密码学-困难问题学习（更新中）

常见困难问题

在日常学习中，大家会发现很多密码学算法的安全性证明是通过规约到一个困难问题从而证明的。（本文就是记录我目前接触到的困难问题！）
首先介绍安全性证明的定义：

安全性证明就是在一个普通的攻击模型中，判定密码算法和所依赖的可信密码学算法问题之间的规约关系。如果算法的攻破（即攻击者赢）意味着某一在密码学中可信问题的解决，则说明该算法是安全的，即安全性得到证明。

概括一下，安全性证明只需假设：敌手能攻破现有方案，只要敌手能解决某一个困难性问题。然而，困难性问题目前是无法解决的。所以方案也就是安全的。

1.大整数因数分解问题

问题概述：
1.给定两个素数p,q，计算两数的乘积n是容易的；
2.给定大整数n，求n的素因子p,q却是非常困难的。
典型应用：RSA算法（效率低，安全性一般）

2.离散对数问题（The Discrete Logarithm Problem，DLP）

问题概述：
令$G$为一个阿贝尔群（交换群），将$G$中的二元操作写成乘法*。
1.给定$G,g$和$h=g^a$,计算$a$是困难的，其中$a$被称为$h$以$g$为底的离散对数。

离散对数问题（数学概述）
如果对于一个整数$b$和的质数$p$的一个原根为$a$，可以找到一个唯一的指数$i$ ，使得$b=a^i(modp)$，其中$0\le i\le p-1$成立。那么指数$i$称为$b$的以$a$为基数的模$p$的离散对数。
原根：若$n,a$为正整数，且$n,a$互质，令$a^d\equiv 1(modn)$，如果用$\delta (n,a)$表示是该式成立的最小正整数$d$，此时如果$d=\phi (n)$,则称$a$为模$n$的原根。其中，$\phi (n)$即欧拉函数。
欧拉函数:对于正整数$n$，欧拉函数$\phi (n)$是小于或者等于$n$的正整数中与n互质数的个数。
欧拉定理：若$n,a$为正整数，且$n,a$互质，则$a^{\phi (n)}\equiv 1(modn)$
注意：原根对应有限循环群$G$的生成元$g$,而正整数$n$对应群$G$的阶数$p$，其中$p$为一个大素数。

3.计算DH问题（The Computational Diffie-Hellman Problem，CDH）

CDH是基于由Whit Diffie和Martin Hellman提出的两方协商密钥在公共信道上不会被窃取的问题:

1）Alice和Bob共同确定使用的循环群$G$,和生成器$q$
2）Alice选择一个随机的密钥整数$a$,Bob选择了一个随机的整数$b$
3）Alice计算$g^a$ 在公共信道上发送给Bob,同时Bob也计算出$g^b$在公共信道上发送给Alice.
4）Alice和Bob通过他们已知的随机整数来计算$g^{ab}=(g^a{)}^b=(g^b{)}^a$。而$g^{ab}$就是他们协商的密钥，即一个能被用于两人间的对称加密密钥.

敌手已知$G,g,g^a,g^b$,需要在多项式时间内找出$g^{ab}$

4.决策DH问题（The Decisional Diffie-Hellman Problem，DDH）

DDH主要用于证明难以区分的属性。假如Alice和Bob执行如上所述的Diffie-Hellman密钥协议,那么$G,g,g^a,g^b$都是公共的,$g^{ab}$是密钥.简单而言,DDH问题就是对手是否能够从G中的随机元素区分出Alice和Bob的密钥$g^{ab}$.

定义：给定$G,g,g^a,g^b$和$T_x$使得$T_0$是$G$中的一个随机元素,$T_1=g^{ab}$同时$x$被随机均匀的从{0,1}中选择,找出$g^{ab}$.

如果对手能够解决DDH，即$Pr[x=g^{ab}]\ge \frac{1}{2}$.那么意味着$G,g^a,g^b$泄露了关于$g^{ab}$的信息,使得攻击者能把它从随机的元素中分辨出来,尽管不能直接计算出来。

显然，CDH的困难性大于DDH

5.Gap Diffie-Hellman

给定三元组（g,ga,gb）,a,b属于Z*q,在DDH（·）预言机的辅助下计算gab是困难的

6.双线性DH问题（BDH）

给定四元组（P,aP,bP,cP）,a,b,c属于Z*q,判断等式e(P,P)d = e(P,P)abc是困难的

参考文章

密码学中的安全性证明
离散对数问题