Chứng minh rằng $F'(k, x) := F(F(k, 0^{n}), x)$ là một PRF

Tôi muốn thực hành một số bằng chứng về giảm thiểu bảo mật, và tôi không hiểu điều này từ cuốn sách Boneh-Shoup.

Nếu $F(k, x)$ là một PRF an toàn, sau đó chỉ ra rằng $F'(k, x) := F(F(k, 0^{n}), x)$ là một PRF an toàn.

Những gì tôi có cho đến nay là:

Giả sử $F'$ là không an toàn, với một distingisher $D'$. Điều này có nghĩa rằng $F$ cũng không an toàn, với một dấu phân biệt $D$. bây giờ tôi sẽ hiển thị cấu trúc $D$ sử dụng $D'$.

1. $D$ nhận chìa khóa, $k$.
2. $D$ bắt đầu chạy $D'$.
3. Bất cứ khi nào $D'$ truy vấn lời tiên tri của nó trên một tin nhắn $x \leftarrow \lbrace0,1\rbrace^{n}$, cho $x$ đến $D$, tính toán $y:= O(x)$, ở đâu $O$ Là $D$lời tiên tri. Sau đó gửi $F(F(k, y), x)$ đến $D'$.
4. Xuất bất cứ thứ gì $D'$ đầu ra.

Điều này có nghĩa rằng:

trước [$D'^{F'}(1^{n}) = 1] =$ trước [$D^{F}(1^{n}) = 1]$ và Pr[$D'^{r}(1^{n}) = 1] =$ trước [$D^{r}(1^{n}) = 1]$, ở đâu $r$ là một hàm ngẫu nhiên. Cũng,

$|$trước$[D^{F}(1^{n}) = 1] - Pr[D^{r}(1^{n}) = 1]| > $ bỏ bê($n$)

Theo giả định. Tuy nhiên, kể từ $F$ là một PRF, đây là một mâu thuẫn, vì vậy $F'$ là một PRF. $\square$

Liệu bằng chứng này có ý nghĩa? Tôi có cảm giác mình đã định nghĩa sai $D$, nhưng tôi không chắc lắm. Cảm ơn vì bất kì sự giúp đỡ!