Sequences of Games: A Tool for Taming Complexity in Security Proofs

Sequences of Games: A Tool for Taming Complexity in Security Proofs

密码学中的安全证明有时可以被组织为一系列的游戏。在某种特定情况下，这可以是一个有用的工具，可以简化安全证明的复杂性，否则安全证明可能变得非常混乱，复杂和微妙以至于无法去验证。

The Basic Idea

加密原语的安全性通常被定义为攻击者和挑战者之间进行的攻击游戏。敌手和挑战者之间的通信也都是概率过程所以我们将游戏建模为一个概率空间。通常，安全定义与某些特定的事件S相关联。安全性意味着对于每一个有效的敌手，事件S发生的概率非常接近于某一个特定的目标概率：通常，要么是0，或 1/2。
为了证明使用游戏序列方法的安全性。一种是构建一序列的游戏：Game 0, Game 1, …, Game n，其中Game 0是针对给定敌手和密码原语的原始攻击游戏。令$S_0$是事件S，当i=1,…,n时，该结构定义了Game i中的事件$S_i$。证明表明了对于$i=0,...,n-1$，$Pr[S_i]$可忽略地接近$Pr[S_{i+1}]$，且$Pr[S_n]$等于或可忽略地接近目标概率（比如EU-CMA中的0，IND-CPA/CCA中的1/2）。那么，结合$n$是一个常数，可得$Pr[S]$可忽略地接近目标概率，安全性得证。这就是Sequences-of-Game证明的一般框架。然而，在构造这样的证明时，我们希望连续游戏之间的变化非常小，这样分析变化就尽可能简单。接下来，我们介绍连续游戏之间的过渡的三种类型：

这在后续的Elgamal证明中得到了充分的体现，Game 0就是在IND-CPA下的Elgamal的加密游戏，然后Game 1就是在IND-CPA下的OneTime-Pad游戏，令$S$来表示$S_0$事件，该事件是Game 0中$b=\hat{b}$的事件，令$S_1$表示Game 1中$b=\hat{b}$的事件，$Pr[S_1]$就表示目标概率$1/2$（OneTime-Pad）。那么我们要做的是两件事：1.$Pr[S_1],Pr[S_2],...,Pr[S_n]$之间差异非常小。2.$Pr[S]$接近于目标概率$Pr[S_n]$。如果证明了$Pr[S]$接近于$Pr[S_n]$就说明敌手无法攻破Elgamal加密。那么如何来做$Pr[S_1],Pr[S_2],...,Pr[S_n]$这一系列游戏的过渡呢，让前后两个Game的差异非常小。总体思想其实就是：Game 0就是我们的方案，Game n是我们目标实现的理想方案（OneTime-Pad），如果能说明这两个无法区分，那么我们的方案就近似于理想方案，安全性得证。

不可区分的过渡。在这样的一个过渡中，认为进行一个小的更改，如果被敌手检测到，将意味着有一种有效的方法来区分这两个不可区分的分布（无论是计算意义上的，还是统计意义上的）。例如，假设$P_1$和$P_2$是计算上不可区分的分布。为了证明$|Pr[S_i]-Pr[S_{i+1}]|$是可忽略的，一种方法是存在一个区分算法$D$，它在Game i和Game i+1之间插值，因此，当给定从分布$P_1$中提取的元素作为输入时，$D$以概率$Pr[S_i]$输出$1$，当给定从分布$P_2$中提取的元素作为输入时，$D$以概率$Pr[S_{i+1}]$输出$1$。不可区分的假设意味着$|Pr[S_i]-Pr[S_{i+1}]|$是可忽略的。通常，$D$的构造是明显的，前提是在过渡中做的更改是非常小的。通常情况下，会将这两个游戏设计为带有辅助输入的Hybrid Game----如果辅助输入来自$P_1$，你便会得到Game i，如果辅助输入来自于$P_2$，你便会得到Game i+1。这样，区分者只需要运行带有输入的一个混合游戏，并在适当的事件发生时输出$1$。

