Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

) Einwegfunktionen ⇒ kryptographisch sichere Pseudozufalls-Generatoren:Zunächst Begriff des Hard-Core-Prädikats einer Einwegfunktion.Bei einer Einwegfunktion f ist es so gut wie nicht möglich, ein Urbildx aus y = f(x) mit einem effizienten Algorithmus zu bestimmen.Dennoch tritt oft der Fall auf, dass einzelne Bits von x leichtzu berechnen sind. (Z.B. g Einwegfunktion; für x = (x 1 , . . .,x n ) seif(x, x n+1 ) = (g(x), x n+1 ). Dann f Einweg, aber x n+1 leicht zu bestimmen.)Andererseits können bei einer Einwegfunktion nicht alle Bits vonx aus f(x) leicht zu berechnen sein, denn sonst wäre x leicht zu berechnen.Welche Bits schwierig zu bestimmen sind, könnte allerdingsbei jedem x unterschiedlich sein. Jedenfalls ist es plausibel, dass es einegewisse Boolesche Funktion h : {0, 1} ∗ → {0, 1} gibt, so dass h(x) ausf(x) im Wesentlichen genauso schwierig zu bestimmen ist wie x, d.h.die Schwierigkeit, x aus f(x) zu bestimmen, manifestiert sich schon ineinem Bit h(x). Dies ist die Idee der Hard-Core-Prädikate.Def.:Sei h : {0, 1} ∗ → {0, 1} durch einen deterministischen polynomialenAlgorithmus berechenbar. h heißt Hard-Core-Prädikat einer Funktionf : {0, 1} ∗ → {0, 1} ∗ , falls für jeden probabilistischen polynomialenAlgorithmus A (Input Elemente aus {0, 1} ∗ , Output 0 oder 1) undjedes positive Polynom P für alle genügend großen n gilt:Bedeutung:pr(A(f(x)) = h(x)| x ← Ω n ) ≤ 1 2 + 1P(n)• Beachte zunächst:Die Bedingung pr(A(f(x)) = h(x)| x ← Ω n ) ≤ 1 + P(n) und die2entsprechende Bedingung für den Algorithmus A ′ = 1 + A implizieren,dass |pr(h(x) = 0| x ← Ω n ) − pr(h(x) = 1| x ← Ω n )|vernachlässigbar klein ist, d.h. h verhält sich fast wie Münzwurfauf Ω n .Daher besagt die Bedeutung von Hard-Core-Prädikaten, dass dieBestimmung von h(x) aus f(x) durch einen effizienten Algorithmusbis auf einen vernachlässigbaren Rest nicht besser ist als h(x)durch Münzwurf zu ‘raten’.• Für die Existenz eines Hard-Core-Prädikats kann es zwei Gründegeben:117