离散对数问题笔记

离散对数问题（深入浅出密码学笔记）

定义

基于${\mathbb{Z}}_p^{\ast }$的$DLP$：
给定一个阶为p-1的有限循环群${\mathbb{Z}}_p^{\ast }$，一个本元原$\alpha \in {\mathbb{Z}}_p^{\ast }$和另一个元素$\beta \in {\mathbb{Z}}_p^{\ast }$。DLP是确定满足一下条件的整数$x$（其中$1\le x\le p-1$）的问题：
${\alpha }^x\equiv \beta \mathrm{m}\mathrm{o}\mathrm{d}p$

(类似于RSA中 $m^e\equiv c\mathrm{m}\mathrm{o}\mathrm{d}n$，不过这里的p是素数）

推广的离散对数问题
给定一个基为$n$的有限循环群$G$，群操作为o。考虑一个本元原$\alpha \in G$和另一个本元原$\beta \in G$，则离散对数问题为：找到一个在$1\le x\le n$内的整数x，满足$\beta =\underset{x次}{\underbrace{\alpha o\alpha o\alpha o\alpha o\dots o\alpha }}={\alpha }^x$

通用算法

蛮力搜索

对求$lo{g}_{\alpha }\beta$的值可爆破x使得α^x=β

大步小步算法

Shank’s Baby-step Giant-step方法，一个时间-内存平衡方法，是对爆破进行了简单改进。时间复杂度为O(√m)

x=$lo{g}_{\alpha }\beta$，令$x=x_g\ast m+x_b$，其中$0\le x_g,x_b<m$。

$\beta ={\alpha }^x={\alpha }^{x_{g}m+x_b}$所以$\beta \ast ({\alpha }^{-m}{)}^{x_g}={\alpha }^{x_b}$

对于$\beta \ast ({\alpha }^{-m}{)}^{x_g}={\alpha }^{x_b}$，我们预计算出右侧所有的可能取值，在固定一个m，计算出左边可能的值，当发现某个值在右边出现过，这时的$x_{g}m+x_b$就是我们要求的m。

$x_b$可能的取值有$\psi (q)\mathrm{m}\mathrm{o}\mathrm{d}m$个，$x_g$可能的取值有$\psi (q)/m$向下取整个，所以m取$\surd \psi (q)$向上取整是最好的，但是为了避免计算欧拉函数，我们直接取√q向上取整，不难验证，此时取$x_g,x_b\in [1,m]$可以保证把x∈[1,q-1]全部枚举一遍，时间复杂度为O(√m)

首先是Baby-step阶段，计算并存储所有${\alpha }^{x_b}$值，其中$0\le x_b<m$，它需要m≈√q个群元素。

然后是Giant-step阶段，检查$0\le x_g<m$范围内所有的$x_g$，并判断baby-step阶段的已存储的项${\alpha }^{x_b}$是否满足：$\beta \ast ({\alpha }^{-m}{)}^{x_g}={\alpha }^{x_b}$。

Pollard’s Rho方法

期望运行时间与大步小步算法一样，但是此方法对空间的需求量小。

此方法基于生日悖论的概率算法。基本思想是伪随机地生成${\alpha }^i$,${\beta }^i$形式的群元素，并记录每个元素对应的i和j，不断重复这个过程，直到两个元素出现冲突为止，即，知道${\alpha }^{i_1}{\beta }^{i_1}={\alpha }^{i_2}{\beta }^{i_2}$
如果用$\beta ={\alpha }^x$进行交换，并比较该等式两边的指数，则此冲突将得到关系$i_1+x\ast j_1=i_2+x\ast j_2\mathrm{m}\mathrm{o}\mathrm{d}q$，即$x\equiv (i_2-i_1)/(j_1-j_2)\mathrm{m}\mathrm{o}\mathrm{d}q$

Pohlig-Hellam算法

基于中国剩余定理，通常不是单独使用

假设$q=p_1^{e_1}\times p_2^{e_2}\times \dots \dots \times p_l^{e_l}$是群的阶q的质因式分解。对$x=lo{g}_{\alpha }\beta$,计算阶为$p_i^{e_i}$的子群里较小的离散对数$x_i=x\mathrm{m}\mathrm{o}\mathrm{d}{p}_i^{e_i}$。而最终需要的离散对数x可以使用中国剩余定理从所有的$x_i(i=1,2,...,l)$中计算得到。

每一个单独的小型的$DLP{x}_i$都可以使用Pollard’s Rho方法或者Baby-step Giant-step算法计算得到。

非通用算法

Index-Calculus算法

依赖于q内的大部分元素都可以实现高效地表示为q的小型子集中元素的乘积。

群$Z_p^{\ast }与GF(2^m{)}^{\ast }$中的元素都满足此属性，但目前未发现椭圆曲线群有此属性。