基于失败事件的过渡。在这样的一个过渡中，认为Game i和Game i+1的过程是相同的，除非有某种失败事件$F$发生。为了使得这种类型的过渡更加清晰，最好将两个游戏定义在相同的潜在概率空间中—这两个游戏之间的唯一区别是计算某些随机变量的规则。即，除非F出现，否则两个游戏的过程相同：
$$S_i\wedge \neg F\iff S_{i+1}\wedge \neg F$$
也就是说，事件$S_i\wedge \neg F$ 和 $S_{i+1}\wedge \neg F$ 是相同的。这样我们推论出一个定理
Lemma 1 (Difference Lemma). 令$A,B,F$是定义在某些概率分布的事件，并假设 $A\wedge \neg F\iff B\wedge \neg F$。那么 $|Pr[A]-Pr[B]|\le Pr[F]$。
Proof. 这是一个简单的计算：
$$\begin{gathered} Pr[A]-Pr[B]=Pr[A\wedge F]+Pr[A\wedge \neg F]-Pr[B\wedge F]-Pr[B\wedge \neg F] \\ =|Pr[A\wedge F]-Pr[B\wedge F]| \\ \le Pr[F]. \end{gathered}$$

桥接步骤。这一种过渡引入了桥接步骤，这通常是是一种重申如何以完全等效的方式计算某些量的方法。这种改变纯粹是概念性的，且$Pr[S_i]=Pr[S_{i+1}]$。虽然从原则上来讲，这样的过渡性步骤似乎是不必要的，但如果去除的话，证明将很难形式化。

Elgamal Encryption Security Analysis

在DDH假设下，我们利用一系列游戏证明了Elgamal的语义安全性。

Game 0. 给定一个高效敌手$A$。我们将Game 0定义为语义安全中针对$A$的攻击游戏。为了使事情更加精确和具体，我们可以用以下算法来描述攻击游戏：
x ← Z q , α ← γ x r ← R , ( m 0 , m 1 ) ← A ( r , α ) b ← { 0 , 1 } , y ← Z q , β ← γ y , δ ← α y , ζ ← δ ⋅ m b b ^ ← A ( r , α , α , β , ζ ) x\leftarrow Z_q,\alpha\leftarrow \gamma^x\\ r\leftarrow R,(m_0,m_1)\leftarrow A(r,\alpha)\\ b\leftarrow \{0,1\},y\leftarrow Z_q,\beta\leftarrow \gamma^y,\delta\leftarrow \alpha^y,\zeta\leftarrow \delta\cdot m_b\\ \hat{b}\leftarrow A(r,\alpha,\alpha,\beta,\zeta) x←Zq​,α←γxr←R,(m0​,m1​)←A(r,α)b←{0,1},y←Zq​,β←γy,δ←αy,ζ←δ⋅mb​b^←A(r,α,α,β,ζ)
在该算法中，我们已经建模了一个敌手$A$，$A$是一个确定性算法，它将从某个集合$R$中选取的随机硬币$r$作为作为输入。如果我们将$S_0$定义为$b=\hat{b}$的事件，那么敌手的优势为 $|Pr[S_0]-1/2|$。
Game 1. 该过渡是基于不可区分性。我们对Game 0做一下小小的改变。即，不是用${\alpha }^y$来计算$\delta$，而是用${\gamma }^z$来计算$\delta$，其中$z\in Z_q$。该游戏为：
x ← Z q , α ← γ x r ← R , ( m 0 , m 1 ) ← A ( r , α ) b ← { 0 , 1 } , y ← Z q , β ← γ y , z ← Z q , δ ← γ z , ζ ← δ ⋅ m b b ^ ← A ( r , α , α , β , ζ ) x\leftarrow Z_q,\alpha\leftarrow \gamma^x\\ r\leftarrow R,(m_0,m_1)\leftarrow A(r,\alpha)\\ b\leftarrow \{0,1\},y\leftarrow Z_q,\beta\leftarrow \gamma^y,z\leftarrow Z_q,\delta\leftarrow \gamma^z,\zeta\leftarrow \delta\cdot m_b\\ \hat{b}\leftarrow A(r,\alpha,\alpha,\beta,\zeta) x←Zq​,α←γxr←R,(m0​,m1​)←A(r,α)b←{0,1},y←Zq​,β←γy,z←Zq​,δ←γz,ζ←δ⋅mb​b^←A(r,α,α,β,ζ)
令$S_1$为Game 1中$b=\hat{b}$的事件。

Claim 1.$Pr[S_1]=1/2$。这是因为在Game 2中，$\delta$实际上是一个one-time pad，那么敌手的输出$\hat{b}$与隐藏位$b$无关。

