[論文レビュー] On Search Complexity of Discrete Logarithm

Pavel Hubáček, Jan Václavek|arXiv (Cornell University)|Jul 6, 2021

Cryptographic Implementations and Security被引用数 3

ひとこと要約

この論文は、TFNP 内の複雑性クラス PPP および PWPP において、離散的対数問題の変種が完全であることを確立し、Sotiraki ら（FOCS'18）の未解決問題を解決した。著者は、DLog が PPP 完全であることを示す新しい還元を導入し、Dove および Claw と呼ばれる2つの新しい PWPP 完全問題を同定した。これにより、PWPP の構造的性質が明確になり、PPP や PWPP を超える下界を示すために離散的対数問題の困難性を用いる際の限界が明らかになった。

ABSTRACT

In this work, we study the discrete logarithm problem in the context of TFNP - the complexity class of search problems with a syntactically guaranteed existence of a solution for all instances. Our main results establish that suitable variants of the discrete logarithm problem are complete for the complexity class PPP, respectively PWPP, i.e., the subclasses of TFNP capturing total search problems with a solution guaranteed by the pigeonhole principle, respectively the weak pigeonhole principle. Besides answering an open problem from the recent work of Sotiraki, Zampetakis, and Zirdelis (FOCS'18), our completeness results for PPP and PWPP have implications for the recent line of work proving conditional lower bounds for problems in TFNP under cryptographic assumptions. In particular, they highlight that any attempt at basing average-case hardness in subclasses of TFNP (other than PWPP and PPP) on the average-case hardness of the discrete logarithm problem must exploit its structural properties beyond what is necessary for constructions of collision-resistant hash functions. Additionally, our reductions provide new structural insights into the class PWPP by establishing two new PWPP-complete problems. First, the problem DOVE, a relaxation of the PPP-complete problem PIGEON. DOVE is the first PWPP-complete problem not defined in terms of an explicitly shrinking function. Second, the problem CLAW, a total search problem capturing the computational complexity of breaking claw-free permutations. In the context of TFNP, the PWPP-completeness of CLAW matches the known intrinsic relationship between collision-resistant hash functions and claw-free permutations established in the cryptographic literature.

研究の動機と目的

• TFNP 内の複雑性クラス PPP および PWPP において、離散的対数問題の変種が完全であるかどうかという未解決問題を解明すること。
• 離散的対数問題の構造的性質が、TFNP の部分クラスにおける平均ケースの困難性を示す際に果たす役割を明確化すること。
• Dove や Claw のような新しい完全問題の同定を通じて、複雑性クラス PWPP の構造的洞察を提供すること。
• TFNP の部分クラスにおいて、PWPP や PPP を超える下界を示すために、離散的対数問題の平均ケースの困難性に依存する暗号的困難性結果は、構造的特徴を深く利用しない限り成立しないことを示すこと。

提案手法

• ボーリアン回路によって誘導される群準同型（groupoids）を用いて、一般の群における離散的対数問題を形式化する。
• Pigeon（PPP 完全問題）から DLog への還元を構築し、DLog が PPP 困難かつ全関数的であることを証明することで、DLog が PPP 完全であることを示す。
• 縮小関数を介さない直接的な回路ベースの構成を用いて、Dove を PWPP 完全問題として導入する。
• クラフトフリー置換の破壊を捉える全関数的探索問題としての Claw を定義し、それが PWPP 完全であることを証明する。
• 格子理論的性質（例：q 進格子）を必要とせず、回路表現のみに依存する、Pigeon から Blichfeldt への新しい還元を用いる。
• この還元によって生成される Blichfeldt のインスタンスは、タイプ2またはタイプ3の解を生じさせないため、解はタイプ1（V における衝突）に強制され、Pigeon に一致する。

実験結果

リサーチクエスチョン

• RQ1 TFNP 内の複雑性クラス PPP および PWPP において、離散的対数問題の変種が完全であるか？
• RQ2 離散的対数問題は、PWPP や PPP を超える TFNP の部分クラスにおける平均ケースの困難性の根拠として用いられるか？
• RQ3 Dove や Claw のような新しい完全問題を許容する PWPP の構造的性質は何か？
• RQ4 Blichfeldt の PPP 困難性は、深いつまりの数論的性質に依存しているのか、それとも直接的な回路ベースの還元によって示せるか？
• RQ5 Blichfeldt への還元は、Blichfeldt の定理によって保証される解に依存せずに、計算の核心を分離できるか？

主な発見

• 一般の群における離散的対数問題は、複雑性クラス PPP に完全である。
• Pigeon の緩和版である問題 Dove は、明示的な縮小関数を介さない最初の PWPP 完全問題である。
• クラフトフリー置換の破壊を捉える計算複雑性を表す問題 Claw は、PWPP 完全である。
• Blichfeldt の PPP 困難性は、q 進格子などの格子理論的性質を必要とせず、Pigeon からの直接還元によって示せる。
• Pigeon から Blichfeldt への還元によって生成されるインスタンスでは、タイプ2およびタイプ3の解が不可能であるため、オракルは V における衝突（タイプ1の解）を返さざるを得ず、Pigeon の解が保持される。
• 著者らは、DLogp（一意解を持つ変種）は PWPP 完全でない可能性があると予想しており、PWPP の文脈において、一意解と非一意解の変種に根本的な違いがあることを示唆している。