[論文レビュー] Discrete logarithm computations over finite fields using Reed-Solomon codes

Daniel Augot, François Morain|arXiv (Cornell University)|Feb 20, 2012

Coding theory and cryptography参考文献 31被引用数 3

ひとこと要約

本稿では、従来の多項式因数分解の代わりにリード・ソロモン符号のデコーディングを用いることで、有限体上での離散対数を計算するための新規なアルゴリズム、RSDLを提案する。関係収集フェーズを $\mathbb{F}_q$ 上の固有デコーディング問題として定式化することにより、固定された $h$ に対して $q$ が増加する際、$\mathbb{F}_q$ 上で $ ilde{O}(h! · q^2)$ の演算で実現可能であり、補助体と段階的デコーディングにより実用性が向上する。

ABSTRACT

Cheng and Wan have related the decoding of Reed-Solomon codes to the computation of discrete logarithms over finite fields, with the aim of proving the hardness of their decoding. In this work, we experiment with solving the discrete logarithm over GF(q^h) using Reed-Solomon decoding. For fixed h and q going to infinity, we introduce an algorithm (RSDL) needing O (h! q^2) operations over GF(q), operating on a q x q matrix with (h+2) q non-zero coefficients. We give faster variants including an incremental version and another one that uses auxiliary finite fields that need not be subfields of GF(q^h); this variant is very practical for moderate values of q and h. We include some numerical results of our first implementations.

研究の動機と目的

• 離散対数計算のインデックスカルキュラス法における多項式因数分解の代替として、リード・ソロモンデコーディングの利用を検討すること。
• 符号理論的技術を活用して、離散対数アルゴリズムの関係収集フェーズの複雑さを低減すること。
• 有限体上での離散対数問題において、リード・ソロモン符号のデコーディングが効率的な関係を生成できるかどうかを調査すること。
• 補助的な補助体と段階的デコーディング戦略の活用により、実用的性能を向上させること。

提案手法

• 従来の多項式因数分解の代わりに、リード・ソロモン符号の固有デコーディングを用いて、$X^u \equiv \prod_{a \in A}(X - a) \mod Q(X)$ の形の関係を特定する。ここで $A$ は $\mathbb{F}_q$ の部分集合である。
• 関係は、$\mathbb{F}_q$ 上のリード・ソロモン符号として、$X^u \bmod Q(X)$ をサポート $S = \mathbb{F}_q$ でデコードすることにより収集され、$\tau \leq \lfloor (q - k)/2 \rfloor$ の範囲で固有デコーディングが用いられる。
• 複数の $u$ 値にわたる中間計算を再利用することで、関係収集フェーズの高速化を図る段階的バージョンが導入される。
• 補助有限体 $\mathbb{F}_{q^e}$（$e$ が $h$ を割り切る）を用いるアプローチにより、デコーディング行列のサイズが小さくなり、ガロア構造を活用して効率が向上する。
• デコードされた関係から $\mathbb{Z}/(q^h - 1)\mathbb{Z}$ 上の線形系を構築し、標準的な線形代数手法を用いて解く。
• 複雑さは $\tilde{O}(h! \cdot q^2)$ 演算/ $\mathbb{F}_q$ として分析され、補助体を用いた高速版では有効な定数係数が低減される。

実験結果

リサーチクエスチョン

• RQ1 インデックスカルキュラス法の関係収集フェーズにおいて、リード・ソロモンデコーディングが多項式因数分解の代替として効果的に使用可能か？
• RQ2 固定された $h$ に対して $q$ が増加する際、$\mathbb{F}_{q^h}$ 上での離散対数計算にリード・ソロモンデコーディングを用いる場合の漸近的複雑さは？
• RQ3 補助体、特に $\mathbb{F}_{q^h}$ の部分体でないものであっても、デコーディングに基づくアプローチの実用的効率を向上させるか？
• RQ4 段階的デコーディング技術は、離散対数計算における十分な関係の収集に要する時間を顕著に短縮できるか？
• RQ5 $q$、$h$、$e$ などの符号パラメータが、アルゴリズムの成功確率と全体的なパフォーマンスに与える影響は？

主な発見

• RSDL アルゴリズムは、固定された $h$ に対して $q$ が増加する際、$\mathbb{F}_q$ 上で $ ilde{O}(h! \cdot q^2)$ の演算で実現可能であり、漸近的領域では既知の手法と同等の性能を示す。
• 特に $e$ が $h$ を割り切る $\mathbb{F}_{q^e}$ を用いる補助体の使用により、デコーディング行列の列数が $q^e$ から約 $q^e/e$ にまで削減され、実用的パフォーマンスが顕著に向上する。
• $\mathbb{F}_{7^5}$ と補助体 $\mathbb{F}_{7^2}$ を用いた実験では、関係のデコード成功確率は約 0.217 であり、数値実験で確認された。
• 段階的バージョンの RSDL は関係収集の時間を短縮し、一部のケースでは非段階的バージョンに比べて 10 倍の高速化が達成された。
• $p=65537$、$h=7$ の実験では、線形代数フェーズに 124,095 秒を要したが、これは $p^h - 1$ の最大素因数 $P$ のサイズに起因し、$\log_2 P \approx 97$ であった。$\tilde{O}(h! \cdot q^2)$
• $\mathbb{F}_2^{31}$ と補助体 $\mathbb{F}_{2^8}$ を用いた場合、線形代数フェーズに 0 秒を要した。これは、システムが小さく、または有利な構造により容易に解けるためである。