PRG的扩展

PRG的并行扩展

PRG可以通过一个较短的输入得到一个较长的输出，但是如果这个输出的长度仍然达不到我们的要求怎么办呢？一个很自然的想法是将多个PRG拼起来，假设有个PRG拼到了一起，那么我们便可以得到长的输出。那么这个新的的安全性怎么样呢？直观来看，似乎只要不是很大，是安全的就可以保证安全的。事实上，我们有如下定理：

定理1：如果存在一个安全的PRG ，那么个拼起来得到的新的PRG 就是安全的，即是安全的。其中从输入空间中独立随机选取，是一个不超过关于安全参数的多项式界的一个参数。

证明：这个定理的证明用到了密码学中一个非常重要的证明方法就是混合论证（hybrid argument）。为了证明这个定理，我们可以先考察时的情况。当时，类似于前面定义PRG的安全性（https://blog.csdn.net/pllt1991/article/details/103915625），我们定义下面两个experiment：

：

以作为的输入得到一个比特长的输出并发送给;

向返回一个比特；

输出

：

随机选取并发送给;

向返回一个比特；

输出

那么我们的目标就是证明敌手在这两个experiment上的优势是可忽略的。现在我们定义3个attack game如下：

Game 0：

以作为的输入得到一个比特长的输出并发送给;

向返回一个比特；

Game 1：

选取以及组成并发送给;

向返回一个比特；

Game 2：

随机选取并发送给;

向返回一个比特；

可以看出，Game 0实际上就是，Game 2实际上就是，而Game 1则混合了Game 0和Game 2中的挑战串来源，这也是这种证明方法被称为混合论证的原因。现在，令分别代表返回1（即敌手认为它收到的挑战是随机串）的概率，然后我们还是按照通过PRG的安全性来论证流密码语义安全性的思路将对于的敌手作为子程序来调用对于的敌手。需要注意的是，由于接受的挑战是两个串，而接受的挑战是一个串，因此需要“分裂成”两个和才能完成对。对来说，它首先接受它自己的挑战，然后通过自己生成另一个比特串，组合成以后作为挑战发送，然后返回返回的比特。显然，当处于的时候，就相当于在执行Game 0；当处于的时候，就相当于在执行Game 1，而因为是安全的，即敌手优势是可忽略的，因此是可忽略的。同样的，可以证明是可忽略的，而的敌手优势其实就是也是可忽略的，从而证明了是安全的。这种方法虽然可以证明时的情况，但对于一般的证明起来比较麻烦，因此还有另外一种证明方法。

我们在和的基础上再包上一层，即现在再构造一个的新的敌手来调用和。具体来说，接受到挑战以后随机选取并将发送给来调用，那么可以看出对于来说有

因此的优势为，从而同样有的敌手优势是可忽略的。现在将情况扩展到一般的上，我们定义个attack game，Game i()如下定义：

Game i：

分别选取以及组成发送给敌手；

向返回一个比特；

有了attack game的定义以后，令分别代表个game中敌手返回1的概率，那么显然的敌手优势为。还是通过上面的论证思路，在再包上一层，通过随机选取来决定使用哪个真正的敌手，那么我们就有

从而我们有的敌手优势为。而因为有一个关于安全参数的多项式上界，因此的敌手优势为依然是可忽略的，从而得到还是安全的。                                                                                                       

PRG的串行扩展

上面展示的是PRG的一种并行扩展方式，不过这种方式需要个输入种子，因此其扩展率（输出比特长度与输入比特长度之比）与原始的PRG是一样的，并未得到提高。Blum和Micali提出了一种PRG的串行扩展方式，它把扩展为一个如下工作的：从最初输入开始，得到的输出，然后用作为新的输入，得到新的输出后和上一个输出拼到一起得到，以此类推，步之后得到最终的输出，那么就是最终生成的伪随机串。注意这里的和原始的PRG有所不同，原来的PRG输入空间为输出空间为，而这里的输出空间为。有了这种串行构造方式以后，的安全性是怎样的呢？我们可以看出，并行和串行最主要的区别实际上就是每一轮的输入产生方式不同，但是如果假设安全的话，这个区别是可忽略的，因此从直观上来看，串行构造的的安全性应该和并行构造差不多。事实上，我们有如下定理：

定理2：如果存在一个安全的PRG ，那么由此串行构造的也是安全的。

证明：这个定理的证明和定理1的证明是很类似的，都是通过在一系列attack game中不断将一个输出替换为真正的随机串，从而得到最终结果。具体来说，第i个game如下定义：

Game i：

分别选取以及组成发送给敌手；

向返回一个比特；

剩下的证明过程和定理1中的过程是完全一样的，不再赘述。