【深入浅出密码学】离散对数

群相关知识点

离散对数相关

## 蛮力搜索

对于解决${\alpha }^x=\beta$,我们不断地选取合适地$x$,计算$a^x$，直到找到满足这个等式的$x$，时间复杂度$O(|G|)$.

Baby-Step Giant-Step

对于解决${\alpha }^x=\beta mod(p)$,我们将$x$表示为$x=x_g\ast \sqrt{p}+x_b$.这里的$x_b,x_g\in [0,\sqrt{p}]$

现将问题转化为，求解$a^{x_g\ast \sqrt{p}+x_b}=\beta mod(p)$,此时我们只需要寻找满足等式的$(x_g,x_b)$,

将等式等价变换成$a^{x_g\ast \sqrt{p}}=\beta \ast a^{-x_b}mod(p)$.

在Baby-Step阶段，我们枚举$x_b$的取值，并采用哈希表或者字典等数据结构记录$(x_b,\beta \ast a^{-x_b})$.

在Giant-Step阶段，我们枚举$x_g$，计算$a^{x_g\ast \sqrt{p}}$,并且在哈希表当中查找，直到出现相等的值。

这个算法的时间和空间复杂度都是$O(\sqrt{P})$

Pollards’s Rho

在整数分解当中的应用：

问题描述：

设大整数为$n$，我们需要找到$n$的一个因子$p$

我们设想存在两个整数$x,x^{{}^{\prime }}\in Z_n$,满足$x=x^{{}^{\prime }}mod(p)$,这样的话就有$p|(x-x^{{}^{\prime }})$,又因为$p|n$,那么$gcd(x-x^{\prime },n)$一定是$n$的非平凡因子。问题归结为：如何找到满足条件的$x,x^{\prime }$

解释：$x-x^{\prime }=k\ast p,n=k\ast p,那么gcd(x-x^{\prime },n)=p$

我们选定一个随机的序列$X\subset Z_n$, x = { x 1 , x 2 , . . , x l } x=\{x_1,x_2,..,x_l\} x={x1​,x2​,..,xl​},这里的$l=n^{1/4}$,我们从中随机选择两个数计算$gcd(x-x^{\prime },n)$，我们需要进行$C_l^2$次$gcd$运算，这时的计算效率并不高，需要后续的优化。

这里我们选定一个伪随机数生成器，让我们每次的选择看上去好像是随机的。

$f(x)=x^2+1modn$,随机选择一个$x_0\in Z_n$,然后计算$x_1=f(x_0),x_2=f(x_1),..x_i=f(x_{i-1})$.

我们画出$Z_p$的图像

但是$p$是未知的，我们无法直接画出这个图像。

$1.Let{y}_0=x_0$

$2.Fori=1,2,...$

​ $(a)x_i=f(x_{i-1})$

​ $(b)y_i=f(f(y_{i-1}))$

​ $(c)IFgcd(x_i-y_i,n)\ne 1returnthisdiscoveredfactor$

在离散对数当中的应用：

在ECC当中的应用：

def pollard_rho(g, y, p):
    q = (p-1) // 2
    def new_xab(x, a, b,  g, y, p, q):
        subset = x % 3
        if subset == 0:
            return ((x*x) % p, (a*2) % q, (b*2) % q)
        if subset == 1:
            return ((x*g) % p, (a+1) % q, b        )
        if subset == 2:
            return ((x*y) % p, a        , (b+1) % q)
    x, a, b = 1, 0, 0
    X, A, B = x, a, b
    for i in range(1, p):
        x, a, b = new_xab(x, a, b,  g, y, p, q)
        X, A, B = new_xab(X, A, B,  g, y, p, q)
        X, A, B = new_xab(X, A, B,  g, y, p, q)
        if x == X:
            break
    res = ((a - A) * pow(B - b, -1, q)) % q
    if pow(g, res, p) == y:
        return res
    if pow(g, res + q, p) == y:
        return res + q
    return None

g = 
y = 
p = 
x = pollard_rho(g, y, p)
print(x)
print(pow(g, x, p) == y)

Pollards’s Hellman

适用条件：p是一个素数，p-1包含的质因子较小并且比较少

对于$a^x=bmod(p)$,记其原根为$g$,记$a=g^{a_i},b=g^{b_i}$,此时得到$g^{a_{i}x}=g^{b_i}mod(p)$,所以$a_{i}x=b_{i}mod(p-1)$,如果我们得到$a_i,b_i$那么$x$易得。

在ECC当中的应用

#Sage Code 1
p = 
a = 
b = 
gx = 
gy = 
px = 
py = 

E = EllipticCurve(GF(p), [a, b])
G = E(gx, gy)
n = E.order()
QA = E(px, py)

factors = list(factor(n))
m = 1
moduli = []
remainders = []

print(f"[+] Running Pohlig Hellman")
print(factors)

for i, j in factors:
    if i > 10**9:
        print(i)
        break
    mod = i**j
    g2 = G*(n//mod)
    q2 = QA*(n//mod)
    r = discrete_log(q2, g2, operation='+')
    remainders.append(r)
    moduli.append(mod)
    m *= mod

r = crt(remainders, moduli)
print(r)