Противник $А$ ломает схему $\Пи$ путем создания какой-то подделки.
Каждой подделке можно присвоить какой-либо ярлык $я$.
Этот ярлык $я$ выбирается противником, но существует лишь полиномиальное число вариантов для $я$.
Алгоритм редукции может настроить вещи так, чтобы они выглядели точно так же, как мир, который $А$ надеется.
Кроме того, алгоритм редукции может устанавливать вещи с определенным $я^*$ в виду, так что, если противник произведет подделку, этикетка которой окажется $я^*$, то алгоритм редукции может успешно сломать схему $\тета$.
Важно, и это может быть то, что вы упускаете, $А$взгляд на вещи не зависит от $я^*$.
Иными словами, независимо от того, какие конкретные $я^*$ имеет в виду редукция, она всегда производит совершенно точную симуляцию мира, который $А$ надеется.
Как должен выбирать алгоритм редукции $я^*$?
Он не может заранее предсказать, какой ярлык будет носить подделка противника.
Поэтому вместо этого он выберет $я^*$ равномерно случайным образом из полиномиального множества вариантов.
Почему это работает?
В конце концов противник выдает подделку, и подделка имеет некоторый ярлык. $я$.
Если весь взгляд противника не зависит от выбора $я^*$, то выбор противником $я$ не зависит от выбора $я^*$.
С $я^*$ распределена равномерно и не зависит от $я$, мы можем сказать, что $\Pr[i=i^*] = \frac{1}{\mbox{количество вариантов}}$.
В вашей настройке "ярлык" $я$ подделки является (очевидно -- я следовал вашим инструкциям, чтобы фактически не читать статью) индексом первого запроса подписывающего оракула, сделанного с использованием периода времени, указанного в подделке.
Если алгоритм сокращения может предсказать, какой запрос подписывающего оракула будет сделан первым в течение периода времени, когда противник подделывал данные, то он сделает что-то особенное в ответ на этот запрос (включит некоторую информацию, которая поможет ему взломать $\тета$).
Конечно, он не может предсказать это свойство подделки, поэтому он угадывает.
Есть только $ д (к) $ возможности идентичности этого «специального» запроса.
В вашей обстановке также происходит некоторое прерывание, но это отвлекает от вопроса о реальной вероятности.
На самом деле происходит следующее:
Редукция успешна только при нарушении $\тета$ когда это догадка $я^*$ соответствует метке $я$ из $А$подлог.
Здесь авторы говорят, что редукция может с таким же успехом сдаться (т. е. прерваться), когда увидит, что ее предположение будет неверным.
Было бы хорошо, если бы они написали алгоритм сокращения, чтобы он никогда не прерывался, а вместо этого просто делал слепой «удар в темноте» при взломе. $\тета$ в этих случаях.