Claim 2. $|Pr[S_0]-Pr[S_1]={ϵ}_{ddh}$，其中${ϵ}_{ddh}$是攻破DDH假设的优势（在DDH假设下可以忽略不计）。这一点的证明是显而易见的，在Game 0中，元组$(\alpha ,\beta ,\delta )$的形式为$({\gamma }^x,{\gamma }^y,{\gamma }^{xy})$，而在Game 1中，它的形式是$({\gamma }^x,{\gamma }^y,{\gamma }^z)$，那么在DDH假设下，敌手觉察不出二者的差异。更准确地说，我们的区分算法$D$是这样工作的，这里的$D$其实就是我们所讲的 Simulator：
D ( α , β , δ ) r ← R , ( m 0 , m 1 ) ← A ( r , α ) b ← { 0 , 1 } , ζ ← δ ⋅ m b b ^ ← A ( r , α , β , ζ ) i f    b = b ^ t h e n    o u t p u t    1 e l s e    o u t p u t    0 D(\alpha,\beta,\delta)\\ r\leftarrow R,(m_0,m_1)\leftarrow A(r,\alpha)\\ b\leftarrow \{0,1\},\zeta\leftarrow \delta\cdot m_b\\ \hat{b}\leftarrow A(r,\alpha,\beta,\zeta)\\ \mathrm{if\;} b=\hat{b}\\ \mathrm{then \;output\; }1\\ \mathrm{else \;output\; } 0 D(α,β,δ)r←R,(m0​,m1​)←A(r,α)b←{0,1},ζ←δ⋅mb​b^←A(r,α,β,ζ)ifb=b^thenoutput1elseoutput0

算法$D$能够有效地在Game 0和Game 1之间插入。如果$D$的输入是$({\gamma }^x,{\gamma }^y,{\gamma }^{xy})$的形式，那么计算就像是在Game 0中执行的一样。
$$Pr[x,y\leftarrow Z_q:D({\gamma }^x,{\gamma }^y,{\gamma }^{xy})=1]=Pr[S_0].$$
如果算法$D$的输入是$({\gamma }^x,{\gamma }^y,{\gamma }^z)$，那么计算过程就如Game 1。
$$Pr[x,y,z\leftarrow Z_q:D({\gamma }^x,{\gamma }^y,{\gamma }^z)=1]=Pr[S_1].$$
由此可知，$D$的DDH-优势为$|Pr[S_0]-Pr[S_1]|$（这里是正确密文的概率减去错误密文的概率，就是敌手的优势），我们完成了Claim 2的证明。
结合Claim 1和Claim 2，我们能够得到：
$$|Pr[S_0]-1/2|={ϵ}_{ddh}$$
并且是可忽略的，我们完成了Elgamal加密的安全证明。

