Algorytmy transformacji wielomianowych i ich zastosowania

Transmisja rozgłoszeniowawany przez jednostkę GC blok aktywujący ma następującą postaćT = [x 0 , x v , x v+1 , . . . , x m−1 ; e (r) , e (ry 0 ) , e (ry 1 ) , . . . , e (ry m−1 )] , (8.3)gdzie r ∈ K\{0} wybrano w sposób losowy. Następnie GC rozgłasza blok aktywującyT oraz kryptogram E (S, M). Użytkownik odtwarza komunikat M z kryptogramuE (S, M) przy pomocy klucza sesyjnego S, który oblicza na podstawie bloku aktywującegoT i swojego klucza prywatnego. Kluczem sesyjnym może być dowolnyklucz wielomianowy, tzn. można przyjąćS = e(ra i0 )e(ra i1 ) · · · e(ra it ), 0 i 0 < i 1 < . . . < i t m.W literaturze rozpatrywano do tej pory przypadki, gdy S = e(ra 0 ) [Naor i Pinkas,2000] oraz S = e(ra m ) [Kogan i Tassa, 2006].W celu odtworzenia wielomianowego klucza sesyjnego S można korzystać ze wzoru( rp (i) ) ⎛(0)e (ra i ) = e= e ⎝ ri! i!m∑z kk=i⎛d idx ik−1 ∏⎝j=0⎞⎞(x − x j ) ⎠⎠∣ x=0(8.4)otrzymanego przez zróżniczkowanie i razy wzoru interpolacyjnego Hermite’a w postaciNewtonam∑p(x) =k−1 ∏z kk=0 j=0(x − x j ), z k = p[x 0 , x 1 , . . . , x k ]. (8.5)Odtworzenie klucza S = e(ra i0 )e(ra i1 ) . . . e(ra it ) ze wzoru (8.4) przy założeniach,że dysponuje się jedynie blokiem aktywującym T i kluczem prywatnym użytkownikaK U = (x m , p (x m )) i, że nie jest możliwe znalezienie funkcji odwrotnej do e, jest zadaniemekstremalnie trudnym, a nawet niewykonalnym w klasie dopuszczalnych funkcjie. Z drugiej strony jest jasne, że może to być wykonalne w przypadku, gdy prawąstronę wzoru (8.4) da się zapisać w postaci funkcji o 2m−v+4 zmiennych wymienionychw bloku T i kluczu K U , dla której istnieją efektywne algorytmy obliczania jejwartości. Na przykład ma to miejsce w przypadku zastosowanej w w modelach [Naori Pinkas, 2000] i [Kogan i Tassa, 2006] funkcji wykładniczej, której bezpieczeństwozależy od trudności rozwiązania decyzyjnego problemu Diffiego-Helmana [Menezesi inni, 2005].79