Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

(a) Informationsverlust von f (d.h. f ist nicht injektiv)z.B. f(z 1 , . . .,z n ) = (0, z 2 , . . .,z n ), h(z 1 , . . .,z n ) = z 1(b) f ist EinwegfunktionWir sind am zweiten Fall interessiert.Tatsächlich kann man zu jeder Einwegfunktion eine eng mit dieser verwandteEinwegfunktion konstruieren, die ein Hard-Core-Prädikat besitzt:Satz (Goldreich, Levin; 1989)Sei f : {0, 1} ∗ ⋃→ {0, 1} ∗ eine Einwegfunktion.Definiere g : 1}n∈Æ{0, 2n → {0, 1} ∗ durch g(x, y) = (f(x), y), x, y ∈ {0, 1} n .Ist x = (x 1 , . . .,x n ), y = (y 1 , . . .,y n ), so sei h(x, y) = ∑ x i y i mod 2.Dann ist g eine Einwegfunktion und h ist ein Hard-Core-Prädikat für g. 38[Es ist nicht schwierig, aus g eine Einwegfunktion ˜g : {0, 1} ∗ → {0, 1} ∗ zukonstruieren, die ein Hard-Core-Prädikat besitzt.]Wir können also annehmen, dass wir eine Einwegfunktion f mit Hard-Core-Prädikat h vorliegen haben.Wir beschreiben die Konstruktion eines kryptographisch sicheren Zufallszahlen-Generatorsjetzt nur für den Fall, dass f eine bijektive und längenerhaltende(d.h. x ∈ {0, 1} n ⇒ f(x) ∈ {0, 1} n für alle n ∈Æ) Einwegfunktionist.Sei l ein Polynom mit l(n) > n für alle n.Definiere G auf folgende Weise: Sei s 0 ∈ {0, 1} n ein Input für G (seed).Für j = 1, . . ., l(n) sei s j = f(s j−1 ).Definiere nun G(s 0 ) = (h(s 1 ), . . .,h(s l(n) )) ∈ {0, 1} l(n) .Wir zeigen, dass G ein kryptographisch sicherer Pseudozufallsfolgen-Generatorist.Dies beweist man, indem man nachweist, dass G alle Next-Bit-Tests besteht(und zwar von rechts nach links!).Angenommen, man kann bei zufällig und gleichverteiltem ‘seed‘ s 0 ∈ {0, 1} nfür unendlich viele n die Bits h(s in ) (für mindestens ein i n ∈ {1, . . ., l(n)})aus h(s in+1), . . .,h(s l(n) ) mit einer Wahrscheinlichkeit > 1 + 1 (für ein festespositives Polynom Q)2 Q(n)vorhersagen.38 s. Goldreich [24], S. 66 ff.118