[論文レビュー] Distinguishing a truncated random permutation from a random function

Shoni Gilboa, Shay Gueron|arXiv (Cornell University)|Jul 29, 2015

Algorithms and Data Compression参考文献 2被引用数 5

ひとこと要約

この論文は、長年の未解決問題である、切り捨てられたランダム置換とランダム関数を区別するためのクエリ数の下界を解消した。任意の無視できない区別優位性を達成するには、切り捨て長さ m にかかわらず、Ω(2^{(m+n)/2}) のクエリが必要であることを証明した。これは、Hall ら (1998) の先行研究を拡張・強化したものであり、衝突確率の再分析と精密化された集中不等式を用いて、m < n のすべての m に対して下界が成り立つことを示した。主な結果は、1978 年の Stam による統計的距離に関する境界から導かれたものである。

ABSTRACT

An oracle chooses a function $f$ from the set of $n$ bits strings to itself, which is either a randomly chosen permutation or a randomly chosen function. When queried by an $n$-bit string $w$, the oracle computes $f(w)$, truncates the $m$ last bits, and returns only the first $n-m$ bits of $f(w)$. How many queries does a querying adversary need to submit in order to distinguish the truncated permutation from a random function? In 1998, Hall et al. showed an algorithm for determining (with high probability) whether or not $f$ is a permutation, using $O(2^{\frac{m+n}{2}})$ queries. They also showed that if $m &lt; n/7$, a smaller number of queries will not suffice. For $m &gt; n/7$, their method gives a weaker bound. In this manuscript, we show how a modification of the method used by Hall et al. can solve the porblem completely. It extends the result to essentially every $m$, showing that $Ω(2^{\frac{m+n}{2}})$ queries are needed to get a non-negligible distinguishing advantage. We recently became aware that a better bound for the distinguishing advantage, for every $m

研究の動機と目的

• 切り捨てられたランダム置換とランダム関数を区別するためのクエリ複雑度を特定するという未解決問題を解消すること。
• Hall ら (1998) が以前に確立した m ≤ n/7 の範囲を超えて、区別優位性の下界を拡張すること。
• m < n のすべての m に対して、任意の無視できない区別優位性を達成するには Ω(2^{(m+n)/2}) のクエリが必要であることを示すこと。
• この境界が、1978 年の Stam の統計的距離に関する結果から導かれるものであり、過去の解析で見過ごされていたこと。

提案手法

• Hall ら (1998) の衝突に基づく解析を修正し、切り捨て出力における衝突数の精密化された集中不等式を導入した。
• 高階モーメント解析と尾確率推定を用いて、Adv に対する明示的な上界を導出した。
• Lemma 4.8 と Lemma 4.9 を用いて、切り捨ての下で置換と整合する衝突パターンが観測される確率を制限した。
• t ≥ 2、α_j、β を用いたパラメータ化されたアプローチにより、尾確率の誤差項を制御し、より大きな m への拡張を可能にした。
• m ≤ n/3 に対しては定理 1、n/3 < m ≤ n−4−log₂n に対しては定理 2 を、衝突確率と切り捨て効果に関するケースバイケースの境界を用いて導出した。
• すべての t, q, m, n に関する条件が満たされていることを検証し、すべての関連パrameter範囲で不等式が成り立つことを保証した。

実験結果

リサーチクエスチョン

• RQ1 n と m の関数として、切り捨てられたランダム置換とランダム関数を区別するために必要な最小クエリ数は何か？
• RQ2 m < n のすべての値に対して、クエリ複雑度の下界 Ω(2^{(m+n)/2}) が成り立つか、それとも小さな m の範囲でのみ成り立つか？
• RQ3 一様な解析フレームワークを用いて、m < n のすべての m に対して区別優位性を一様に上界で抑えられるか？
• RQ4 Hall ら (1998) が導いた境界は、すべての m に対してタイトなものか、それとも m が大きくなると劣化するか？

主な発見

• m ≤ n/3 の場合、区別優位性 Adv は O((q / 2^{(n+m)/2})^{2/3}) で上界が抑えられ、無視できない優位性を得るには q = Ω(2^{(m+n)/2}) のクエリが必要であることが示された。
• n/3 < m ≤ n−4−log₂n の場合、Adv ≤ 3(q / 2^{(n+m)/2})^{2/3} + 2(q / 2^{(n+m)/2}) + 5(q / 2^{(n+m)/2})^2 + ½(2q / 2^{(n+m)/2})^{n/(n−m)} が成り立ち、依然として無視できない優位性を得るには q = Ω(2^{(m+n)/2}) が必要であることが示された。
• 本論文は、m < n のすべての m に対して、任意の無視できない区別優位性を得るには Ω(2^{(m+n)/2}) のクエリが必要であることを確立し、Hall ら (1998) の予想を解決した。
• この結果は、もともと知られていた Stam (1978) の境界から導かれたものであり、切り捨てられた置換とランダム関数の間の統計的距離に対するよりタイトな上界を提供している。
• 解析により、Hall らの手法は t=2 を超えて拡張可能であることが示された。非ゼロの β とより高い t を許容することで、m が大きい場合の誤差項をより厳密に制御できるようになった。
• 本論文は、m が大きいとき、標準的なバースデイ境界（q = Ω(2^{n/2})）が最良の境界ではないことを確認した。真の閾値は 2^{(m+n)/2} である。