みなさんこんにちは。私はタカシ、NTTのタカシです。今日は、ニズクのスナークと話します。フュユキとタカヒロとの職業です。この職業は一つのサムラインです。ニズクのスナークと一緒に作られます。今、ニズクとスナークを説明します。ニズクとスナークは、この職業の中で、特に、この職業の中で、CLSモデルの中で、特に、この職業の中で、サウパーティーの中で、アルリズムを設定してコモンリフレンスの効果を生成して、そして、彼らとバルファイアとプルーヴをしています。プルーヴは、スタイルの中で、彼らとの職業の中で、彼らとの職業の中で、パイアとプルーヴをしています。このプルーヴは、パイアとスタイルの中で、コモンリフレンスの中で、プルーヴ、アルリズムを設定しています。2つのプロパティーは、無価値を取り入れています。1つは、コンプレートネスを取り入れています。プルーヴは、正直、プルーヴを取り入れています。2つのアルリズムは、手作りの中で、キャンプ力を高く駆けます。そうし、コンプレートネスを取り入れて、プルーヴは、不可思議に遺痴を抑える一丁目の時に、カンプが無いかもしれません。4つのプルーヴは、コモンリフレンスの中で、コモンリフレンスの中で、プルーヴが必要であります。2つのプルーヴは、コモンリフレンスの中で、私たちは、面子素材となっていると、お醤油で、菱の中でうまくいかもしれません。そのため、アディショナル脂法を成立するのを読みます。まず、根栖です。そこから、アディショナル脂法について知り合わせの性格はこの知り合わせのステーウ'ol.彼らの知識を意識するのは、この動きは何もない。特に、マルキセロリムと同じ知識を理解するのですが、このえの解釈では、あなたが知識できないので、あなたはそれを意識するのです。そして、2つについての結論は、つまり、サクシンクネスとの相当性格的な値段が必要です。そして、オプション的なバリフェクトを選択しています。サクシンクネスは、小さなサイズがあるのではなく、普通にサイズとリズムのサイズと比べても大きいです。特に、サクシンクネスの2つのノーションを考えます。まずは、ダルタサクシンクネスです。0と1のデルタの間に、プルフサイズは、ポリラメルタイムのサイズと比べても大きいです。2つはフルサクシンクネスです。プルフサイズは、プリノミアルなサイズと比べても大きいです。そして、エフィシントバリフェクトのサイズと比べても大きいです。この意味で、サブポリノミアルのサイズと比べても大きいです。バリフェクトのアグリスムのサイズと比べても大きいです。エフィシントバリフェクトのサイズは、すぐに、フルサクシンクネスに必要です。普通に、エフィシントバリフェクトのサイズは、サイズがフルサクシンクネスに必要です。しかし、この仕事は、サイズからサイズをクンストライクしています。サイズは、プリノミアルのサイズに必要です。このセクシュリティのセクシュリティのサイズは、セクシュリティのセクシュリティのサイズで必要です。ここで、ニズキとスナーグのコンストラクションをご覧いただきたいと思います。ニズキのコンストラクションは多くの種類のアサンプションがあります。例如、トラップドア・パーミッテーション、ペアリング、ラティス、オファスケーションなど。このコンストラクションは、スナーグのアサンプションによってのコンストラクションがあり、スナーグのコンストラクションによりランダムオラコやノンフォルスファイアルアサンプションのパーミッテーションなど。そのため、スナーグのコンストラクションによってもネガティブな結果があります。このような状況で、スナークが強くなっているのではないかもしれません。つまり、スナークが強くなっているのではないかもしれません。とにかく、これが正確です。しかし、この2つのプレミティブに関しては、この仕事の目的に連絡しているのではないかもしれません。これは、結果の中にあります。まず、スナークの値段は、1.5を増加すると、1.5を増加すると、2.0を増加すると、スナークの値段は、エフィッシングバリブリケーションと CPE Secure Public Key Encryptionこの2つの結果は 簡単なコロナウイルスの結果ですそしてこの結果を追加するために一般的なコンバージョンは 私たちの知識を持っていませんそして私たちの方の人間の方ももっと応募しておきますこの話での rest of this talk i will focus on explaining私たちの最初の結果は ニズク from snuckですので私はこのロードマンを解説しますなので私たちのコンスラクションは 白い光のパラダミッスとなりますフェギーラブドゥルジェムシャミエルの For that paradigm hidden beat and hidden beat generator to construct hidden beat generators.And there exists this hidden bit model unconditionally.So the existence of hidden beat generator immediately implies the existence of a私たちはピ slipinに代わりに行われた見み方で彼の文字文字の辞書を書きたいと言えました。それについては、私たちはファンの文字文字の辞書を書きたいと思っています。サブシャイトで彼はとても素敵な文字文字文字文字文字文字文字の説明があります。CLSモデルに関しては、同じコントラクションを作り、このフレームティーブがコントラクションで、スナックと1MのパンクションをレジリンウィッグP.R.F.のノーションを通じます。今、CLSミズクのコントラクションをヘッドミズクパララインについており、二つのブロックを使うことができます。最初のブロックは、ヘッドミズクモデルのニズクやHBMニズクを使います。このフレームティーブのプルーバーが1Mのコントラクションでローの折り込みをプルーバーでパンクションに合わせてヘッドミズクの折り込みをプルーバーとレジリンウィッグをコントラクションでローが1Mのコントラクションでローの折り込みをプルーバーでヘッドミズクをコントラクションでヘッドミズクを配置し、このコントラクションについて3つの材料が必要となり、彼らの自分の知識を知っています。私たちの知識は、全NPの言語で全NPの言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語で自分の言語でKB string R and proves pi sub I for I equal 1 to K.Intuitively, COM is the commitment of some seed of PRG and R corresponds to the PRG value derived from that seed.Pi sub I is considered as a certificate for the ice-bit of R.The third algorithm is verification algorithm which verifies the validity of the ice-bit of R by checking the ice-proof pi I.We require the following four properties. The completeness just says that verification accepts with probability 1 if everything is done honestly.The second is HIGHING property which says that R sub I is to the random as long as the ice-proof pi sub I is not given to the arbitrary.The third property is BINDING property which roughly says that commitment corresponds to a unique R.More precisely, this means that for any fixed commitment, there is this unique corresponding R such that any polynomial kind of arbitrary can generate a proof pi only for corresponding bit of thiscorresponding R.The fourth property is SUCKSINKED commitment property which means that the length of commitment is much