Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

(3) Für jeden probabilistischen polynomialen Algorithmus D, der für jedeendliche 0-1-Folge als Input den Wert 0 oder 1 ausgibt, und jedes positivePolynom P ∈[x] (d.h. P(a) > 0 für a > 0) gilt für genügendgroße n:|pr(D(G(x)) = 1| x ← Ω n ) − pr(D(z) = 1| z ← Ω l(n) )| < 1P(n)7.3 Bedeutung von Definition 7.2• Wir identifizieren im Folgenden G mit dem polynomialen Algorithmus,der G berechnet. Der Pseudozufallsfolgen-Generator soll also effizientsein.• Die Erweiterungsfunktion l beschreibt, dass der Algorithmus G aus 0-1-Folgen der Länge n (den ‘seeds’) 0-1-Folgen der (größeren) Länge l(n)produziert. Beachte: l(n) ist polynomial beschränkt, da G deterministischerpolynomialer Algorithmus.• Bedeutung von Bedingung (3):Ein Angreifer kann bei Einsatz eines beliebigen probabilistischen polynomialenAlgorithmus D die von G erzeugte Verteilung G(Ω n ) auf{0, 1} l(n) (bis auf einen vernachlässigbaren Rest) nicht von der Gleichverteilungauf {0, 1} l(n) , also Ω l(n) , unterscheiden.Beachte: Natürlich sind G(Ω n ) und Ω l(n) Wahrscheinlichkeitsräume mitunterschiedlicher Verteilung, denn G, als deterministischer Algorithmus,produziert aus den 2 n 0-1-Folgen in Ω n nur maximal 2 n verschiedene0-1-Folgen der Länge l(n). Also haben mindestens (2 l(n) − 2 n )0-1-Folgen der Länge l(n) unter der durch G erzeugten WahrscheinlichkeitsverteilungWahrscheinlichkeit 0. Dieser Unterschied lässt sichentsprechend der Def. mit beschränkten Ressourcen (d.h. probabilistischempolynomialem Algorithmus) nicht (d.h. in nicht vernachlässigbarerWeise) aufklären.• Ein möglicher Unterscheidungsalgorithmus D 1 könnte z.B. folgendermaßenaussehen:D 1 gibt 1 aus, falls Anzahl der Einsen größer als Anzahl der Nullen,sonst 0.Bei Anwendung auf Ω l(n) wird er mit Wahrscheinlichkeit 1 2 1 oder 0ausgeben. Wenn es in G(Ω n ) eine deutliche Abweichung der Gleichverteilungvon 1 und 0 in den Folgen gibt, so wird D 1 das erkennen.110