Possiamo costruire una permutazione indipendente dal punto di vista k su [n] usando solo tempo e spazio costanti?

Sia $k>0$ una costante fissa. Dato un numero intero $n$ , vogliamo costruire una permutazione $\sigma \in S_n$ tale che:

1. La costruzione utilizza tempo e spazio costanti (ovvero la preelaborazione richiede tempo e spazio costanti). Possiamo usare la randomizzazione.

2. Dato $i\in[n]$ , $\sigma(i)$ può essere calcolato in tempo e spazio costanti.

3. La permutazione $\sigma$ IS $k$ -wise indipendente, cioè per tutti $i_1, \ldots, i_k$ , le variabili casuali $\sigma(i_1), \ldots, \sigma(i_k)$ sono indipendenti e uniformemente distribuita su $[n]$ .

L'unica cosa che conosco attualmente usa lo spazio logaritmico e il tempo di calcolo polinomiale per valore di $\sigma(i)$ usando generatori pseudo-casuali.

sfondo

Avevo bisogno di qualcosa di simile a quanto sopra per alcuni lavori recenti e ho finito per usare qualcosa di più debole: ho permesso voci ripetute e verificato che tutti i numeri di cui avevo bisogno erano coperti (cioè, un casino). In particolare, ho ottenuto una sequenza indipendente $k$ -wise che può essere calcolata nel tempo $O(1)$ e usando lo spazio costante. Sarebbe bello avere qualcosa di più semplice, o semplicemente sapere cosa si sa.

ipotesi

Sto assumendo il modello di RAM a costo unitario. Ogni parola nella memoria / registro ha dimensione e ogni operazione aritmetica di base richiede O ( 1 ) . Sono disposto ad assumere qualsiasi ragionevole presupposto crittografico (funzione unidirezionale, registro discreto, ecc.).$O(\log n)$$O(1)$

Cosa attuale

$\sigma(x) = \sum_{i=0}^{k+2} a_i x^i \bmod p$$p$$p$$n$$a_i$$[p]$$\sigma(1), \sigma(2), \ldots, \sigma(n)$$k$$n(1-1/e)$$[n]$ appare in questa sequenza. Si noti, tuttavia, che poiché i numeri si ripetono in questa sequenza, non è una permutazione.

Se si desidera utilizzare tecniche crittografiche e fare affidamento su ipotesi crittografiche e accettare una nozione computazionale di indipendenza -wise, è possibile che la crittografia (FPE) per la conservazione del formato possa essere utile. Permettetemi di disegnare alcune diverse costruzioni di questo tipo.$k$

(Per "nozione computazionale dell'indipendenza -wise", intendo che nessun avversario con un ragionevole tempo di esecuzione può distinguere da una permutazione indipendente -wise, tranne che con un vantaggio trascurabile. Questi schemi non saranno teoricamente informazioni - saggiamente indipendente, ma saranno "essenzialmente buoni quanto indipendenti dal punto di vista ", assumendo che tutto il calcolo in vista sia limitato dal punto di vista computazionale.)$k$$\sigma$$k$$k$$k$

Uno schema pratico, per i più piccoli$n$

In particolare, utilizzare una costruzione FPE per creare un codice a blocchi (permutazione pseudocasuale, PRP) con la firma . Per valori di inferiori a , probabilmente lo schema migliore è utilizzare una costruzione Feistel con un numero fisso di round (diciamo, 10) e una funzione round che è un PRF derivato da AES. Il tempo di esecuzione per valutare per un singolo valore di sarà invocazioni AES. Ogni invocazione AES viene eseguita a tempo costante.$\sigma_k : [n] \to [n]$$n$$2^{128}$$\sigma_k(i)$$i$$O(1)$