more than the hidden bit length K.So roughly this means that the corresponding PRG is sufficiently length increasing.And then I'll explain how to construct CR's music or combine these two reading blocks.So in the setup phase, the track itself party runs the setup algorithm of hidden bit generator and also picks some K-bit string S.Then PROVER first runs the bit generation algorithm of hidden bit generator to generate COM, R, and PI.And then generates sets the hidden bit row as XOR of R derived from bit generation algorithm and S in the common reference string.Then considering this row as hidden bit of HBM music and run the PROVER algorithm of HBM music to generate I and PI of the hidden bit model music.Then it sends I, PI, HBM, COM, R sub I, and PI sub I as the music proof to the verifier.And here R sub I is the substring of R corresponding to the subset I, and PI is also defined similarly.Given this proof, verifier first recovers the substring of hidden bit corresponding to the subset I by XORing R sub I and S sub I.And then it verifies the following two things.The first is the validity of the values of R sub I for each index I in the subset capital I.And the second is the validity of the proof of the HBM music.And if both verification path is then it output accepts.And it is proving that this construction satisfies soundness and derogatory property.And that this is the feature of CS music.And intuitively we implement the hidden bit model by using the hidden bit generator.And so we can reduce the soundness and derogatory property of this CS music to those of the underlying hidden bit model music.So far I explained that hidden bit model music and hidden bit generator imply CS music and hidden bit model music exist unconditionally.So if we can construct hidden bit generator from snag environment function, then we are done.So we try to do so based on leakage-resurient weak PRF.So leakage-resurient weak PRF is a key function like this.And this satisfies the following security notion called L leakage-resurience.This says that if key k is chosen randomly from the key space, then the function value on random input x star is computationally indistinguishable from uniformly random string.Even if a distinguisher sees arbitrary number of input-output pairs on random inputs and also L bit leakage of the key k,that doesn't depend on the challenge input x star.And has I ever proved that there exists L leakage-resurient weak PRF for any polynomial L based on only one way function?So we rely on this.This is our first attempt to construct hidden bit generator from snag and leakage-resurient weak PRF.And we additionally use some statistically binding commitment.So in this construction, the setup algorithm runs the setup algorithm of snag and also picks k random string in the input space of the weak PRF.And then outputs them as the CRS of the hidden bit generator.Then the bit generation algorithm picks a random key of the weak PRF.And then commits to this key k to generate the commitment comb.And set our sub i as the weak PRF value on the input x sub i.And then the proof pi sub i is generated by the snag,which proves that the value of our sub i is consistent to the key that is committed inside the commitment.And then it outputs them.And then the verification algorithm just runs the verification algorithm of snag.And then completeness and succinct commitment properties are clear.And the binding property is also easy to reduce to the soundness of snag and the statistical binding property of commitment.So what is left is hiding property.So for proving hiding property, our idea is to use a leakage-resurient of weak PRF by considering the snag proof as a leakage from the key k.However, here are at least two problems.The first problem is that what depends on key k is not only