12、单向函数与安全归约：原理、变体与应用

单向函数与安全归约：原理、变体与应用

1. 单向函数基础

单向函数并非加密方案，即便它可能会泄露其原像的部分信息，只要关键部分保持隐藏即可。而且，如果函数不是一对一的，从 $F(x)$ 精确恢复原像 $x$ 可能是不可能的。

1.1 基于游戏的定义

从形式上看，单向函数的定义要求没有高效算法能以不可忽略的概率对随机值 $x \in {0, 1}^{\lambda}$ 的 $F(x)$ 进行求逆。定义 2.9 给出了一种基于游戏的等价定义：

定义 2.9（单向函数，另一种定义） ：一个可高效计算的函数 $F : {0, 1}^ \to {0, 1}^ $ 是单向的，如果对于所有概率多项式时间（PPT）敌手 $A$，优势 $Adv_{F,A}^{owf}(\lambda)$ 定义为：
$Adv_{F,A}^{owf}(\lambda) := Pr[Exp_{F,A}^{owf}(\lambda)]$
是可忽略的，其中实验 $Exp_{F,A}^{owf}(\lambda)$ 定义如下：

Experiment Exp_{F,A}^{owf}(\lambda)
1 :
    x ←$ {0, 1}^{\lambda}
2 :
    y ← F(x)
3 :
    x^* ←$ A(1^{\lambda}, y)
4 :
    return F(x^*) = y

在基于游戏的定义中，安全性被建模为一个实验，敌手与挑战者进行“对抗”。挑战者选择一个随机值 $