Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

a) Kryptographisch sichere Pseudozufallsfolgen-Generatoren ⇒ Einwegfunktionen:Wir nehmen der Einfachheit halber an, dass G ein kryptographischsicherer Pseudozufallsfolgen-Generator ist mit Erweiterungsfunktionl(n) = 2n.⋃Dann definiert man eine Funktion f : 1}n∈Æ{0, 2n →n∈Æ{0, ⋃ 1} 2ndurch f(x, y) = G(x) für x, y ∈ {0, 1} n .Dann erfüllt f die Bedingung einer Einwegfunktion:Polynomiale Berechenbarkeit folgt aus der von G.Ang. f ist keine Einwegfunktion. Dann existiert probabilistischer polynomialerAlgorithmus und positives Polynom Q, so dassfür unendlich viele n.pr(A(f(x), 1 2n ) ∈ f −1 (f(x))| x ← Ω 2n ) > 1Q(2n)Man benötigt jetzt einen probabilistischen polynomialen AlgorithmusD, der Ω 2n und G(Ω n ) ‘unterscheidet’.Bei Eingabe von α ∈ {0, 1} 2n nutzt D den Algorithmus A. D gibt 1aus, falls A ein Urbild von F zu α findet, sonst 0.Wegen f(Ω 2n ) = G(Ω n ) [denn für β ∈ {0, 1} 2n ist|{α ∈ {0, 1} 2n |f(α) = β}| = 2 n · |{γ ∈ {0, 1} n |G(γ) = β}|] istpr(D(G(x)) = 1|x ← Ω n ) =pr(D(f(z)) = 1|z ← Ω 2n ) =pr(A(f(z), 1 2n ) ∈ f −1 (f(z))|z ← Ω 2n ) > 1Q(2n)für unendlich viele n.Andererseits gibt es nur maximal 2 n viele Elemente in {0, 1} 2n , dieUrbilder unter f haben können (denn G hat nur 2 n viele Bilder in{0, 1} 2n ); also wird D nur bei maximal 2 n vielen Elementen aus {0, 1} 2nWert 1 ausgeben. Also pr(D(z) = 1| z ← Ω 2n ) ≤ 2n = 12 2n 2 nDamit: pr(D(G(x)) = 1| x ← Ω n ) − pr(D(z) = 1| z ← Ω 2n )≥ 1 − 1 ≥ 1 für unendlich viele n, Widerspruch.Q(2n) 2 n 2Q(2n)Man kann schließlich mit einfachen Techniken, auf die hier nicht eingegangenwird, aus f eine Funktion f ′ : {0, 1} ∗ → {0, 1} ∗ konstruieren,die eine Einwegfunktion ist. 3737 s. Goldreich [24], S. 36ff.116