Anais - Engenharia de Redes de Comunicação - UnB

Se A consulta RevealSessionKey(A, C, s), S procede de forma análoga e captura consistência
fornecendo 〈aP, r c P, yP, K 1 〉 e 〈aP, x c P, yP, M 1 〉 ao oráculo DBDH.
Se A consulta RevealSessionKey(C, B, s), S testa a consistência dos componentes de Z e
testa se K ? = K 1 ·K 2 ·K 3 ·e(Z 3 , aP ) e se L ? = L 1 ·L 2 ·L 3 ·e(Z 3 , aP ); se todas igualdades
valem, responde SK, caso contrário, sorteia novo SK.
Casos 6, 7 e 8. O desafio é embutido respectivamente em M 2 , K 1 e K 2 . S procede de
forma semelhante ao caso 5.
Caso 9. Similar ao caso 5, mas o desafio é embutido em K 3 . Se A consulta H, S fornece
〈aP, bP, cP, r A P, r B P, K〉 ao oráculo de decisão-BDH + (ver Apêndice A.2); se o
oráculo responder positivamente, S calcula K ′ K
=
K 2·K 4
L ′ L
=
L 2·L 4
U 1 =
[
e(
y A (r z BP + y B P ) − y A cP − y B bP, aP ) ] [ ] −1
1+z
U 2 = [L ′ ] −1
1
z K
K 3 = U 1 ·
′ 1+z
U 2
e
answerBDH ← K 3 .
Se A consulta RevealSessionKey(A, B, s), S testa K como acima e fornece
〈aP, bP, cP, x A P, x B P, M〉 ao oráculo de decisão-BDH ∗ ; se o oráculo responder positivamente
e K também passar no teste, S responde SK, caso contrário, sorteia novo SK.
Se A consulta RevealSessionKey para (A, C, s) ou (C, B, s), S procede de forma análoga
ao caso 5.
A.2. Variantes do problema Gap-BDH
Seja e : G × G → G T um emparelhamento bilinear admissível, com G e G T grupos de
ordem prima q, P gerador de G e valores aleatórios a, b, c ∈ Z q e r, s ∈ Z ∗ q. Defina os
seguintes problemas computacionais:
BDH ∗ : dados 〈aP, bP, cP, rP, sP 〉, calcular e(sP, abP ) · e(rP, acP ).
BDH + : dados 〈aP, bP, cP, rP, sP 〉, calcular e(sP + cP, raP + abP ).
Gap-BDH ∗ : dados 〈aP, bP, cP, rP, sP 〉, calcular e(sP, abP ) · e(rP, acP ), com ajuda de
um oráculo de decisão-BDH ∗ , que decide se e(vP, xyP ) · e(uP, xzP ) ? = T , para
dados (xP, yP, zP, uP, vP, T ) ∈ G 5 × G T .
Gap-BDH + : dados 〈aP, bP, cP, rP, sP 〉, calcular e(sP +cP, raP +abP ), com ajuda de
um oráculo de decisão-BDH + .
Os problemas BDH ∗ e BDH + são equivalentes ao BDH:
BDH = p BDH ∗ . É imediato que BDH ∗ ≤ p BDH. Para ver que BDH ≤ p BDH ∗ , suponha
que existe um algoritmo A que resolve o BDH ∗ ; vamos construir um algoritmo
S que resolve o BDH. S recebe como entrada (xP, yP, zP ), escolhe u, v ∈ Z ∗ q,
submete (xP, yP, uP, vP, zP ) para A e recebe como resposta T = e(zP, xyP ) ·
e(vP, xuP ). S devolve T · e(vP, xP ) −u como solução.
BDH = p BDH + . Para ver que BDH ≤ p BDH + , suponha que existe um algoritmo A que
resolve o BDH + ; vamos construir um algoritmo S que resolve o BDH. S recebe
como entrada (xP, yP, zP ), escolhe u, v ∈ Z ∗ q, submete (xP, yP, zP, uP, vP )
para A e recebe como resposta T = e(vP + zP, uxP + xyP ) = e(vP, xyP ) ·
e(zP, uxP ) · e(zP, xyP ) · e(vP, uxP ). S devolve T · e(xP, yP ) −v · e(zP, xP ) −u ·
e(vP, xP ) −u como solução. BDH + ≤ p BDH segue de forma análoga.
Dessas equivalências, segue que Gap-BDH ∗ e Gap-BDH + são equivalentes a Gap-BDH.
278