暗号業界ではハッシユ関数またはランダムオラクルとしてH:{0,1}^*→Gを使う。
GがZ_NやZ_pの場合は普通のハッシュ関数を使えばいい。
一方、GがZ_p^*中の位数qの部分群であったり楕円曲線上の位数qの群の時はどうするのか? 場当たり的な解決方法として、内部でH':{0,1}→Z_qを用意し、あらかじめ決めておいた群の生成元の肩に乗せるという手を考えた。しかし誰が生成元を選ぶかと考えるとCRSモデルに落ちそうだ。
本当はどうやって解決するんだろう。Gのランダムな要素を直接選べない場合は考慮に入れないということか?
識者のコメント求む。*1
