Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

teilung auf {0, 1} l(n) . D kann ˜p 0 und ˜p l(n) unterscheiden (im obigen Sinne).Sei pr(D(G(x)) = 1 | x ←− Ω n ) ≥ pr(D(z) = 1 | z ←− Ω l(n) ) (ansonstenbetrachte man im Folgenden die umgekehrten Differenzen).Man sieht dann leicht, dasspr(D(G(x)) = 1 | x ←− Ω n ) − pr(D(z) = 1 | z ←− Ω l(n) ) =∑ l(n)−1j=0(pr(D(z) = 1 | z ˜p j+1←− {0, 1} l(n) ) − pr(D(z) = 1 | z ˜p j←− {0, 1} l(n) )).Also existiert zu jedem n ∈ K ein i n , 0 ≤ i n < l(n), mit| pr(D(z) = 1 | z ˜p in+1←− {0, 1} l(n) ) − pr(D(z) = 1 | z ˜p in←− {0, 1} l(n) )| ≥1. Q(n)l(n)Beachte, dass l(n) durch ein positives Polynom nach oben beschränkt ist, daG ein polynomialer Algorithmus ist.Es folgt, dass D für z = (G(x) 1 , . . .,G(x) in , b, b in+2, . . .,b l(n) ) mit b =G(x) in+1 den Wert 1 mit nicht-vernachlässigbarer höherer Wahrscheinlichkeitliefert, als wenn b zufällig (mit Wahrscheinlichkeit 1 ) gewählt wird.2Damit kann man dann aus D leicht einen probabilistischen polynomialenAlgorithmus A konstruieren, so dass G den Next-Bit-Test bzgl. dieses Algorithmusnicht besteht. 36Offen bleibt die Frage: Gibt es kryptographisch sichere Pseudozufallsfolgen-Generatoren? Es stellt sich heraus, dass dies äquivalent zur Existenz sogenannterEinwegfunktionen ist.Einwegfunktionen sind Funktionen, die leicht zu berechnen, aber schwierigzu invertieren sind.7.7 DefinitionEine Funktion f : {0, 1} ∗ → {0, 1} ∗ heißt Einwegfunktion, falls gilt:(1) Es existiert ein deterministischer polynomialer Algorithmus F, der beiInput x ∈ {0, 1} ∗ den Wert f(x) ausgibt (d.h. F(x) = f(x)).(2) Für jeden probabilistischen polynomialen Algorithmus A und jedes positivePolynom P ∈[x] gilt für alle genügend großen n:pr(A(f(x), 1 n ) ∈f −1 (f(x)) |x ← Ω} {{ } n ) < 1P(n)Urbild von f(x)36 Ausführlicher Beweis bei Delfs, Knebl, Introduction to Cryptography [21], Goldreich,Foundations of Cryptography [24] oder Stinson, Cryptography-Theory and Practice [42]114