Покажите, что блочный шифр с CTR — хороший PRNG

Предположим, что схема блочного шифра $(KeyGen, Enc, Dec)$ является CPA-безопасным. Покажи это $CTR_{Enc_k(0^n)}$ хороший ГПСЧ.

Режим счетчика работает следующим образом:

$Y_i = Enc_k(IV + f(i))$

$C_i = Y_i \bigoplus P_i = Y_i \bigoplus \{0^k\}= Y_i$

Таким образом, вывод здесь просто $Enc_k(IV + f(i))$. Теперь, как хороший PRNG, я понимаю, что он должен быть неотличим от случайного источника. Предположим, что нет. Так что если $X_0$ наш источник и $R$ является действительно случайным источником, мы имеем $$|Pr[A(x)=0|x=X_0]-Pr[A(x)=0|x=R]|=\delta$$ и $\дельта$ не является незначительным. Поскольку мы можем различать выходные данные, блоки не являются независимыми друг от друга. Таким образом, существуют некоторые отношения между $Enc_k(IV+f(i))$. Здесь у меня нет идей, как поступить. Я предполагаю, что это как-то противоречит CPA-безопасности, но я не знаю, как это показать.