RingCT 2.0 中 DDH 和配對不矛盾？
據我所知，DDH 假設和雙線性配對是矛盾的，但我在一篇論文RingCT 2.0中看到了這一點。
這怎麼可能？可連結環簽名將受到雙線性對的攻擊。
對於下面的解釋，讓 $ e: \mathbb{G}_1 \times \mathbb{G}_2 \rightarrow \mathbb{G}_T $ . DDH 是否可以保持取決於您使用的設置。在對稱設置中（ $ \mathbb{G}_1 = \mathbb{G}_2 $ ，即類型 1 配對）該配對充當兩者的 DDH 預言機， $ \mathbb{G}_1 $ 和 $ \mathbb{G}_2 $ 而DDH也不能堅持 $ \mathbb{G}_1 $ 也不在 $ \mathbb{G}_2 $ . 在非對稱設置中，我們區分了兩種不同的設置，即類型 2 和類型 3。在這種情況下，重要的區別是類型 2 設置中存在同構 $ \psi: \mathbb{G}_2 \to \mathbb{G}_1 $ 而對於 Type 3 設置，這種同構是未知的。現在，在類型 2 設置中，配對與同構一起用作 DDH 預言機 $ \mathbb{G}_2 $ , 而 DDH 被假定為保持 $ \mathbb{G}_1 $ . 最後，在類型 3 設置中，假設 DDH 在兩者中都成立 $ \mathbb{G}_1 $ 和 $ \mathbb{G}_2 $ .
您詢問的特定組合位於類型 1 設置中，因此 DDH 不能同時適用於配對的兩個源組。
**附加說明：**在您引用的論文中，實際上是一個組（即， $ \mathbb{G}_q $ ) 使用獨立於配對組。在這樣的設置中，DDH 當然也可以保持 $ \mathbb{G}_q $ . 然而，使用獨立組也意味著該組的順序與配對組的順序不同，這使得不同組的元素之間的 ZK 一致性證明（如本文所要求的）相當複雜。我在論文中找不到任何可以解決這個問題的東西。