[论文解读] On Search Complexity of Discrete Logarithm

Pavel Hubáček, Jan Václavek|arXiv (Cornell University)|Jul 6, 2021

Cryptographic Implementations and Security被引用 3

一句话总结

本文证明了离散对数问题的变体在TFNP内的复杂度类PPP和PWPP中是完全的，解决了Sotiraki等人（FOCS'18）提出的一个开放问题。作者引入了新的归约方法，证明DLog是PPP-完全的，并识别出两个新的PWPP-完全问题——Dove和Claw，为PWPP的结构提供了新见解，明确了利用离散对数困难性作为下界证明的局限性，该局限性超出PWPP和PPP范围。

ABSTRACT

In this work, we study the discrete logarithm problem in the context of TFNP - the complexity class of search problems with a syntactically guaranteed existence of a solution for all instances. Our main results establish that suitable variants of the discrete logarithm problem are complete for the complexity class PPP, respectively PWPP, i.e., the subclasses of TFNP capturing total search problems with a solution guaranteed by the pigeonhole principle, respectively the weak pigeonhole principle. Besides answering an open problem from the recent work of Sotiraki, Zampetakis, and Zirdelis (FOCS'18), our completeness results for PPP and PWPP have implications for the recent line of work proving conditional lower bounds for problems in TFNP under cryptographic assumptions. In particular, they highlight that any attempt at basing average-case hardness in subclasses of TFNP (other than PWPP and PPP) on the average-case hardness of the discrete logarithm problem must exploit its structural properties beyond what is necessary for constructions of collision-resistant hash functions. Additionally, our reductions provide new structural insights into the class PWPP by establishing two new PWPP-complete problems. First, the problem DOVE, a relaxation of the PPP-complete problem PIGEON. DOVE is the first PWPP-complete problem not defined in terms of an explicitly shrinking function. Second, the problem CLAW, a total search problem capturing the computational complexity of breaking claw-free permutations. In the context of TFNP, the PWPP-completeness of CLAW matches the known intrinsic relationship between collision-resistant hash functions and claw-free permutations established in the cryptographic literature.

研究动机与目标

• 解决离散对数变体是否在TFNP内PPP和PWPP中完全的开放问题。
• 阐明离散对数的结构特性在证明TFNP子类平均情况困难性中的作用。
• 通过识别新颖的完全问题，为复杂度类PWPP提供新的结构洞见。
• 证明TFNP子类中超出PWPP和PPP的任何密码学困难性结果，若仅依赖离散对数的平均情况困难性，则无法成立，而必须利用更深层的结构特征。

提出的方法

• 使用布尔电路诱导的广义群（groupoids）形式化一般群中的离散对数问题。
• 构建从PPP-完全问题Pigeon到DLog的归约，证明DLog是PPP-难的且为总问题，因此是PPP-完全的。
• 引入问题Dove作为非通过压缩函数定义的PWPP-完全问题，采用直接的电路构造方法。
• 定义问题Claw为一个总搜索问题，用于捕捉无爪置换破坏的计算复杂度，并证明其为PWPP-完全的。
• 使用一种新颖的从Pigeon到Blichfeldt的归约，绕过对格理论性质（如q-进格）的依赖，仅依赖于电路表示。
• 证明通过该归约生成的Blichfeldt实例不会产生类型2或类型3的解，强制解为类型1（即V中的碰撞），从而与Pigeon问题建立联系。

实验结果

研究问题

• RQ1 离散对数问题的变体是否在TFNP内的复杂度类PPP和PWPP中是完全的？
• RQ2 离散对数问题能否作为TFNP子类中超出PWPP和PPP的平均情况困难性的基础？
• RQ3 PWPP的哪些结构特性使得像Dove和Claw这样的新完全问题得以被识别？
• RQ4 Blichfeldt的PPP-难性是否依赖于深层数论性质，还是可通过直接的电路归约方法证明？
• RQ5 到Blichfeldt的归约能否避免依赖Blichfeldt定理保证的解，从而隔离出计算核心？

主要发现

• 一般群中的离散对数问题在复杂度类PPP中是完全的。
• Dove问题（Pigeon的松弛形式）是首个非通过显式压缩函数定义的PWPP-完全问题。
• Claw问题（捕捉无爪置换破坏的计算复杂度）是PWPP-完全的。
• Blichfeldt的PPP-难性可通过从Pigeon出发的直接归约来证明，而无需依赖如q-进格等格理论性质。
• 从Pigeon到Blichfeldt的归约生成的实例中，类型2和类型3的解均不可能存在，强制预言机返回电路V中的碰撞，从而保留了Pigeon问题的解。
• 作者推测DLogp（具有唯一解的变体）不是PWPP-完全的，暗示在PWPP背景下，唯一解与非唯一解变体之间存在根本性差异。