可证明安全——密码学难题

离散对数假设

定义离散对数实验 ${\text{DLog}}_{\mathcal{A},\mathcal{G}}(n)$：

• $(\mathbb{G},q,g)\leftarrow \mathcal{G}(1^n)$。$\mathbb{G}$ 是阶为 $q$，生成元为 $g$ 的群。其中 $||q||=n$
• 随机选择 $h\in \mathbb{G}$
• 给 $\mathcal{A}$ 输入 $\mathbb{G},q,g,h$，输出 $x\in {\mathbb{Z}}_q$
• ${\text{DLog}}_{\mathcal{A},\mathcal{G}}(n)=1$ 当且仅当 $g^x=h$

对于所有多项式时间算法 $\mathrm{Pr}[{\text{DLog}}_{\mathcal{A},\mathcal{G}}(n)=1]\le \text{negl}(n)$，简单来说，就是难以计算离散对数。

CDH 假设

定义 CDH 实验 ${\text{CDH}}_{\mathcal{A},\mathcal{G}}(n)$：

• $(\mathbb{G},q,g)\leftarrow \mathcal{G}(1^n)$。$\mathbb{G}$ 是阶为 $q$，生成元为 $g$ 的群。其中 $||q||=n$
• 随机选择 $x_1,x_2\in {\mathbb{Z}}_q$, 计算 $h_1=g^{x_1}$, $h_2=g^{x_2}$
• 给 $\mathcal{A}$ 输入 $\mathbb{G},q,g,h_1$, $h_2$, 输出 $h$.
• ${\text{CDH}}_{\mathcal{A},\mathcal{G}}(n)=1$ 当且仅当 $g^{x_1\cdot x_2}=h$

对于所有多项式时间算法 $\mathrm{Pr}[{\text{CDH}}_{\mathcal{A},\mathcal{G}}(n)=1]\le \text{negl}(n)$，简单来说，就是给定 $g^x,g^y$，难以计算 $g^{xy}$

DDH 假设

类似上面两个。简单来说，就是给定 $g^x,g^y,g^z$，难以判断 $g^z$ 是否等于 $g^{xy}$。