Starke und schwache Einwegfunktionen

Transkript

1 Starke ud schwache Eiwegfuktioe Daiela Weiberg Semiar: Perle der theoretische Iformatik Dozete: Prof. Johaes Köbler, Olaf Beyersdorff Witersemester 2002/ Dezember 2002 Schwache Eiwegfuktioe impliziere starke Eiwegfuktioe Wir wolle zeige, daß die Existez vo schwache Eiwegfuktioe die Existez vo starke Eiwegfuktioe impliziert. Aber zuächst überlege wir us, daß icht jede schwache Eiwegfuktio ubedigt eie starke Eiwegfuktio ist. Dazu betrachte wir folgedes Beispiel: Sei z = x ud sei f eie Eiwegfuktio, die o.b.d.a. lägeerhalted ist. D.h. fx) = x. Nu kostruiere wir eie Fuktio g wie folgt: { z, fx)) z begit mit log2 x Nulle. gz, x) = z, x) sost Die Fuktio g ka keie starke Eiwegfuktio sei, da für alle außer eiem Teil der Zeichekette der Läge 2 die Fuktio mit der Idetitätsfuktio gleich ist. Nu beweise wir, daß g eie schwache Eiwegfuktio ist. Behauptug.. Sei f eie schwache) Eiwegfuktio. Da ist die Fuktio g, wie obe kostruiert, eie schwache Eiwegfuktio. Beweis. Betrachte wir die Fuktio g geauer. Ivertiere wir g u auf solche Eigabe, so daß g icht mit der Idetitätsfuktio zusamme trifft, müsse wir us ur Gedake über die Ivertierug vo f mache. Mit eier Wahrscheilichkeit vo mehr als wird g mit Eigabe der Läge größer als 2 ivertiert. Somit muß g also mit eier hohe Wahrscheilichkeit auf Eigabe ivertiert werde, wo sie die Fuktio f awedet. We g also keie schwache Eiwegfuktio ist, so ist f es auch icht. Werde wir jetzt etwas kokreter: wir ehme us eie probabilistische i Polyomialzeit arbeitede Algorithmus B her, der die Fuktio g ivertiert. Nu kostruiere wir och eie weitere probabilistische i Polyomialzeit arbeitede Algorithmus A, der f mit eier ähliche Erfolgswahrscheilichkeit ivertiert. Bei der Eigabe vo y macht der Algorithmus A u folgedes:

2 Schwache Eiwegfuktioe impliziere starke Eiwegfuktioe 2 setze def = y setze l def = log 2 wähle gleichverteilt ei z aus {0, } l bereche z def = B 0 l z, y) stoppe mit Ausgabe des bit Suffixes vo z Defiiere wir u och eie Mege S 2, die alle 2 bit lage Zeichekette ethalte möge, die gerade mit log 2 Nulle afage: def S 2 = {0 log2 α : α i{0, } log2} Somit köe wir us folgedes überlege: Pr[A fu )) f fu ))] Pr[B 0 l U l, fu )) 0 l U l, f fu ))] = Pr[B gu 2 ) g gu 2 )) U 2 S 2 ] Pr[B gu 2 ) g gu 2 ))] Pr[U 2 / S 2 ] Pr[U 2 S 2 ] = Pr[B gu 2 ) g gu 2 ))] )) = Pr[B gu 2 ) g gu 2 ))]) Hieraus sehe wir, daß für us ur der Fall iteressat ist wo Pr[B gu 2 ) g gu 2 ))] > gilt. Eie kurze Amerkug och zu de Umformuge: Pr[A B] = Pr[A B] Pr[B] Pr[A B] Pr[A] Pr[ B] ud Es folgt u folgedes für jedes Polyom p ) ud jede gaze Zahl : we B die Fuktio g auf gu 2 ) mit eier Wahrscheilichkeit größer als p2) ivertiert, so ivertiert auch A die Fuktio f auf fu ) mit eier Wahrscheilichkeit größer als p2). Nehme wir jetzt a, daß g keie schwache Eiwegfuktio ist. Das hieße also, daß für jedes Polyom p ) uedlich viele m s existiere müsse, so daß g auf gu m ) mit eier Wahrscheilichkeit vo mehr als pm) erfolgreich ivertiert werde ka. Da wäre auch f keie schwache Eiwegfuktio, da es da für jedes Polyom q ) uedlich viele s gebe müßte, so daß f auf fu ) mit eier Wahrscheilichkeit vo mehr als q) erfolgreich ivertiert werde ka, wobei q) = p2)/. Das steht aber im Widerspruch zu userer Aahme, daß f eie schwache Eiwegfuktio ist! Was habe wir u gezeigt? So es de Eiwegfuktioe gibt, gibt es schwache, die keie starke Eiwegfuktioe sid. Somit köe wir also ausschließe, daß alle Eiwegfuktioe starke Eiwegfuktioe sid. Im weitere Verlauf wolle wir u zeige, daß folgedes gilt.