Hashed Elgamal

出于种种原因，处理位运算要比群元素快得多。基于此，我们可以使用Elgamal加密的Hash版本。该方案使用了一系列健值hash函数 H : = { H k } k ∈ K H:=\{H_k\}_{k\in K} H:={Hk​}k∈K​，其中每一个 H k : G → { 0 , 1 } ℓ H_k:G\rightarrow \{0,1\}^\ell Hk​:G→{0,1}ℓ。
KeyGen.
$$x\leftarrow Z_q,k\leftarrow K,\alpha \leftarrow {\gamma }^x,pk\leftarrow (\alpha ,k),sk\leftarrow (x,k).$$
Encryption.
$$y\leftarrow Z_q,\beta \leftarrow {\gamma }^y,\delta \leftarrow {\alpha }^y,h\leftarrow H_k(\delta ),v\leftarrow h\oplus m,\psi \leftarrow (\beta ,v).$$
Decryption.
$$m\leftarrow H_k({\beta }^x)\oplus v.$$
Hashed Elgamal加密的安全性的语义安全性，可以在DDH假设以及哈希函数$H$族的熵平滑的假设下证明。粗略地说，这意味着很难区分$(k,H_k(\delta ))$和$(k,h)$，其中 k ← K , δ ← G , h ← { 0 , 1 } ℓ k\leftarrow K,\delta\leftarrow G,h\leftarrow \{0,1\}^\ell k←K,δ←G,h←{0,1}ℓ。更正式地说，设D使一个算法，该算法以K的一个随机元素和 { 0 , 1 } ℓ \{0,1\}^\ell {0,1}ℓ的一个元素作为输入，并输出一个bit。我们定义D的ES-优势为：
∣ P r [ k ← K , δ ← G : D ( k , H k ( δ ) ) = 1 ] − P r [ k ← K , h ← { 0 , 1 } ℓ : D ( k , h ) = 1 ] ∣ . |Pr[k\leftarrow K,\delta\leftarrow G:D(k,H_k(\delta))=1]-Pr[k\leftarrow K,h\leftarrow \{0,1\}^\ell:D(k,h)=1]|. ∣Pr[k←K,δ←G:D(k,Hk​(δ))=1]−Pr[k←K,h←{0,1}ℓ:D(k,h)=1]∣.
在DDH假设和H为熵平滑的假设下，我们现在概述了Hashed Elgamal加密的语义安全性。
Game 0.这是原始的攻击游戏，表述如下：
x ← Z q , k ← K , α ← γ x r ← R , ( m 0 , m 1 ) ← A ( r , α , k ) b ← { 0 , 1 } , y ← Z q , β ← γ y , δ ← α y , h ← H k ( δ ) , v ← h ⊕ m b b ^ ← ( r , α , k , β , v ) . x\leftarrow Z_q,k\leftarrow K,\alpha\leftarrow \gamma^x\\ r\leftarrow R,(m_0,m_1)\leftarrow A(r,\alpha,k)\\ b\leftarrow \{0,1\},y\leftarrow Z_q,\beta\leftarrow \gamma^y,\delta\leftarrow \alpha^y,h\leftarrow H_k(\delta),v\leftarrow h\oplus m_b\\ \hat{b}\leftarrow(r,\alpha,k,\beta,v). x←Zq​,k←K,α←γxr←R,(m0​,m1​)←A(r,α,k)b←{0,1},y←Zq​,β←γy,δ←αy,h←Hk​(δ),v←h⊕mb​b^←(r,α,k,β,v).
我们定义$S_0$为Game 0中$b=\hat{b}$的事件。
Game 1. 这是基于不可区分性的过渡。我们转换Game 0到Game 1，计算$\delta$为${\gamma }^z,z\in Z_q$。Game 1表述如下：
x ← Z q , k ← K , α ← γ x r ← R , ( m 0 , m 1 ) ← A ( r , α , k ) b ← { 0 , 1 } , y ← Z q , β ← γ y , z ← Z q , δ ← γ z , h ← H k ( δ ) , v ← h ⊕ m b b ^ ← ( r , α , k , β , v ) . x\leftarrow Z_q,k\leftarrow K,\alpha\leftarrow \gamma^x\\ r\leftarrow R,(m_0,m_1)\leftarrow A(r,\alpha,k)\\ b\leftarrow \{0,1\},y\leftarrow Z_q,\beta\leftarrow \gamma^y,z\leftarrow Z_q,\delta\leftarrow \gamma^z,h\leftarrow H_k(\delta),v\leftarrow h\oplus m_b\\ \hat{b}\leftarrow(r,\alpha,k,\beta,v). x←Zq​,k←K,α←γxr←R,(m0​,m1​)←A(r,α,k)b←{0,1},y←Zq​,β←γy,z←Zq​,δ←γz,h←Hk​(δ),v←h⊕mb​b^←(r,α,k,β,v).
令$S_1$为在Game 1中$b=\hat{b}$的事件，我们有：
$$|Pr[S_0]-Pr[S_1]|={ϵ}_{ddh},$$
证明过程与上述的Elgamal加密的过程相同。
Game 2. 这也是基于不可区分性的过渡。我们将Game 1转换为Game 2，通过简单的随机选择来计算$h$，而不是计算哈希。此外，Game 2表述如下：
x ← Z q , k ← K , α ← γ x r ← R , ( m 0 , m 1 ) ← A ( r , α , k ) b ← { 0 , 1 } , y ← Z q , β ← γ y , z ← Z q , δ ← γ z , h ← { 0 , 1 } ℓ , v ← h ⊕ m b b ^ ← A ( r , α , k , β , v ) . x\leftarrow Z_q,k\leftarrow K,\alpha\leftarrow \gamma^x\\ r\leftarrow R,(m_0,m_1)\leftarrow A(r,\alpha,k)\\ b\leftarrow \{0,1\},y\leftarrow Z_q,\beta\leftarrow \gamma^y,z\leftarrow Z_q,\delta\leftarrow \gamma^z,h\leftarrow \{0,1\}^\ell,v\leftarrow h\oplus m_b\\ \hat{b}\leftarrow A(r,\alpha,k,\beta,v). x←Zq​,k←K,α←γxr←R,(m0​,m1​)←A(r,α,k)b←{0,1},y←Zq​,β←γy,z←Zq​,δ←γz,h←{0,1}ℓ,v←h⊕mb​b^←A(r,α,k,β,v).
由此得出，$\delta$在Game 2中毫无作用。
令$S_2$为在Game 2中$b=\hat{b}$事件发生的概率，我们有。
$$|Pr[S_1]-Pr[S_2]|={ϵ}_{es}.$$
$Pr[S_1]$和$Pr[S_2]$之间的任何差异都可以被利用为相应的ES-优势。事实上，很容易可以看出如下算法$D^{\prime }$可以在Game 1和Game 2之间插值，因此ES-优势等于$|Pr[S_1]-Pr[S_2]|$：
D ′ ( k , h ) x ← Z q , α ← γ x r ← R , ( m 0 , m 1 ) ← A ( r , α , k ) b ← { 0 , 1 } , y ← Z q , β ← γ y , v ← h ⊕ m b b ^ ← A ( r , α , k , β , v ) i f    b = b ^ t h e n    o u t p u t 1 e l s e    o u t p u t 0. D'(k,h)\\ x\leftarrow Z_q,\alpha\leftarrow \gamma^x\\ r\leftarrow R,(m_0,m_1)\leftarrow A(r,\alpha,k)\\ b\leftarrow \{0,1\},y\leftarrow Z_q,\beta\leftarrow \gamma^y,v\leftarrow h\oplus m_b\\ \hat{b}\leftarrow A(r,\alpha,k,\beta,v)\\ if\; b=\hat{b}\\ \mathrm{then} \; \mathrm{output} 1\\ \mathrm{else}\; \mathrm{output} 0. D′(k,h)x←Zq​,α←γxr←R,(m0​,m1​)←A(r,α,k)b←{0,1},y←Zq​,β←γy,v←h⊕mb​b^←A(r,α,k,β,v)ifb=b^thenoutput1elseoutput0.
最终$h$在Game 2中扮演着One-time pad的角色，很明显：
$$Pr[S_2]=1/2$$
我们得到：
$$|Pr[S_0]-1/2|\le {ϵ}_{ddh}+{ϵ}_{es},$$
这是可忽略的因为${ϵ}_{ddh}$和${ϵ}_{es}$都是可忽略的。

