Coursera - Dan Boneh - Cryptography 1 - Week 1 - PRG Security Definitions 学习笔记【4】

本篇文章要介绍的内容包括：可忽略的（negligible）、伪随机数生成器（PRG）、Statistical tests（统计检验）、Advantage、Secure PRGs（安全伪随机生成器）、computationally indistinguishable（计算不可区分）。
明天再补。

可忽略的(negligible)

首先我们尝试用实践的角度理解，如果$\epsilon \ge 1/2^{30}$，那么$\epsilon$是不可忽略的(non-neg)，因为很有可能在$1GB$的数据中出现一次；如果$ϵ\le 1/2^{80}$，那么$\epsilon$是可忽略的(negligible)，在很多很多的数据中也不太可能出现一次。

从理论的角度来说，$\epsilon$是一个${\mathbb{Z}}^{\ge 0}\to {\mathbb{R}}^{\ge 0}$的函数并且
$\epsilon$是不可忽略的(non-neg)，当且仅当$\exists d:\epsilon (\lambda )\ge 1/{\lambda }^d.$
$\epsilon$是可忽略的(negligible)，当且仅当$\forall d,\lambda \ge {\lambda }_d:\epsilon (\lambda )\le 1/{\lambda }^d.$

理解：当$\epsilon$是不可忽略的(non-neg)，
$$\epsilon (\lambda )\ge \frac{1}{{\lambda }^d}\ge \frac{1}{{\lambda }^d+{\lambda }^{d-1}+\cdots +{\lambda }^0},$$
即$\epsilon \ge 1/poly$，$\epsilon$也是大于等于某个多项式的倒数的。
类似的，当$\epsilon$是可忽略的(negligible)，如果$\lambda$足够大，有$\epsilon \le 1/poly$，$\epsilon$是小于等于所有多项式的倒数的。

三个例子

例1：$\epsilon (\lambda )=1/2^{\lambda }$是可忽略的(negligible)。
简单说明：无论$d$取什么值，$\lambda$总是可以取对应的值，使得$2^{\lambda }\ge {\lambda }^d$。

例2：$\epsilon (\lambda )=1/{\lambda }^{1000}$是不可忽略的(non-neg)。
简单说明：当$\lambda \ge 1$时，可取$d=1001$；当$0\le \lambda <1$时，可取$d=999$。

例3：$\epsilon (\lambda )=\{\begin{array}{cr}1/2^{\lambda },& 当\lambda 为奇数时；\\ 1/{\lambda }^{1000},& 当\lambda 为偶数时.\end{array}$，$\epsilon (\lambda )$是不可忽略的(non-negligible)。
简单说明：因为要对$\forall d$都成立，当$\lambda$为偶数时，根据例2是不可忽略的，所以$\epsilon (\lambda )$不可忽略。

伪随机数生成器（PRG）

定义：设 G : K → { 0 , 1 } n G:\mathcal{K}\rightarrow\{0,1\}^{n} G:K→{ 0,1}n，如果说$[k\stackrel{R}{\leftarrow }\mathcal{K},输出G(k)]$和 [ r ← R { 0 , 1 } n ， 输 出 r ] [r\stackrel{R}{\leftarrow}\{0,1\}^{n}，输出r] [r←R{ 0,1}n，输出r]是不可区分（indistinguishable）的，那么就说$G$是伪随机数生成器（PRG）。

注释： r ← R { 0 , 1 } n r\stackrel{R}{\leftarrow}\{0,1\}^n r←R{ 0,1}n表示从 { 0 , 1 } n \{0,1\}^{n} { 0,1}n均匀地取出一个数$r$（即，均匀抽样）。
不可区分（indistinguishable）是说两者非常非常接近，相差很小。
定义中因为是均匀抽样，所以$G(k)$和$r$的不可区分是从他们的概率分布来看的，他们的任意两个数输出的概率相差地非常非常小，小到几乎可以忽略（negligible，如$\le 2^{30}$)，多项式时间内看不出两者的区别。

Statistical Tests（统计检验）

定义：统计检验（Statistical test）是一个算法 A ( x ) , x ∈ { 0 , 1 } n A(x),x\in\{0,1\}^{n} A(x),x∈{ 0,1}n，且满足 A ( x ) ∈ { 0 , 1 } A(x)\in\{0,1\} A(x)∈{ 0,1}。

