58、陷门置换的增强构造与安全特性分析

陷门置换的增强构造与安全特性分析

1. 证明与参数选择

首先要证明不等式：
[
\left|\Pr[D(\text{Hyb} {5,j}) = 1] - \Pr[D(\text{Hyb} {6,j}) = 1]\right| \leq T^{-\frac{1}{2}} + 2^{-\Omega(\lambda\varepsilon)}
]
在这两个混合实验中，被混淆的电路 $\widetilde{F}$ 计算的是完全相同的函数。具体操作如下：
- 将 $\sigma$ 和 $\sigma_{i - u + j}$ 的比较替换为它们在一个单射单向函数下对应值的比较。
- 把带孔密钥 $S{i - u + j}$ 替换为无孔密钥 $S$。由于这两个密钥除了在 $i - u + j$ 点外，对所有点都计算相同的函数，并且两个混合实验中的电路对待任何输入 $i - u + j, \sigma$ 时，都独立于伪随机函数（PRF）密钥，所以这不会影响功能。
- $\widetilde{X}$ 现在混淆的是无孔版本 $X_S$，而不是 $X_{S{i - u + j}}^{(4,j)}$。和之前一样，这在概率 $1 - T^{-\frac{1}{2}}$ 下不会改变功能。

整体上，所需的不可区分性由不可区分混淆（iO）保证得出。这就完成了声明 4.1 和命题 4.1 的证明。

对于填充参数 $\ell(\lambda)$，我们选择它使得上述考虑的每个电路 $\widetilde{F}$ 都可以由大小至多为 $\ell(\lambda)/3$ 的电路实现。额外的 $1/3$ 余量是为了满足后续分析中的引理