Pseudo-Random Funcitions

令${\ell }_1$和${\ell }_2$是两个正整数（安全参数）。令 F : = { F s } s ∈ S F:=\{F_s\}_{s\in S} F:={Fs​}s∈S​是键函数族，其中每个函数$F_s$从 { 0 , 1 } ℓ 1 → { 0 , 1 } ℓ 2 \{0,1\}^{\ell_1}\rightarrow \{0,1\}^{\ell_2} {0,1}ℓ1​→{0,1}ℓ2​。令${\Gamma }_{{\ell }_1,{\ell }_2}$表示所有 { 0 , 1 } ℓ 1 → { 0 , 1 } ℓ 2 \{0,1\}^{\ell_1}\rightarrow \{0,1\}^{\ell_2} {0,1}ℓ1​→{0,1}ℓ2​的函数集合。非正式的说，如果难以通过黑箱访问来区分从 $F$ 中抽取的随机函数和从 $\Gamma$ 中抽取的随机函数，那么我们称$F$为伪随机的。
更为正式的说，给定一个敌手$A$，$A$可以通过oracle访问${\Gamma }_{{\ell }_1,{\ell }_2}$中的函数并假设$A$总是输出一个bit。定义的$A$的PRF-优势为：
$$|Pr[s\leftarrow S:A^{F_s}()=1]-Pr[f\leftarrow {\Gamma }_{{\ell }_1,{\ell }_2}:A^f()]=1|$$
我们有如何任何有效敌手的PRF-优势是可以忽略不计的，那么$F$是伪随机的。

Extending the Input Length with a Universal Hash Function

我们现在提出一种结构，它允许扩展伪随机函数族的输入长度。令$\ell$是一个正整数且$\ell \le {\ell }_1$。令 H : = { H k } k ∈ K H:=\{H_k\}_{k\in K} H:={Hk​}k∈K​为一族键hash函数（$k$是hash函数的密钥，$K$是密钥空间，带有密钥的哈希函数，即使输入值相同，密钥$k$不同，那么输出值也不一样），其中每个$H_k$映射 { 0 , 1 } ℓ → { 0 , 1 } ℓ 1 \{0,1\}^{\ell}\rightarrow \{0,1\}^{\ell_1} {0,1}ℓ→{0,1}ℓ1​。我们假设$H$是一个${ϵ}_{uh}$-通用hash函数族，其中${ϵ}_{uh}$是可忽略的。这意味着对于所有 w , w ′ ∈ { 0 , 1 } ℓ w,w'\in\{0,1\}^\ell w,w′∈{0,1}ℓ且$w\ne w^{\prime }$来说，我们有：
$$Pr[k\leftarrow K:H_k(w)=H_k(w^{\prime })]\le {ϵ}_{uh}$$
我们定义函数族为：
F ′ : = { F k , s ′ } ( k , s ) ∈ K × S , F':=\{F'_{k,s}\}_{(k,s)\in K\times S}, F′:={Fk,s′​}(k,s)∈K×S​,
其中，每个$F_{k,s}^{\prime }$是 { 0 , 1 } ℓ → { 0 , 1 } ℓ 2 \{0,1\}^{\ell}\rightarrow \{0,1\}^{\ell_2} {0,1}ℓ→{0,1}ℓ2​，原理为：将 w ∈ { 0 , 1 } ℓ w\in\{0,1\}^{\ell} w∈{0,1}ℓ给$F_s(H_k(w))$。

我们将证明如果$F$是伪随机的，那么$F^{\prime }$是伪随机的。

Game 0.该游戏表示一个敌手在给定oracle访问一个从$F^{\prime }$中随机选取的一个函数下的计算。我们假设敌手对oracle进行q次查询。该游戏的过程如下：
k ← K , s ← S r ← R f o r    i ← 1 , . . . , q    d o w i ← A ( r , y 1 , . . . , y i − 1 ) ∈ { 0 , 1 } ℓ x i ← H k ( w i ) ∈ { 0 , 1 } ℓ 1 y i ← F s ( x i ) ∈ { 0 , 1 } ℓ 2 . b ← A ( r , y 1 , . . . , y q ) ∈ { 0 , 1 } o u t p u t    b k\leftarrow K,s\leftarrow S\\ r\leftarrow R\\ \mathrm{for\;} i\leftarrow 1,...,q\mathrm{\;do}\\ w_i\leftarrow A(r,y_1,...,y_{i-1})\in \{0,1\}^{\ell}\\ x_i\leftarrow H_k(w_i)\in \{0,1\}^{\ell_1}\\ y_i\leftarrow F_s(x_i)\in \{0,1\}^{\ell_2}.\\ b\leftarrow A(r,y_1,...,y_q)\in \{0,1\}\\ \mathrm{output}\; b k←K,s←Sr←Rfori←1,...,qdowi​←A(r,y1​,...,yi−1​)∈{0,1}ℓxi​←Hk​(wi​)∈{0,1}ℓ1​yi​←Fs​(xi​)∈{0,1}ℓ2​.b←A(r,y1​,...,yq​)∈{0,1}outputb
该算法表示敌手被建模为确定性算法$A$，我们提供随机硬币$r\in R$作为输入，在$i$次的迭代循环中，敌手通过随机硬币r和先前的$w_1,...,w_{i-1}$的查询结果$y_1,...,y_{i-1}$为输入的函数计算他下一次的查询$w_i$。我们假设$A$输出的每一个$w_1,...,w_q$值都是不同的。
令$S_0$为Game 0中输出$b=1$的事件。
我们证明的目标是将这个Game转化为一个Game，这一个Game等价于敌手给定Oracle访问${\Gamma }_{\ell ,{\ell }_2}$的随机元素。使得后一个Game中$b=1$的概率可以忽略不计地接近$Pr[S_0]$。
Game 1. 该过渡是基于不可区分性。我们现在修改Game 0使得我们使用一个真正的随机函数，从${\ell }_1$bits到${\ell }_2$bits来替换$F_s$。Game 1的执行过程如下：
k ← K , f ← Γ ℓ 1 , ℓ 2 r ← R f o r    i ← 1 , . . . , q    d o w i ← A ( r , y 1 , . . . , y i − 1 ) ∈ { 0 , 1 } ℓ x i ← H k ( w i ) ∈ { 0 , 1 } ℓ 1 y i ← f ( x i ) ∈ { 0 , 1 } ℓ 2 . b ← A ( r , y 1 , . . . , y q ) ∈ { 0 , 1 } o u t p u t    b k\leftarrow K,f\leftarrow \Gamma_{\ell_1,\ell_2}\\ r\leftarrow R\\ \mathrm{for\;} i\leftarrow 1,...,q\mathrm{\;do}\\ w_i\leftarrow A(r,y_1,...,y_{i-1})\in \{0,1\}^{\ell}\\ x_i\leftarrow H_k(w_i)\in \{0,1\}^{\ell_1}\\ y_i\leftarrow f(x_i)\in \{0,1\}^{\ell_2}.\\ b\leftarrow A(r,y_1,...,y_q)\in \{0,1\}\\ \mathrm{output}\; b k←K,f←Γℓ1​,ℓ2​​r←Rfori←1,...,qdowi​←A(r,y1​,...,yi−1​)∈{0,1}ℓxi​←Hk​(wi​)∈{0,1}ℓ1​yi​←f(xi​)∈{0,1}ℓ2​.b←A(r,y1​,...,yq​)∈{0,1}outputb
我们声称：
$$|Pr[S_0]-Pr[S_1]|={ϵ}_{prf},$$
其中${ϵ}_{prf}$是PRF-优势，与$F$相关，对于一些高效敌手（假设F是伪随机的，那么可以忽略不计）。实际上，以下敌手本质上在Game 0和Game 1之间插入，因此相对于$F$，具有PRF-优势，恰好等于$|Pr[S_0]-Pr[S_1]|$：
O r a c l e    m a c h i n e    D O k ← K , r ← R f o r    i ← 1 , . . . , q    d o w i ← A ( r , y 1 , . . , y i − 1 ) ∈ { 0 , 1 } ℓ x i ← H k ( w i ) ∈ { 0 , 1 } ℓ 1 y i ← O ( x i ) ∈ { 0 , 1 } ℓ 2 b ← A ( r , y 1 , . . . , y q ) ∈ { 0 , 1 } o u t p u t    b \mathrm{Oracle\; machine}\; D^\mathcal{O}\\ k\leftarrow K,r\leftarrow R\\ \mathrm{for}\; i\leftarrow 1,...,q \;\mathrm{do}\\ w_i\leftarrow A(r,y_1,..,y_{i-1})\in \{0,1\}^{\ell}\\ x_i\leftarrow H_k(w_i)\in \{0,1\}^{\ell_1}\\ y_i\leftarrow \mathcal{O}(x_i)\in \{0,1\}^{\ell_2}\\ b\leftarrow A(r,y_1,...,y_q)\in \{0,1\}\\ \mathrm{output}\; b OraclemachineDOk←K,r←Rfori←1,...,qdowi​←A(r,y1​,..,yi−1​)∈{0,1}ℓxi​←Hk​(wi​)∈{0,1}ℓ1​yi​←O(xi​)∈{0,1}ℓ2​b←A(r,y1​,...,yq​)∈{0,1}outputb

