Tính bảo mật của DDH với nhiều phiên bản?

filter hash

12:53, 23/12/2022

Để cho $G$ là một nhóm hữu hạn bậc nguyên tố $p$, và $g$ một máy phát điện của $G$. DDH chuẩn khó phân biệt 2 bản phối $$ \{ (g, g^a, g^b, g^{ab}) : a, b \leftarrow \mathbb{Z}_p\} \text{ và } \{ (g, g^a,g^{ b}, g^r): a, r \leftarrow \mathbb{Z}_p\}. $$

DDH vẫn an toàn với nhiều phiên bản? Đó là, có khó để phân biệt hai bản phân phối sau đây không? $$ \{ (g, g^a, g^{b_i}, g^{ab_i}) : a, b_i \leftarrow \mathbb{Z}_p\} \text{ và } \{ (g, g^a,g ^{b_i}, g^r) : a, r_i \leftarrow \mathbb{Z}_p\}. $$ Chúng tôi cũng giả sử rằng lực lượng của tập hợp, $|\{b_i\}|$, nhỏ hơn nhiều so với $p$ để tránh những trường hợp dễ dãi.

1 + 3

định nghĩa bảo mật

giả định độ cứng

filter hash

13:07, 23/12/2022

Có phải tự nhiên là do tính tự khử của DDH không?

Hồi đáp

Geoffroy Couteau

14:05, 23/12/2022

Đây có phải là bài tập về nhà không? Nếu có, bạn nên làm rõ nó.

Hồi đáp

filter hash

14:26, 23/12/2022

@GeoffroyCouteau Không. Không phải bài tập về nhà. chỉ là những điều tò mò

Hồi đáp

Điểm:4

Crypto

Yehuda Lindell

10:49, 24/12/2022

Điều này có thể được giải quyết thông qua một đối số lai tiêu chuẩn. Tôi sẽ không cung cấp cho bạn tất cả các chi tiết. Tuy nhiên, lưu ý rằng với một bộ dữ liệu duy nhất $(g,h_1,h_2,h_3)$ bạn có thể tạo một bộ dữ liệu có dạng $(g,g^a,g^{b_i},g^{ab_i})$ băng cach chọn $b_i$ và hình thành $(g,h_1,g^{b_i},h_1^{b_i})$ và bạn có thể tạo một bộ dữ liệu có dạng $(g,g^a,g^{b_i},g^r)$ băng cach chọn $b_i$ và hình thành $(g,h_1,g^{b_i},g^r)$. Điều này đủ để xây dựng các bản phân phối kết hợp khi cần thiết cho một đối số kết hợp.

0 + 1

filter hash

13:59, 24/12/2022

Cảm ơn bạn đã bình luận đầy hy vọng của bạn!

Hồi đáp

Phan Văn Trường

Câu hỏi này là trong các ngôn ngữ khác: