13、密码学中的离散对数问题与椭圆曲线密码学

密码学中的离散对数问题与椭圆曲线密码学

1. 离散对数问题算法进展

离散对数问题（DLP）在密码学中有着重要地位，相关算法不断发展。索引微积分方法（ICM）的复杂度为 $L_p[1/2, c]$（其中 $c$ 是一个小常数，如 $\sqrt{2}$）。它还启发了许多研究人员提出新算法或应用现有算法来解决 DLP。例如，为解决整数分解问题（IFP）而发明的数域筛选算法（NFS）也可用于解决 DLP，其运行时间复杂度为 $L_p[1/3, c]$，因此是在 $Z_p^*$ 中常用的算法之一。

若将算法应用于扩展域 $F_q$（其中 $q = p^n$，$p$ 是素数），存在更高效的 ICM 版本，大多数的时间复杂度为 $L_q[1/3, c]$（与 NFS 算法相当）。2013 年，Antoine Joux 显著改进了小特征扩展域中解决 DLP 的技术水平，其算法的时间复杂度接近 $L_q[1/4, c]$，虽还不是多项式时间，但已很接近，有时被称为准多项式时间，在某些扩展域中，这是目前解决 DLP 最有效的算法。

2. 离散对数计算的现状分析

• 在 $Z_p^*$ 中的情况 ：在 $Z_p^ $ 中计算离散对数的最新技术与分解整数的最新技术直接可比。只有少数例外情况，计算离散对数比分解整数更高效。这表明在 $Z_p^ $ 中工作时，$p$ 的比特长度应与依赖整数分解假设（IFA）的密码系统中使用的模数 $n$ 的比特长度相当。1024 比特提供的安全级别相当于 80 比特的密钥，而 2048 比特提供的安全级别相当于 112 比特，显然 2048 比特的安全级别在当今更合适。同时，在 $