3 2 Schwache Eiwegfuktioe existiere geau da, we starke Eiwegfuktioe existiere3 2 Schwache Eiwegfuktioe existiere geau da, we starke Eiwegfuktioe existiere Theorem 2.. Schwache Eiwegfuktioe existiere geau da, we starke Eiwegfuktioe existiere. Beweis. Sei f u eie schwache Eiwegfuktio ud sei p gerade das Polyom, welches wir bei der Defiitio vo schwache Eiwegfuktioe eigeführt habe. Jeder probabilistische i Polyomialzeit arbeitede Algorithmus ivertiert falsch. Weiterhi ehme wir a, daß f lägeerhalted ist. Wir defiiere u die Fuktio g wie folgt: f auf fu ) mit eier Wahrscheilichkeit vo midestes p) gx,..., x t) ) def = fx ),..., fx t) ) wobei gilt: x = = x t) = ud t) def = p). Wir zerlege also die 2 p) bit lage Eigabe vo g i t) Blöcke ud wede f auf jede Block a. Demach müsse wir u um die Fuktio g auf gx,..., x t) ) zu ivertiere praktisch das pre-image zu jedem fx i ) fide. Wir köe u folger, daß g eie starke Eiwegfuktio ist ud wir eie Ivertierugsalgorithmus habe, der separat für jedes fx i ) agesetzt arbeitet. Wäre dies der Fall, ist die Wahrscheilichkeit dafür, daß der Algorithmus erfolgreich alle fx i ) ivertiert, höchstes ) p) < 2. p) Die Aahme, daß der Algorithmus, welcher usere Fuktio g ivertiert, uabhägig für jedes fx i ) arbeitet, ka icht gerechtfertig werde. Daher müsse wir us dem Problem aders äher. Der Beweis wird wie folgt aussehe: Als erstes ehme wir a, daß usere Fuktio g keie starke Eiwegfuktio ist. Es existiert also ei i Polyomialzeit arbeiteder Algorithmus, der g mit eier icht ubedeutede Wahrscheilichkeit ivertiert. Wir werde eie Algorithmus agebe, der für uedlich viele die Fuktio f auf fu ) mit ivertiert gaz im Widerspruch zu userer Hypothese). Der Ivertierugsalgorithmus vo f utzt gerade de Ivertierugsalgorithmus vo g als eie Uterfuktio. eier Wahrscheilichkeit größer als p) Wir ehme ja a, daß g keie starke Eiwegfuktio ist. Daher gilt folgedes: Es gibt eie Algorithmus B ud ei Polyom q ), so daß gilt: Pr[B gu m )) g gu m ))] > qm), )

