Вы спрашиваете конкретно о свойстве привязки («может ли Боб обмануть Алису?»). Полезно вспомнить, как связывание доказывается в схеме Наора.
Предположим, что противник создает некоторые обязательства $с$. Если они могут открыть обязательство до 0, тогда должно существовать $s_0$ такой, что $G(s_0) = с$. Если они могут открыть обязательство до 1, тогда должно существовать $s_1$ такой, что $G(s_1) \oplus r = c$. Поэтому, если они могут открыть $с$ к обе значения, то должны существовать $s_0, s_1$ такой, что $G(s_0) \oplus G(s_1) = r$. Если противник может уклоняться, то это отражает что-то смешное о $г$ больше, чем это отражает что-то смешное о $с$.
Если значение $г$ обладает вышеуказанным свойством, назовем его «проблемным».
Есть $2^{2\лямбда}$ пары $(s_0,s_1)$, и так максимум $2^{2\лямбда}$ проблемные значения $г$. Если $G$ утраивается по длине, то есть $2^{3\лямбда}$ возможные значения $г$ что Алиса могла выбрать. Итак, когда Алиса выбирает $г$ равномерно, она получает проблемный с незначительной вероятностью $1/2^\лямбда$. И пока она избегает проблемного $г$, обязательство будет абсолютно обязывающим.
Теперь вы предлагаете исправить конкретное $г$, например как $r=0\cdots01$. Вопрос в том, является ли это $г$ может быть проблематично. Может ли существовать $s_0, s_1$ такой, что $G(s_0) \oplus G(s_1) = 0\cdots 01$? Конечно! Просто возьмите свой любимый PRG и две ваши любимые струны. $s_0$ и $s_1$, и переопределить вывод PRG на $s_0$ и $s_1$ иметь указанное выше свойство. Модифицированная функция по-прежнему является PRG, но ваша измененная схема Naor небезопасна с этой PRG (противник может полагаться на $s_0$ и $s_1$ потому что противник может зависеть от выбора PRG, конечно).
Так что нет, схема Наора в целом небезопасна, когда $г$ фиксированный. Для любой $г$ которую вы хотите исправить, я могу создать безопасную PRG, которая делает эту модифицированную схему Наора небезопасной. Для получения дополнительных баллов создайте безопасный PRG $G$ такой, что для каждый возможный выход $G(s)$, Значение $G(s)\oplus 0\cdots01$ также является возможным выходом $G$.
