DH问题汇总

本节内容主要学习有关DH的假设问题：

DLP（Discrete Logarithm Problem）#

离散对数问题就是：
在 $n$ 阶加法群 $(G, +)$ 中，给出两个群元素 $P, Q$ ,求整数 $n \in [0, n - 1]$ ，满足 $Q = n P$

DLP在某些群上计算是困难的，比如有限域上的乘法群（the multiplicative group of a finite field）和有限域上的椭圆曲线点群（the group of points on an elliptic curve defined over a finite field）。
具体如下：
（1）乘法群
在 $n$ 阶乘法群 $(G, *)$ 中，给出两个群元素 $P, Q$ ,求整数 $n \in [0, n - 1]$ 是困难的，满足 $Q = P^{n}$
比如：原始的ElGamal加密算法。详细，请见：ElGamal算法

（2）椭圆曲线

即椭圆曲线上的离散对数问题（ECDLP）

取一条椭圆曲线，给出 $P, Q$ ，找出一个整数 $x$ 是困难的，使其满足 $P = x Q$ （椭圆曲线上的倍乘）。
例如：基于椭圆曲线的ElGamal加密算法。

DHP（Diffie-Hellman Problem）#

已知 $P, a P, b P$ ，求 $a b P$ 。
基于该问题设计了DH密钥交换协议，具体请参考：计算困难假设（Computational hardness assumption），DH密钥交换
在多项式时间内，DHP可以规约为DLP，以及在某些情况下，DLP也可以规约为DHP。

BDHP（bilinear Diffie-Hellman Problem）#

双线性对#

设 $n$ 是一个素数， $(G_{1}, +)$ 是一个 $n$ 阶加法群（单位元是 $\infty$ ）， $(G_{T}, *)$ 是一个 $n$ 阶乘法群（单位元是1），定义：

e : G_{1} \times G_{1} \to G_{T}

满足以下条件：
（1）（bilinearity）对于任意的 $R, S, T \in G_{1}$ ，有 $e (R + S, T) = e (R, T) e (S, T)$ 和 $e (R, S + T) = e (R, S) e (R, T)$
（2）（non-degeneracy） $e (P, P) \neq 1$
（3）（computability） $e$ 是可计算的

性质#

双线性对有以下性质：
（1） $e (S, \infty) = 1$ 和 $e (\infty, S) = 1$
（2） $e (S, - T) = e (- T, S) = e (S, T)^{- 1}$
（3） $e (a S, b T) = e (S, T)^{a b}$ ，对于 $a, b \in Z$
（4） $e (S, T) = e (T, S)$
（5）如果 $e (S, R) = 1$ ，对于所有的 $R \in G_{1}$ ，则 $S = \infty$

由双线性对性质产生一个引理：

$G_{1}$ 上的DLP可以规约到 $G_{T}$ 上的DLP

例如： $(P, Q)$ 是 $G_{1}$ 上的一个DLP实例，其中 $Q = x P$ ，那么 $e (P, Q) = e (p, x P) = e (P, P)^{x}$ ，所以 $l o g_{P} Q = l o g_{g} h$ ，其中 $g = e (P, P), h = e (P, Q)$ 是 $G_{T}$ 上的元素。
即 $Q = x P$ 问题变成了 $g = h^{x}$ 问题

而很多基于双线性对协议的安全性是BDHP。

BDHP#

$e$ 是一个双线性映射在 $(G_{1}, G_{T})$ 上，该问题可描述为：给出 $P, a P, b P, c P$ ，计算 $e (P, P)^{a b c}$ 是困难的，其中其中 $a, b, c \in Z$ 。

BDHP依赖于DHP在 $G_{1}$ 和 $G_{T}$ 上的困难性。

若DHP在 $G_{1}$ 上能解决（即给出 $a P, b P$ ，可以计算出 $a b P$ ），则可以通过计算 $a b P$ ，然后计算 $e (a b P, c P) = e (P, P)^{a b c}$ ，从而解决BDHP。
同样若对于 $G_{T}$ 上能解决（即给出 $g, g^{a b}, g^{c}$ ，可以计算出 $g^{a b c}$ ），则可以计算 $g = e (P, P), g^{a b} = e (a P, b P), g^{c} = (P, P)^{a b c}$ ，然后计算出 $g^{a b c}$ ，从而解决BDHP。

BDDHP（bilinear decisional Diffie-Hellman Problem）#

$e$ 是一个双线性映射在 $(G_{1}, G_{T})$ 上，该问题可描述为：给出 $P, a P, b P, c P$ ，区分 $e (P, P)^{a b c}$ 和 $e (P, P)^{d}$ 是困难的，其中 $a, b, c, d \in Z$ 。

DDHP（Decision Diffie-Hellman Problem）#

（在加法群上） $e$ 是一个双线性映射在 $(G_{1}, G_{T})$ 上，该问题可描述为：给出 $P, a P, b P, c P$ ，区分 $e (P, P)^{a b}$ 和 $e (P, P)^{c}$ 是困难的，其中 $a, b, c \in Z$ 。

如果给出 $G_{1}$ 上的四元组 $P, a P, b P, c P$ ，使得 $c P = a b P$ ，即 $r_{1} = e (P, c P)^{c}, r_{2} = e (a P, b P)^{a b}$ ,若 $r_{1} = r_{2}$ ，这样DDHP可以解决。
否则，不能！