4 2 Schwache Eiwegfuktioe existiere geau da, we starke Eiwegfuktioe existiere4 wobei B der probabilistische i Polyomialzeit arbeitede Algorithmus zur Ivertierug vo g ist. Noch ei paar Festleguge: sei M eie uedliche Mege vo atürliche Zahle, sei N eie uedliche Mege vo s für die gilt 2 p) M. Somit sid also alle m s der Form 2 p). Uter der Beutzug vo B bilde wir u also eie i polyomieller Zeit arbeitede Algorithmus A, der a) mal wiederholt wird, zum Ivertiere vo f. Dabei setze wir a) def = 2 2 p) q 2 p)). A arbeitet mit folgeder Prozedur: wiederhole a) mal: Prozedur I : Iput: y setze def = y ). 2: for i = to t) do 3: wähle uabhägig ud gleichverteilt eie Sequez vo Strigs der Form x,..., x t) {0, } 4: bereche z,..., z t) ) B fx ),..., fx i ), y, fx i+ ),..., fx t) )) 5: we fz i ) = y, da stoppe ud gebe z i aus 6: ed for Zusamme mit der Gleichug ) köe wir us u eie utere Greze für die Erfolgswahrscheilichkeit useres Algorithmuses A überlege. Vorerst müsse wir allerdigs och eie Mege defiiere. Nee wir sie S. Sie möge alle bit Zeichekette ethalte, welche die Prozedur I mit eier Wahrscheilichkeit vo mehr als S def = a) zum Erfolg führt. { x {0, } : P r[ifx)) f fx))] > } a) Nu wolle wir zeige, daß usere Mege S alle, aber höchstes 2p) viele, Teilmege vo Zeichekette der Läge N ethält. Für jede Zeichekette x S ivertiert user Algorithmus A die Fuktio f auf fx) mit eier Wahrscheilichkeit, die expoetiell ahe ist. Behauptug 2.. Es gilt für jedes x S P r[a fx)) f fx))] > 2 Beweis. Aus der Defiitio der Mege S folgt, daß die Prozedur I die Fuktio fx) mit eier Wahrscheilichkeit vo midestes a) ivertiert. Da der Algorithmus A die Prozedur I a) mal wiederholt, folgt u P r[a fx)) / f fx))] < ) a) < a) 2 2)

5 2 Schwache Eiwegfuktioe existiere geau da, we starke Eiwegfuktioe existiere5 Behauptug 2.2. Für jedes N gilt: S > ) 2 2p) Beweis. Nehme wir a, es gelte im Gegesatz zur der obe geate Gleichug folgedes: S ) 2 2p) Wir versuche u eie Widerspruch zu userer Gleichug 2) zu fide. Es sei: s) def = Pr[B gu 2 p))) g gu 2 p)))] > q 2 3) p)) Seie U ),..., U p)) bit lage Blöcke der Zufallsvariable U 2 p), d.h. diese U i) sid uabhägige Zufallsvariable gleichverteilt auf {0, }. Nu zerlege wir das Ereigis beschriebe durch die Gleichug 2.2) i zwei disjukte Ereigisse. Diese etstehe dadurch, idem wir zum eie die U i) s betrachte die i S liege ud zum adere ebe jee die icht i der Mege liege. Ituitiv köe wir sage, daß B i eiem solche Fall icht gut fuktioiere ka, da ebe dieser Fall mit der Erfolgswahrscheilichkeit vo I korrespodiert. Auf der adere Seite ist die Wahrscheilichkeit, daß alle U i) s i S liege recht gerig. Kokret defiiere wir folgedes: ud s ) def = Pr[B gu 2 p))) g gu 2 p))) i : U i) / S )] s 2 ) def = Pr[B gu 2 p))) g gu 2 p))) i : U i) S )] Offesichtlich gilt: s) = s ) + s 2 ) die Ereigisse i de s i s sid disjukt). Wir versuche u eie Widerspruch zur utere Schrake vo s) aufzustelle, idem wir obere Schrake für s ) ud s 2 ) agebe, die sich da zu weiger als s) addiere. Als erstes stelle wir eie obere Schrake für s ) auf. Richte wir user Augemerk auf die Prozedur I. I ivertiert ja f auf Eigabe fx) mit eier Wahrscheilichkeit, die vo dem Erfolg vo B zur Ivertierug vo g auf eier Sequez der zufällige f-bilder, die fx) beihalte, abhägt. Für jedes x {0, } ud jedes i p), ist die Wahrscheilichkeit, daß I die Fuktio f auf fx) ivertiert größer oder gleich der Wahrscheilichkeit, daß = x. Der Erfolg vo B g zu ivertiere, heißt, daß f auf dem i te Block ivertiert wurde ud trägt zur Erfolgswahrscheilichkeit vo I bei.) Es folgt u, daß für jedes x {0, } ud jedes i p): B g auf gu 2 p)) ivertiert. Dabei gilt U i) Pr[Ifx)) f fx))] Pr[B gu 2 p))) g gu 2 p))) U i) = x], 4) gilt. Da für x / S die like Seite icht groß werde ka, wolle wir zeige, daß s ) icht groß sei ka. Somit köe wir us u folgedes überlege:

