Perché non esiste un algoritmo di crittografia basato sui noti problemi NP-Hard?

La maggior parte della crittografia odierna, come RSA, si basa sulla fattorizzazione a numeri interi, che non si ritiene sia un problema NP-difficile, ma appartiene a BQP, che lo rende vulnerabile ai computer quantistici. Mi chiedo, perché non esiste un algoritmo di crittografia basato su un noto problema NP-difficile. Sembra (almeno in teoria) come sarebbe un algoritmo di crittografia migliore di quello che non ha dimostrato di essere NP-difficile.

$P \ne NP$$P \ne NP$

Una lettura eccellente è il classico di Russell Impagliazzo, A Personal View of Average-Case Complexity , 1995.

Un eccellente sondaggio è la complessità dei casi medi di Bogdanov e Trevisan, Fondamenti e tendenze dell'informatica teorica Vol. 2, n. 1 (2006) 1–106

Ci sono stati.

Un esempio è il sistema crittografico McEliece basato sulla durezza della decodifica di un codice lineare.

Un secondo esempio è NTRUEncrypt che si basa sul problema vettoriale più breve che credo sia noto per essere NP-Hard.

Un altro è il sistema crittografico a zaino Merkle-Hellman che è stato rotto.

Nota: non ho idea se i primi due sono rotti / quanto sono buoni. Tutto quello che so è che esistono e ho ottenuto quelli facendo una ricerca sul web.

Mi vengono in mente quattro ostacoli principali che non sono del tutto indipendenti:

• La durezza NP fornisce solo informazioni sulla complessità del limite . Per molti problemi NP-completi, esistono algoritmi che risolvono tutte le istanze di interesse (in un determinato scenario) ragionevolmente velocemente. In altre parole, per qualsiasi dimensione di problema fissa (ad es. Una determinata "chiave"), il problema non è necessariamente difficile solo perché è NP-difficile.
• La durezza NP considera solo il momento peggiore. Molte, anche la maggior parte delle istanze, possono essere facili da risolvere con algoritmi esistenti. Anche se sapessimo caratterizzare le istanze difficili (afaik, non lo facciamo), dovremmo comunque trovarle.
• $2^{n(n-1)}$$n$$n$
• Hai bisogno di una sorta di reversibilità. Ad esempio, qualsiasi numero intero è descritto in modo univoco dalla sua scomposizione in fattori primi. Immagine che vorremmo usare TSP come metodo di crittografia; dati tutti i tour più brevi, puoi (ri) costruire il grafico da cui provengono in modo univoco?

Si noti che non ho esperienza in crittografia; questi sono semplicemente resp algoritmici. obiezioni teoriche sulla complessità.

La crittografia a chiave pubblica come la conosciamo oggi è costruita su permutazioni a botola a senso unico e la botola è essenziale.

Affinché un protocollo sia protetto pubblicamente, è necessaria una chiave disponibile per chiunque e un modo per crittografare un messaggio utilizzando questa chiave. Ovviamente, una volta crittografato, dovrebbe essere difficile recuperare il messaggio originale conoscendo solo la sua cifra e la chiave pubblica: la cifra deve essere decifrabile solo con alcune informazioni aggiuntive, vale a dire la chiave privata.

Con questo in mente, è facile costruire un sistema crittografico primitivo basato su qualsiasi permutazione a botola a senso unico.

1. Alice dà la permutazione unidirezionale al pubblico e tiene la botola per sé.
2. Bob inserì il suo input nella permutazione e trasmise l'output ad Alice.
3. Alice usa la botola per invertire la permutazione con l'uscita di Bob.

$\mathsf{P} \ne \mathsf{NP}$

$\mathsf{P} \ne \mathsf{NP}$$\mathsf{NPI}$$\mathsf{NP}$$\mathsf{NP}$$\mathsf{NPI}$$\mathsf{NP}$

$\mathsf{NP}$$\mathsf{NP}$$\mathsf{NP}$

Giusto per dare una discussione euristica, basata sull'esperienza pratica.

Quasi tutti i casi, di quasi tutti i problemi NP-completi, sono facili da risolvere. Ci sono problemi in cui questo non è vero, ma sono difficili da trovare, ed è difficile essere sicuri di avere una classe del genere.

Ciò è emerso in pratica diverse volte quando le persone provano a scrivere generatori di problemi casuali per alcune famose classi NP-complete, come Constraint Programming, SAT o Traveling Salesman. In un secondo momento qualcuno trova un metodo per risolvere quasi tutte le istanze che il generatore casuale produce banalmente. Naturalmente, se fosse il caso di un sistema di crittografia, saremmo in guai seri!

I cryptosystems Merkle-Hellman si basano su problemi di zaino binario (somma dei sottoinsiemi).