Game 2.该过渡基于桥接步骤。现在我们要在Game 1中做一个纯粹概念上的改变。直观上，我们可以将包含随机函数f的黑盒想象成里面有一个小侏儒的盒子：这个侏儒保留了一个以前的输入/输出对的表，如果查询与以前的一个输入匹配，则返回相应的输出，否则，将随机选择一个输出值，并将新的输入/输出对添加到表中。基于此，我们得到Game 1的流程：
k ← K , Y 1 , . . . , Y q ← { 0 , 1 } ℓ 2 r ← R f o r    i ← 1 , . . . , q    d o w i ← A ( r , y 1 , . . , y i − 1 ) ∈ { 0 , 1 } ℓ x i ← H k ( w i ) ∈ { 0 , 1 } ℓ 1 i f x i = x j    f o r    s o m e    j ≤ i    t h e n    y i ← y j    e l s e    y i ← Y i b ← A ( r , y 1 , . . . , y q ) ∈ { 0 , 1 } o u t p u t    b k\leftarrow K,Y_1,...,Y_q\leftarrow \{0,1\}^{\ell_2}\\ r\leftarrow R\\ \mathrm{for}\; i\leftarrow 1,...,q \;\mathrm{do}\\ w_i\leftarrow A(r,y_1,..,y_{i-1})\in \{0,1\}^{\ell}\\ x_i\leftarrow H_k(w_i)\in \{0,1\}^{\ell_1}\\ if x_i=x_j\; \mathrm{for\; some}\; j\le i\; \mathrm{then}\; y_i\leftarrow y_j\;\mathrm{else}\;y_i\leftarrow Y_i\\ b\leftarrow A(r,y_1,...,y_q)\in \{0,1\}\\ \mathrm{output}\; b k←K,Y1​,...,Yq​←{0,1}ℓ2​r←Rfori←1,...,qdowi​←A(r,y1​,..,yi−1​)∈{0,1}ℓxi​←Hk​(wi​)∈{0,1}ℓ1​ifxi​=xj​forsomej≤ithenyi​←yj​elseyi​←Yi​b←A(r,y1​,...,yq​)∈{0,1}outputb