snag proof pi.And the commitment also depends on k, even though it computationally hides k.So we cannot directly apply the leakage-resurient of the weak PRF.And the second problem is that even if we ignore the commitment,each proof pi sub i is short, but the combination of pi sub i for some subset capital i may not be short.And especially the hiding arbitrary is given this combination of proof.And so for such arbitrary, we may not be able to upper bound their leakage length by some bound as.To resolve these two problems or our solutions as follows,to resolve the first problem, we just delete commitment from the output of big generation algorithm.And to resolve the second problem, we generate pi sub i corresponding to the subset capital i in one-shot manner instead of generating pi sub i for each bit separately.So though our idea is like this, this idea cannot be captured by the syntax of the original hidden bit generator.So we introduce a variant which we call subset dependent proof hidden bit generator.So this is the definition of subset dependent proof hidden bit generator.The difference from the original hidden bit generator is that we divide the bit generation algorithm into the two parts,bit generation part and the proof generation part.And also bit generation part doesn't output commitment.Then we require the following three properties.Completeness and hiding defined similarly to those for the original hidden bit generator.On the other hand, we cannot define the binding and succinct commitment in a meaningful way for this variantbecause we no longer have commitment in the output bit generation algorithm.So instead, we consider, we introduce a kind of combined property of them to define some binding property.This property requires that for any fixed common reference train, the number of r for which valid proof can be generated is much smaller than 2 to the k.And we observe that this is the essential property that is needed to prove the soundness of the CRS music.So we show that SDP-HBG suffices for constructing CRS music instead of HBG.So what is left is to construct SDP-HBG from SNAG and leakage resumed with PLF.And the construction is very similar to our first attempt construction except that we just omit the commitment.And also we generate the SNAG proof pi sub i in one-shot manner instead of generating this for each bit separately.Then the completeness is clear.And for proving hiding the property, we use leakage resistance of the weak PLF.And especially we consider SNAG proof pi sub i as a leakage from key k.So as long as the proof length is more than L, then we can complete the proof.And for the sound-hot binding by the soundness of SNAG, our polynomial time arbitrary can generate a valid proof only for a substring of r of this form for sound key k.This means that the number of such r is 2 to the copper.So we have sound-hot binding property if the key length is much more than k.So we can complete the proof if we can set parameters so that the proof side is more than or equal to L.And the key length is much more than the hidden bit length k.And if SNAG satisfies full-stack thickness, then this is easy because in this case the proof side is bounded by some fixed polynomial.So we can just set L and k to be sufficient large polynomial.Then everything is done.On the other hand, there is some non-triviality in the delta-tack-synchronous case because of the dependence of proof side on the key length.However, we show that the same constructions work as long as delta is more than one-half.This is summary. We construct music from SNAG and one-way function.And though I didn't explain the detail, as a simple corollary of this result, we also obtain zero-nulled SNAG from SNAG and public key encryption.This is end of my talk. Thank you for your attention.