ส่ง $\mathcal{A}( g, g^a, g^a, g^a )$ (และ CDH สามารถลดปัญหานั้นได้) . อย่างไรก็ตาม Oracle อาจขัดขวางอินพุตที่ดูแปลก ๆ เช่นนั้น โซลูชันก่อนหน้านี้ที่ฉันเคยพยายามทำให้ฟังดูแข็งแกร่งขึ้น
kelalaka avatar
in flag
@poncho ทำไม oracle จะจำนวนมาก? เนื่องจากไม่สุ่ม? อาจจะเป็น $(a,b,1)$ และเราสามารถทดสอบผลลัพธ์ได้
kelalaka avatar
in flag
เราไม่รู้จริงๆหรอ? เรารู้ $a,c,x,$ แล้วเรารู้ $g^{\text{pair}}$

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา