Введение
Предположение о вычислительной сложности Диффи — Хеллмана (DDH) — это предположение о вычислительной трудности, связанное с определенной задачей, включающей дискретные логарифмы в циклических группах. Оно используется в качестве основы для доказательства безопасности многих криптографических протоколов, в частности криптосистем ElGamal и Cramer–Shoup.
Отношение к другим предположениям
Предположение DDH связано с предположением о дискретном логарифме. Если бы можно было эффективно вычислять дискретные логарифмы в , то предположение DDH не выполнялось бы в . Для данного , можно было бы эффективно определить, является ли , сначала вычислив дискретный логарифм , а затем сравнив его с .
DDH is considered to be a stronger assumption than the discrete logarithm assumption, because there are groups for which computing discrete logs is believed to be hard (And thus the DL Assumption is believed to be true), but detecting DDH tuples is easy (And thus DDH is false). Because of this, requiring that the DDH assumption holds in a group is believed to be a more restrictive requirement than DL. The DDH assumption is also related to the computational Diffie–Hellman assumption (CDH). If it were possible to efficiently compute from , then one could easily distinguish the two probability distributions above. DDH is considered to be a stronger assumption than CDH because if CDH is solved, which means we can get , the answer to DDH will become obvious.
DDH считается более сильным предположением, чем предположение о дискретном логарифме, поскольку существуют группы, для которых вычисление дискретных логарифмов считается сложной задачей (и, следовательно, предположение о дискретном логарифме считается верным), но обнаружение DDH-кортежей – легкой (и, следовательно, DDH ложно). Из-за этого требование, чтобы предположение DDH выполнялось в группе, считается более строгим, чем требование выполнения предположения о дискретном логарифме.
DDH is considered to be a stronger assumption than the discrete logarithm assumption, because there are groups for which computing discrete logs is believed to be hard (And thus the DL Assumption is believed to be true), but detecting DDH tuples is easy (And thus DDH is false). Because of this, requiring that the DDH assumption holds in a group is believed to be a more restrictive requirement than DL. The DDH assumption is also related to the computational Diffie–Hellman assumption (CDH). If it were possible to efficiently compute from , then one could easily distinguish the two probability distributions above. DDH is considered to be a stronger assumption than CDH because if CDH is solved, which means we can get , the answer to DDH will become obvious.
Предположение DDH также связано с вычислительным предположением Диффи — Хеллмана (CDH). Если бы можно было эффективно вычислить из , то можно было бы легко различить два указанных выше вероятностных распределения. DDH считается более сильным предположением, чем CDH, поскольку если CDH решена, то есть мы можем получить , ответ на вопрос DDH станет очевидным.
DDH is considered to be a stronger assumption than the discrete logarithm assumption, because there are groups for which computing discrete logs is believed to be hard (And thus the DL Assumption is believed to be true), but detecting DDH tuples is easy (And thus DDH is false). Because of this, requiring that the DDH assumption holds in a group is believed to be a more restrictive requirement than DL. The DDH assumption is also related to the computational Diffie–Hellman assumption (CDH). If it were possible to efficiently compute from , then one could easily distinguish the two probability distributions above. DDH is considered to be a stronger assumption than CDH because if CDH is solved, which means we can get , the answer to DDH will become obvious.
Другие свойства
Проблема обнаружения кортежей DDH является случайным образом самоприводимой, то есть, грубо говоря, если она сложна даже для небольшой доли входных данных, то она сложна и для почти всех входных данных; если она легка даже для небольшой доли входных данных, то она легка и для почти всех входных данных.