注释：假设算法$A(x)$用来判断$x$是否是随机数，若是随机数，则$A(x)$输出$1$；若不是随机数，$A(x)$输出$0$。

两个例子

例1：如果“算法$A(x)$判断$x$是否是随机数“是通过$0$和$1$的个数是否很接近得到的，那么可以如下定义$A(x)$：
$A(x)=1$当且仅当$|\#0(x)-\#1(x)|\le 10\cdot \sqrt{n}$，其中$\#0(x)$表示$x$中$0$的个数，$\#1(x)$表示$x$中$1$的个数。

例2：如果“算法$A(x)$判断$x$是否是随机数“是通过连续两个$0$的个数是否接近$\frac{1}{4}n$得到的，那么可以如下定义$A(x)$：
$A(x)=1$当且仅当$|\#00(x)-\frac{n}{4}|\le 10\cdot \sqrt{n}$，其中$\#00(x)$表示$x$中$00$的个数。

PRG的Advantage

定义：定义为算法$A$是伪随机数生成器$G$相对于随机数的Advantage为
$$Ad{v}_{PRG}[A,G]=|Pr[A(G(k))=1]-Pr[A(r)=1]|,$$其中$A(x)$是统计检验（Statistical test）， G : K → { 0 , 1 } n G:\mathcal{K}\rightarrow\{0,1\}^n G:K→{ 0,1}n，以及 r ← R { 0 , 1 } n r\stackrel{R}{\leftarrow}\{0,1\}^n r←R{ 0,1}n。

注释：如果$Pr[A(G(k))=1]$是算法$A$判定$G(k)$是随机数的概率，$Pr[A(r)=1]$是算法$A$判定$r$是随机数的概率，那么$Ad{v}_{PRG}[A,G]$表示$G(k)$在算法$A$下离均匀抽样$r$的距离，越接近均匀抽样透露的原信息就越少，越不容易预测$G(k)$，所以$Ad{v}_{PRG}[A,G]$越小越好。

一个例子

现在有伪随机数生成器 G : K → { 0 , 1 } n G:\mathcal{K}\rightarrow\{0,1\}^n G:K→{ 0,1}n，有$\frac{2}{3}$的概率使得$msb(G(k))=1$（其中$msb(x)$表示二进制下$x$的最高位），定义统计检验$A(x)$为
“如果$msb(x)=1$那么$A(x)=1$；否则$A(x)=0$”，则有
$$Ad{v}_{PRG}[A,G]=|Pr[A(G(k))=1]-Pr[A(r)=1]|=|2/3-1/2|=1/6,$$即算法$A$能够预测生成器$G$的Advantage为$1/6$。

Secure PRGs（安全伪随机生成器）

定义：设 G : K → { 0 , 1 } n G:\mathcal{K}\rightarrow\{0,1\}^n G:K→{ 0,1}n，如果所有高效（Efficient）的统计检验（Statistics tests）$A:Ad{v}_{PRG}[A,G]$是可忽略的（negligible），那么$G$是安全伪随机生成器（Secure PRG）。

注释：现在还不知道是否存在可证明的Secure PRG。一个Secure PRG是不可预测(unpredictable)的。

定理(Yao’82)

定理(Yao’82)：设 G : K → { 0 , 1 } n G:\mathcal{K}\rightarrow\{0,1\}^n G:K→{ 0,1}n是一个PRG，如果 ∀ i ∈ { 0 , 1 , ⋯   , n − 1 } \forall i\in\{0,1,\cdots,n-1\} ∀i∈{ 0,1,⋯,n−1}，$G$输出的第$i$位都是不可预测的，那么$G$是一个Secure PRG。

注释：这个定理只需要一位一位考虑是否不可预测，而不用整体的看，极大地简化了判断Secure PRG的方式。

computationally indistinguishable（计算不可区分）

定义：如果$P_1$和$P_2$是在 { 0 , 1 } n \{0,1\}^n { 0,1}n上的两个分布函数，当所有高效的统计检验（Statistics tests）$A:|P{r}_{x\leftarrow P_1}[A(x)=1]-P{r}_{x\leftarrow P_2}[A(x)=1]|$是可忽略的（negligible），那么$P_1$和$P_2$是计算不可区分（computationally indistinguishable）的，记作$P_1{\approx }_p{P}_2$。

一个例子

如果 { k ← R K : G ( k ) } ≈ p u n i f o r m ( { 0 , 1 } n ) \{k\stackrel{R}{\leftarrow}\mathcal{K}:G(k)\}\approx_p uniform(\{0,1\}^n) { k←RK:G(k)}≈p​uniform({ 0,1}n)，PRG是安全的。

uniform是均匀分布。