ОБНОВЛЕНИЕ 20220330: новый ответ после уточнения вопроса; старый ответ сохранен, чтобы понять комментарии.
Я думаю, что вы спрашиваете, являются ли биты $у$ действовать как аппаратная функция, обратная односторонней функции (в данном случае функция дискретного логарифма по модулю $n$).Справочную информацию о аппаратных функциях см., например, в разделе 2.4. Основы криптографии). Однако, если обратную одностороннюю функцию легко вычислить (что верно в вашем случае, поскольку функция возведения в степень может быть вычислена за полиномиальное время), то нет жестких функций.
Криптографы выражают это не в терминах равномерного распределения, а в терминах дискриминаторов, которые могут быть вычислены за полиномиальное время и дают нетривиальное преимущество (см. определение 2.4 примечаний). Говорят, что предикат $б(у)$ является хардкорным для $f$ если для всех полиномиальных временных дискриминаторов мы имеем
$$\mathbb P(A(f(U_n)),1^n)=b(U_n)<1/2+1/p(n).$$
В твоем случае $f$ это функция $y=g^x\mod n\mapsto x$ и твоя функция $b$ это $я$й бит $у=г^х\мод п$. Однако у меня есть дискриминатор контрпримера $А(г,1^п)$ который должен вычислить $g^z\мод п$ (за полиномиальное время) и посмотрите на $я$й бит. Это различает ответы с вероятностью 1, потому что с первым аргументом $ф(у)=х$ он возвращается $б(у)$.
Другими словами, существует вычислительно проверяемое отсутствие единообразия, потому что я могу быстро проверить $х$ значения, чтобы увидеть, производят ли они вывод, который лежит в $Y'$.
Старый ответ.
Да. Позволять $|Y'|=M$ и разреши $z$ быть любым элементом $Y'$ то теорема Байеса говорит нам, что
$$\mathbb P(g^x\mod n=z|g^x\mod n\in Y')=\frac{\mathbb P(g^x\mod n=z)\mathbb P(g^x \mod n\in Y'|g^c\mod n=z)}{\mathbb P(g^x\mod n\in Y')}.$$
Теперь отметим, что $\mathbb P(g^x\mod n=z)=1/\phi(n)$ (по единообразию, отмеченному в вопросе), $\mathbb P(g^x\mod n\in Y'|g^c\mod n=z)=1$ и что $\mathbb P(g^x\mod n\in Y')=M/\phi(n)$ (опять же по единообразию в вопросе). Таким образом
$$\mathbb P(g^x\mod n=z|g^x\mod n\in Y')=1/M$$
для всех $z\in Y'$ которое описывает равномерное распределение.
