一方向性関数

一方向性関数（いちほうこうせいかんすう、英: one-way function）とは、関数値は容易に計算できるが逆関数の計算は非常に困難である関数を指す。「トラップドア関数」という別称がある。

　暗号理論などで用いられる概念である。素因数分解問題の困難性を用いたものが代表的。

以下では、単に「多項式時間アルゴリズム」と書いた場合は「平均多項式時間確率アルゴリズム」を指す。

${\displaystyle {\mathbb {N} }}$ で自然数の集合を表す。 Σ = {0, 1} とし、${\displaystyle \Sigma ^{*}=\cup _{k\in {\mathbb {N} }}\Sigma ^{k}}$とする。

関数 ${\displaystyle f:\Sigma ^{*}\to \Sigma ^{*}}$ が以下を満たす時、関数 ${\displaystyle f}$ は一方向性関数であるという：

1. ${\displaystyle f}$ は多項式時間で計算可能。すなわちある多項式時間アルゴリズム C があって C(x) = f(x)
2. 任意の多項式時間アルゴリズム A に対し、ある 無視可能函数 ${\displaystyle \nu }$ と、ある ${\displaystyle k_{0}\in {\mathbb {N} }}$ が存在して、全ての k > k₀ に対し、

   ${\displaystyle Pr\left[x\gets _{R}\Sigma ^{k},y\gets f\left(x\right),x'\gets A\left(1^{k},y\right):y=f\left(x'\right)\right]\leq \nu \left(l\right).}$

現在のところ、一方向性関数の存在性は証明されていない。 （一方向性関数の存在性が示せれば、P≠NP が系として従う）。 しかし、一方向性関数の候補となる関数はいくつか知られている。 一方向性関数が存在すると証明が与えられたわけではないものの、 暗号理論では一方向性関数の存在性を仮定して議論を進める。

I を Σ^* の部分集合とし、

D = {D_n}_{n ∈ I}、R ={R_n}_{n ∈ I} を Σ^* の

部分集合の族とする。 G₁、G₂ を多項式時間アルゴリズムとし、 F = {f_k: D_k → R_k} を関数の族とする。 組 (D, R, G₁, G₂, F) が以下を満たすとき、(D, R, G₁, G₂, F) を一方向性関数族という：

1. G₁ は 1^k を入力すると n ∈ I∩Σ^k を出力するアルゴリズム。
2. G₂ は n ∈ I を入力すると x ∈ D_n を出力するアルゴリズム。
3. ある多項式時間アルゴリズム C があって C(x, n) = f_n(x)。
4. 任意の多項式時間アルゴリズム A に対し、ある negligible な関数 ν とある k₀ ∈ ${\displaystyle {\mathbb {N} }}$ が存在して、全ての k > k₀ に対し、Pr[x ← A(n, y) | n ← G₁(1^k), x ← G₂(n), y ← f(x)] < ν(l)。

一方向性関数が存在する事は一方向性関数族が存在する事の必要十分条件である事が知られている。

関数 f: Σ^* → Σ^* が以下を満たす時、関数 f は弱一方向性関数であるという：

1. f は多項式時間で計算可能。
2. ある多項式 P が存在し、任意の多項式時間アルゴリズム A に対し、ある k₀ が存在し、全ての k > k₀に対し、Pr[z≠f(x) | x ←_R Σ^k, y ← f(x), z ← A(1^k, y)] > 1/P(k)。

定理　一方向性関数が存在する必要十分条件は弱一方向性関数が存在する事である。

証明の概略（⇒）自明。

（⇐）f を弱一方向性関数とする。g を g(x₁ || … || x_N) = f(x₁) || … || f(x_N) と定義する。ただしここで「||」はビット列の連接、N = 2kP(k)。（P は弱一方向性関数の定義の条件 2 にあるもの）。 この時 g^-1 を求めるには、f ^-1 を N 回計算しなければならない。

どのようなアルゴリズムを用いても f ^-1 を計算するには 1/P(k) ステップかかるので、f ^-1 を N 回計算するのは多項式時間ではできない。

関数 f: Σ^* → Σ^* が以下を満たす時、関数 f は 非一様一方向性関数であるという：

1. f は多項式時間で計算可能。
2. 任意の多項式時間サイズの回路族 A = {A_k} に対し、ある無視可能函数 ν が存在して、Pr[x ← A_k(y) | x ←_R Σ^k, y ← f(x)] < ν(l)。

多項式時間アルゴリズムは多項式時間サイズの回路族で表す事ができるので、非一様一方向性関数は必ず一方向性関数である。しかし逆はよく分かっていない。

集合 {(p, q) ∈ ${\displaystyle {\mathbb {N} }}$² | p, q は素数で、p のビット数 = q のビット数} から自然数の集合 ${\displaystyle {\mathbb {N} }}$への写像 (p, q) ${\displaystyle \mapsto }$ pq は一方向性関数であると予想されている。

以下は全て同値である。

1. 一方向性関数が存在する
2. 弱一方向性関数が存在する
3. 一方向性関数族が存在する
4. 暗号論的擬似乱数生成器が存在する
5. 擬似ランダム関数の族が存在する。
6. 電子署名方式が存在する。

• 暗号学的ハッシュ関数
• 素因数分解
• 離散対数