Infine, nota che qualsiasi permutazione pseudocasuale è automaticamente indipendente dal punto di vista . In particolare, il teorema di Luby-Rackoff garantisce che con almeno 3 round, si ottiene (approssimativamente) l' indipendenza -wise se , supponendo che AES sia sicuro. Con più round, è probabile che ci sarà un risultato più forte, ma i teoremi sono più difficili da dimostrare e diventare più tecnici, anche se si ritiene che un numero costante di round dovrebbe essere sufficiente per ottenere una sicurezza estremamente elevata (e quindi essenzialmente perfetto - saggia indipendenza per tutti i valori ragionevoli di ).$k$$k$$k \ll n^{1/4}$$k$$k$

Generalizzando questo a più grande$n$

Quando è più grande, le cose diventano più strane, perché il modello RAM a costo unitario consente implicitamente gratuitamente fino a parallelismo. Non mi è chiaro quale debba essere il costo dei PRP in questo modello (costante? Crescente con ? Non lo so).$n$$O(\lg n)$$n$

Una terza possibile costruzione

Sia un modulo RSA leggermente più grande di . Definisci come sottogruppo di contenente gli elementi il ​​cui simbolo Jacobi è . Definisci di$m$$2n$$G$$(\mathbb{Z}/m\mathbb{Z})^*$$+1$$\pi : G \to G$

Quindi, definire da$\sigma$

dove sono funzioni di hash casuali indipendenti dal biettivo 2.$f,g$

Ho il sospetto che questa costruzione abbia la possibilità di essere (approssimativamente) -wise indipendente, sotto un'ipotesi simile a RSA. Non ho prove, solo un'intuizione. La principale regolarità nota di è che è moltiplicativamente omomorfa: . Non conosco altre regolarità rilevanti, nemmeno la dipendenza -wise. Applicare un hash indipendente da 2 prima e dopo elimina in modo evidente questa regolarità: se è indipendenza way tranne per l'omomorficità moltiplicativa, allora gli hash indipendenti 2-saggi sembrano come se dovessero fornire completo$k$$\pi$$\pi(xy) = \pi(x) \pi(y)$$k$$\pi$$\pi$$k$$k$-indipendenza. Ma questo è super-abbozzato e anni luce da una prova di indipendenza -wise.$k$

Tieni presente che dovrai utilizzare tecniche di crittografia che preservano il formato (ad esempio, la tecnica del ciclismo) per assicurarti che funzioni su anziché su . Questo schema dovrebbe avere il tempo di esecuzione (previsto) per valutare corrispondenza di un dato input , con un'opportuna scelta di .$f,g$$G$$(\mathbb{Z}/m\mathbb{Z})$$O(1)$$\sigma(i)$$i$$f,g$

Inoltre, in un certo senso questa costruzione candidata sta abusando del modello di RAM a costo unitario basandosi sulla capacità di operare su numeri -bit nel tempo , per grandi valori di , che non è davvero ragionevole in pratica. (Quest'ultima costruzione non sarà sicuro per i piccoli valori di , quindi questo ultimo approccio si basa fondamentalmente sulla larga regime per poter avere la possibilità di lavorare ... esattamente il regime in cui il modello di RAM unità-costo è più dubbia.)$\lg n$$O(1)$$n$$n$$n$

Ammetto liberamente che questo è piuttosto lungo, ma lo menziono nel caso in cui scateni qualche ispirazione per una soluzione migliore.

Ad esempio, potrebbe essere possibile sostituire con un gruppo di curve ellittiche adatto, in modo che abbiamo su (ricorda che i gruppi di curve ellittiche di solito usano la notazione additiva piuttosto che la notazione moltiplicativa). La cosa buona di questo è che non è del tutto irragionevole ipotizzare che, se il gruppo di curve ellittiche è scelto correttamente, si comporterà come un "gruppo di scatole nere", che penso potrebbe implicare che sarà - indipendente dal senso "tranne per gli effetti implicati dall'omomorfismo moltiplicativo". Non ho una costruzione completa pronta da proporre (il pezzo mancante è come scegliere$G$$\pi(x) = e x$$G$$G$$G$$\pi$$k$$G$e come costruire come dimostrare -wise indipendenza da questo), ma potrebbe essere possibile mettere insieme i pezzi in qualche modo.$f,g$$k$