Является ли PRF XOR с его ключом все еще PRF? (всегда)

Нет.

Позволять $||$ обозначают конкатенацию. Позволять $F''$ быть PRF в домене $\mathbb{M} \times \{0,1\}$. Исправьте любое «специальное сообщение» $m^* \in \mathbb{M}$. Рассмотрим следующую конструкцию для $F'$: ключ $F'$ является $k_0 || k_1$, куда $k_0$ это случайный ключ для $F''$, и $k_1$ представляет собой случайную строку одинаковой длины. При вводе $m \in \mathbb{M}$, $F'_{k_0||k_1}(м)$ выходы $F''_{k_0}(м||0) || k_1$ если $м = м^*$, и $F''_{k_0}(м||0) || F''_{k_0}(м||1)$ в противном случае.

Во-первых, обратите внимание, что $F'$ все еще ПРФ. Это следует непосредственно из безопасности $F''$, и заметив, что $k_1$ является действительно случайным и используется только один раз, на специальном входе $м = м^*$.

Во-вторых, пусть $F_{k_0||k_1}: m \rightarrow F'_{k_0||k_1}(m) \oplus (k_0 || k_1)$. Это явно не PRF, потому что вторая половина $F_{k_0||k_1}(м^*)$ представляет собой строку нулей (что очень маловероятно для случайной функции).

(Я опускаю мелкие детали того, что мы предполагаем по длине ключей, так как с этим несложно справиться, просто немного утомительнее).