6 2 Schwache Eiwegfuktioe existiere geau da, we starke Eiwegfuktioe existiere6 s ) = Pr[ i : B gu 2 p))) g gu 2 p))) U i) / S ] = p) i= p) i= p) i= p) i= p) i= Pr[B gu 2 p))) g gu 2 p))) U i) / S ] p) = 2 p) a) x/ S Pr[B gu 2 p))) g gu 2 p))) U i) = x] Pr[U i) x/ S = x] Pr[B gu 2 p))) g gu 2 p))) U i) = x] max x/ S {Pr[B gu 2 p))) g gu 2 p))) U i) max x/ S {Pr[Ifx)) f fx))]} a) = x]} Die letzte Ugleichug utzt die Defiitio vo S ud die davor utzt die Gleichug 2.2). Nu köe wir eie obere Greze für s 2 ) agebe. Erier wir us, daß usere Hypothese ja S 2p) ) 2 war. Es folgt also: s 2 ) Pr[ i : U i) S ] 2p) < 2 /2 < 2 p) a) ) p) Die letzte Ugleichug gilt für hireiched große.) Führe wir u usere obere Greze der s i s zusamme, erhalte wir s ) + s 2 ) < 22 p) a) = q 2 p)), wo Gleichheit ebe bei der Defiitio vo a) gilt. Auf der adere Seite gilt aber s )+s 2 ) = s) > q 2 p)), wo Ugleichheit wege der Gleichug 2.2 gilt. Wir habe also eie Widerspruch ud usere Behauptug folgt! Kombiiere wir u usere letzte beide Behauptuge, so erhalte wir folgedes:

7 3 Zusammefassug 7 P r[a fu )) f fu ))] P r[a fu )) f fu )) U S ] = P r[u S ] P r[a fu )) f fu )) U S ] ) 2 ) 2p) > p) Es muß also ei probabilistischer i polyomieller Zeit arbeiteder Algorithmus A existiere, der f auf fx), für N, mit eier Wahrscheilichkeit vo mehr als p) ivertiert. Diese Schlußfolgerug steht aber u gaz im Widerspruch zu der Hypothese, daß jeder probabilistische i polyomieller Zeit arbeitede Algorithmus mit eier Wahrscheilichkeit vo midestes p) bei der Ivertierug der Fuktio f scheitert. Somit folgt also usere Behauptug. 3 Zusammefassug Was habe wir de eigetlich im letzte Absatz gemacht? Wir habe bewiese, daß es schwache Eiwegfuktioe geau da gibt, we es auch starke Eiwegfuktioe gibt. Wir kostruierte us zu eier schwache Eiwegfuktio f eie i Polyomialzeit berechebare Fuktio g ud wollte später beweise, daß diese Fuktio eie starke Eiwegfuktio ist. Für diese Beweis utzte wir ei Reduzierbarkeitsargumet. Wir reduzierte also das Löse des eie Problems auf das Löse des adere. Da wir aber eie Prozedur utze, die das Problem ur für eie bestimmte Wahrscheilichkeit auf eier bestimmte Verteilug löst, spreche wir vo eiem Reduzierbarkeitsargumet ud icht vo eier Reduzierug im herkömmliche Sie. Literatur [] Goldreich, Oded. Foudatios of Cryptography, Cambridge Uiversity Press, 200.