令$S_2$是Game 2中$b=1$的事件。因为从Game 1到Game 2这样的变化纯粹是概念性的，我们显然做到了：
$$Pr[S_2]=Pr[S_1].$$

Game 3. 该过渡是基于失败事件的过渡。现在我们修改Game 2使得我们的侏儒变得非常健忘，并且在计算y_i值的时候不做任何一致性检查。
k ← K , Y 1 , . . . , Y q ← { 0 , 1 } ℓ 2 r ← R f o r    i ← 1 , . . . , q    d o w i ← A ( r , y 1 , . . , y i − 1 ) ∈ { 0 , 1 } ℓ x i ← H k ( w i ) ∈ { 0 , 1 } ℓ 1 y i ← Y i b ← A ( r , y 1 , . . . , y q ) ∈ { 0 , 1 } o u t p u t    b k\leftarrow K,Y_1,...,Y_q\leftarrow \{0,1\}^{\ell_2}\\ r\leftarrow R\\ \mathrm{for}\; i\leftarrow 1,...,q \;\mathrm{do}\\ w_i\leftarrow A(r,y_1,..,y_{i-1})\in \{0,1\}^{\ell}\\ x_i\leftarrow H_k(w_i)\in \{0,1\}^{\ell_1}\\ y_i\leftarrow Y_i\\ b\leftarrow A(r,y_1,...,y_q)\in \{0,1\}\\ \mathrm{output}\; b k←K,Y1​,...,Yq​←{0,1}ℓ2​r←Rfori←1,...,qdowi​←A(r,y1​,..,yi−1​)∈{0,1}ℓxi​←Hk​(wi​)∈{0,1}ℓ1​yi​←Yi​b←A(r,y1​,...,yq​)∈{0,1}outputb

定义$S_3$是Game 3中$b=1$的事件。定义事件$F$为在Game 3中$x_i=x_j$，且$i\ne j$的情况。

观察$k$和$x_1,...,x_q$在Game 3中除了定义事件$F$外，没有发挥任何作用。实际上，随机变量$k,r,y_1,...,y_q$是相互独立的。我们将Game 2和Game 3视为在相同的概率空间上操作，因此$k,r,Y_1,...,Y_q$在两个游戏中是相同的。不难看出，Game 2和Game 3是相同的，除非事件$F$发生。特别是，如果$F$没有发生，那么两个游戏的输出是相同的。这是相当明显的，但由于这是我们使用该技术的第一个示例，因此我们将进行更正式地证明。选择任意固定值$k,r,Y_1,..,Y_q$使得$F$不发生。我们通过对$i=0,...,q$的归纳法证明，在两个游戏中$w_1,x_1,y_1,...,w_i,x_i,y_i$是相同的。$i=0$时，是非常正确的。那么我们令$i>0$,假设$i-1$成立，并证明$i$成立。正如在$i-1$上成立一样，值$w_i$的计算方法与$A(r,y_1,...,y_{i-1})$在两个游戏中相同，因此$x_i$的计算方法与$H_k(w_i)$在两个游戏中相同。当计算$y_i$时，我们看到由于$F$不成立，值$x_1,...,x_i$是不相同的（并且在两个游戏中以相同的方式计算）。因此，在这两个游戏中$y_i$都被赋值为$Y_i$。归纳证明就完成了。由此可见，当$F$没有发生，两个游戏都以同样的方式计算$y_1,...,y_q$，因此都以同样的方式计算$b=A(r,y_1,...,y_q)$。

在前一段中，我们认为如果$F$不发生，那么两个游戏输出相同的值。等价的说法是$S_2\wedge \neg F\iff S_3\wedge \neg F$。因此，通过Difference Lemma，我们有：
$$|Pr[S_2]-Pr[S_3]|\le Pr[F].$$
那么我们有：
$$Pr[F]\le {ϵ}_{uh}\cdot \frac{q^2}{2}.$$
分析都是关于Game 3。为了证明该等式，只要证明它以固定值$r,y_1,...,y_q$为条件就足够了。在这个条件概率分布中，值$w_1,...,w_q$是固定的（因为他们由$r,y_1,...,y_q$决定），其中$k$是均匀分布在$K$上（通过独立性）。通过任意固定的索引对$i,j$，且$i\ne j$，根据$H$的通用hash属性，以及我们假设敌手从不重复任何查询，我们有$w_i\ne w_j$，因此：
$$Pr[H_k(w_i)=H_k(w_j)]\le {ϵ}_{uh}.$$