Giảm bao thanh toán các sản phẩm chính sang bao thanh toán các sản phẩm số nguyên (trong trường hợp trung bình)

Câu hỏi của tôi là về sự tương đương của bảo mật của các chức năng một chiều ứng cử viên khác nhau có thể được xây dựng dựa trên độ cứng của bao thanh toán.

Giả sử vấn đề của

YẾU TỐ: [Cho cho các số nguyên tố ngẫu nhiên P , Q < 2 n , tìm P , Q. ]$N = PQ$$P, Q < 2^n$$P$$Q$

không thể được giải trong thời gian đa thức với xác suất không đủ điều kiện, hàm

PRIME-MULT: [Cho chuỗi bit làm đầu vào, sử dụng x làm hạt giống để tạo hai số nguyên tố ngẫu nhiên P và Q (trong đó độ dài của P , Q chỉ nhỏ hơn đa thức so với độ dài của x ); sau đó đầu ra P Q. ]$x$$x$$P$$Q$$P$$Q$$x$$PQ$

có thể được hiển thị là một chiều.

Một chức năng một chiều khác của ứng viên là

INTEGER-MULT: [Cho các số nguyên ngẫu nhiên làm đầu vào, đầu ra A B. ]$A, B < 2^n$$A B$

INTEGER-MULT có ưu điểm là dễ xác định hơn so với PRIME-MULT. (Đặc biệt lưu ý rằng trong PRIME-MULT, có một cơ hội (mặc dù may mắn không đáng kể) rằng hạt giống không tạo được P , Q là số nguyên tố.)$x$$P, Q$

Ít nhất là ở hai nơi khác nhau (Arora-Barak, Độ phức tạp tính toán, trang 177, chú thích 2) và ( Giới thiệu bài giảng về mật mã học của Vadhan ), người ta đã đề cập rằng INTEGER-MULT là một chiều giả định độ cứng trung bình của bao thanh toán. Tuy nhiên, cả hai không đưa ra lý do hoặc tài liệu tham khảo cho thực tế này.

Vì vậy, câu hỏi là:

Làm thế nào chúng ta có thể giảm trong bao thanh toán thời gian đa thức của với xác suất không đủ điều kiện để đảo ngược INTEGER-MULT với xác suất không đủ điều kiện?$N = PQ$

Đây là một cách tiếp cận có thể (mà như chúng ta sẽ thấy không hoạt động!): Với , nhân N bằng một nhiều (mặc dù đa thức) số nguyên còn ngẫu nhiên Một ' để có được một = N A ' . Ý tưởng là A ' là rất lớn mà nó có rất nhiều yếu tố quan trọng của kích thước tương đương với P , Q , do đó P , Q không "nổi bật" trong những yếu tố chính của một . Khi đó A có phân phối xấp xỉ một số nguyên ngẫu nhiên đồng đều ở một phạm vi nhất định (giả sử [ $N = PQ$$N$$A'$$A = NA'$$A'$$P, Q$$P, Q$$A$$A$ ). Tiếp theo chọn số nguyên B ngẫu nhiên từ cùng một phạm vi [ 0 , 2 n - 1 ] .$[0,2^n-1]$$B$$[0,2^n-1]$

Bây giờ nếu một biến tần cho INTEGER-mult thể, được đưa ra , với một số khả năng tìm thấy một ' , B ' < 2 n như vậy Một ' B ' = A B , với hy vọng là một trong Một ' hoặc B ' chứa P như một yếu tố và bên kia chứa Q . Nếu đó là trường hợp, chúng ta có thể tìm thấy P hay Q bằng cách lấy UCLN của A ' với N = P Q .$AB$$A', B' < 2^n$$A'B' = AB$$A'$$B'$$P$$Q$$P$$Q$$A'$$N = PQ$

Vấn đề là các biến tần có thể chọn để tách các thừa số nguyên tố, ví dụ, đưa yếu tố nhỏ trong A ' và những người lớn trong B ' , do đó P và Q kết thúc cả hai trong một ' hoặc cả hai trong B ′ .$AB$$A'$$B'$$P$$Q$$A'$$B'$

Có cách tiếp cận nào khác hiệu quả không?

Đây thực sự không phải là một câu trả lời, nhưng nó làm sáng tỏ sự khó khăn trong việc chứng minh các mức giảm như vậy.

$\mathcal{A}$$n^{-c}$$c \in \mathbb{N}$$n$$\mathcal{A}'$$\mathcal{A}$$n$$n^{-d}$$d \in \mathbb{N}$

$\mathcal{A}^*$$N$ $N = PQR$$P$$Q$$n/4$$R$$n/2$$N$$PQ$$R$$\mathcal{A}^*$$n$$\mathcal{A}^*$

$k$

$2^k / \ln(2^k) - 2^{k-1} / \ln(2^{k-1}) = \Theta(2^k / k)$

$n$

$\frac{\Theta(2^{n/4} / (n/4))^2 \cdot \Theta(2^{n/2} / (n/2))}{2^{n-1}} = \Theta(n^{-3})$

$n$

$\mathcal{A}'$$\mathcal{A}^*$$n$$n^{-d}$$d \in \mathbb{N}$

$\mathcal{A}^*$$PQ$