ít ở đây $a$ và $b$ nên được chọn từ $\mathbb{Z}^*_p$ và $r$ ở giữa $1$ và $p-1$ loại trừ
Trông như thế này, nó có vẻ liên quan trực tiếp đến vấn đề DDH, ít nhất là nếu có tồn tại một số $w$ như vậy mà một trong hai $a = b^w$ hoặc $b = a^w$. Đó là nếu ít nhất một trong số $a$ hoặc $b$ tạo ra nhóm con chứa nhóm kia nếu $p$ là một số nguyên tố an toàn [nếu cả hai đều là dư bậc hai/không dư hoặc tồn tại nếu không thì cái nào không phải là dư là một trình tạo], không chắc chắn về các trường hợp khác. Trong trường hợp này $a, b^{r'}, a^{r}$ tạo bộ ba DDH được tạo từ $b$ hoặc $b,a^r,b^{r'}$ tạo bộ ba DDH từ $a$. Trong trường hợp của bạn vấn đề DDH có khó không phụ thuộc vào việc lựa chọn $a$ và $b$. Nếu cả hai $a$ và $b$ tạo cùng một nhóm con với số nguyên tố lớn thì bài toán DDH được cho là khó trong máy tính cổ điển. Vì vậy, không có thuật toán cổ điển hiệu quả nào được biết đến trong trường hợp đó. Bài toán DDH có thể được giải với xác suất cao hơn đáng kể so với đoán ngẫu nhiên trong nhiều trường hợp khác. Chẳng hạn nếu cả hai $a$, $b$ không dư thừa modulo $p$ và trong số $a^r, b^{r'}$ một là dư bậc hai và một là dư không, bạn có thể nói rằng một trong $r,r'$ là số lẻ và số khác là số chẵn và do đó $r \neq r'$.
trong câu hỏi của bạn $a$ và $b$ được tạo ngẫu nhiên, vì vậy tôi có thể nói rằng nó có thể phân biệt được. Không phải trong mọi trường hợp nhưng có lợi thế trong các trường hợp tôi đã đề cập trước đó mà trong khoa học máy tính được coi là quan trọng được coi là không thể phân biệt được
Tôi không chắc chắn về trường hợp mà cả hai $a$ cũng không $b$ tạo ra nhóm con chứa nhóm kia bởi vì tôi không thể nghĩ ra cách liên hệ nó với DDH, ít nhất là không nằm trong đầu tôi. Cũng có thể có một số trường hợp phụ có lợi thế trong điều kiện đó
CẬP NHẬT:
Bạn đã tuyên bố rằng bạn đang cố gắng thiết kế một giao thức. Thứ nhất, sẽ không khôn ngoan khi thử làm như vậy nếu không có hiểu biết sâu sắc về mật mã học. Giả sử rằng toàn bộ bảo mật của hệ thống dựa vào điều này, thì bạn nên sử dụng một $g$ được sử dụng để tạo ra $a$ và $b$ trở thành một trình tạo của một nhóm con bậc nguyên tố lớn $q$ và lựa chọn $r,r'$ ở giữa $1$ và $q$ để đảm bảo rằng vấn đề DDH được phỏng đoán là khó trong các máy tính cổ điển. Hoặc sử dụng các nhóm EC thân thiện không ghép nối đã biết trong đó vấn đề DDH được phỏng đoán là khó về mặt kinh điển. Nhưng tôi vẫn không biết chi tiết về một giao thức. Và việc triển khai nó vẫn có các vấn đề như tấn công kênh phụ, v.v.
