[论文解读] Distinguishing a truncated random permutation from a random function

Shoni Gilboa, Shay Gueron|arXiv (Cornell University)|Jul 29, 2015

Algorithms and Data Compression参考文献 2被引用 5

一句话总结

该论文解决了长期存在的开放问题：区分截断随机置换与随机函数所需的查询量。证明了无论截断长度 m 如何，任何非可忽略的区分优势均需 Ω(2^{(m+n)/2}) 次查询。该工作通过引入更精细的集中不等式并改进碰撞概率的分析方法，扩展并强化了 Hall 等人（1998）的先前工作，最终证明该下界对所有 m < n 成立，其关键结果源自 Stam（1978）关于分布间统计距离的结论。

ABSTRACT

An oracle chooses a function $f$ from the set of $n$ bits strings to itself, which is either a randomly chosen permutation or a randomly chosen function. When queried by an $n$-bit string $w$, the oracle computes $f(w)$, truncates the $m$ last bits, and returns only the first $n-m$ bits of $f(w)$. How many queries does a querying adversary need to submit in order to distinguish the truncated permutation from a random function? In 1998, Hall et al. showed an algorithm for determining (with high probability) whether or not $f$ is a permutation, using $O(2^{\frac{m+n}{2}})$ queries. They also showed that if $m &lt; n/7$, a smaller number of queries will not suffice. For $m &gt; n/7$, their method gives a weaker bound. In this manuscript, we show how a modification of the method used by Hall et al. can solve the porblem completely. It extends the result to essentially every $m$, showing that $Ω(2^{\frac{m+n}{2}})$ queries are needed to get a non-negligible distinguishing advantage. We recently became aware that a better bound for the distinguishing advantage, for every $m

研究动机与目标

• 解决确定区分截断随机置换与随机函数所需查询复杂度的开放问题。
• 将 Hall 等人（1998）先前在 m ≤ n/7 范围内建立的区分优势下界扩展至更广范围。
• 证明对于所有 m < n，任何非可忽略的区分优势均需 Ω(2^{(m+n)/2}) 次查询。
• 表明该界源于 Stam（1978）关于统计距离的结果，该结果在以往分析中被忽视。

提出的方法

• 通过在截断输出中的碰撞数量上引入更精细的集中不等式，改进 Hall 等人（1998）基于碰撞的分析方法。
• 通过高阶矩分析和尾部概率估计，获得对区分优势 Adv 的显式上界。
• 应用引理 4.8 和引理 4.9，以界定在截断条件下观察到与置换一致的碰撞模式的概率。
• 采用参数化方法，引入 t ≥ 2、α_j 和 β 以控制尾部界中的误差项，从而实现对更大 m 值的扩展。
• 针对不同情况分别推导定理 1（适用于 m ≤ n/3）和定理 2（适用于 n/3 < m ≤ n−4−log₂n），基于碰撞概率和截断效应的特定边界。
• 通过验证 t、q、m 和 n 的所有条件，确保不等式在所有相关参数范围内成立。

实验结果

研究问题

• RQ1 区分截断随机置换与随机函数所需的最小查询次数是多少，作为 n 和 m 的函数？
• RQ2 查询复杂度的下界 Ω(2^{(m+n)/2}) 是否对所有 m < n 成立，还是仅在 m 较小时成立？
• RQ3 能否使用单一分析框架在所有 m < n 范围内统一界定区分优势？
• RQ4 Hall 等人（1998）的界对所有 m 都是紧的，还是在 m 较大时变弱？

主要发现

• 当 m ≤ n/3 时，区分优势 Adv 的上界为 O((q / 2^{(n+m)/2})^{2/3})，这意味着非可忽略优势需 q = Ω(2^{(m+n)/2}) 次查询。
• 当 n/3 < m ≤ n−4−log₂n 时，上界为 Adv ≤ 3(q / 2^{(n+m)/2})^{2/3} + 2(q / 2^{(n+m)/2}) + 5(q / 2^{(n+m)/2})^2 + ½(2q / 2^{(n+m)/2})^{n/(n−m)}，该界仍表明非可忽略优势需 q = Ω(2^{(m+n)/2}) 次查询。
• 该论文确立了对于所有 m < n，任何非可忽略的区分优势均需 Ω(2^{(m+n)/2}) 次查询，从而解决了 Hall 等人（1998）的猜想。
• 该结果源自 Stam（1978）已知的结论，其提供了截断置换与随机函数之间统计距离的更紧上界。
• 分析表明，Hall 等人的方法可通过允许非零 β 和更高 t 值，扩展至 t > 2 的情形，从而对较大 m 值实现对误差项的更紧密控制。
• 该论文确认，当 m 较大时，标准生日界（q = Ω(2^{n/2})）并非最紧的界，真正阈值为 2^{(m+n)/2}。