[論文レビュー] Some integer factorization algorithms using elliptic curves

Richard P. Brent|arXiv (Cornell University)|Apr 20, 2010

Cryptography and Residue Arithmetic参考文献 22被引用数 56

ひとこと要約

この論文では、誕生日パラドックスを活用して、期待される実行時間を約 log(p) 倍短縮することで、レンスキーの元来の手法を著しく高速化する二段階の楕円曲線因数分解アルゴリズムを提案する。第二段階では、複数の群位数を同時にテストすることで、因数 p を効率的に探索し、10^20 前後の因数に対して実用的な4～6.6倍の高速化を達成する。さらに最適化を施すことで性能が向上する。

ABSTRACT

Lenstra's integer factorization algorithm is asymptotically one of the fastest known algorithms, and is ideally suited for parallel computation. We suggest a way in which the algorithm can be speeded up by the addition of a second phase. Under some plausible assumptions, the speedup is of order log(p), where p is the factor which is found. In practice the speedup is significant. We mention some refinements which give greater speedup, an alternative way of implementing a second phase, and the connection with Pollard's "p-1" factorization algorithm.

研究の動機と目的

• 二段階の段階を導入することで、レンスキーの楕円曲線因数分解アルゴリズムの効率を向上させ、期待される実行時間を短縮すること。
• 一段階版と比較して、二段階アルゴリズムの理論的および実用的性能向上を分析すること。
• 実用的な改良、例えば有理数前処理、より良い曲線選択、高速な群演算を検討し、実世界での性能を向上させること。
• 並列処理および最適化された実装を用いて、小さな素因数を持つ大きな整数を因数分解する可能性を評価すること。

提案手法

• 誕生日パラドックスに基づく第二段階を導入し、複数の点を並列に計算することで、因数 p を発見する確率を高める。
• 2つの群演算の系列から得られる x 座標の差の積 d = ∏(xi − x̄j) mod N を計算することで、非自明な因数を検出する。
• 有理数前処理を用いて、O((r + log r)s) 回の乗算で積を評価し、記憶領域と計算コストを削減する。
• グループ位数が小さな素数（例：12）で高い割合に割り切れるような曲線を選択することで、有効な p を定数倍短縮する最適化を適用する。
• モンゴメリーの効率的な群演算形式（by² = x³ + ax² + x mod N）を用いることで、1回の指数計算あたりの乗算回数を約43%削減する。
• 第二段階をポラードの p−1 法に適応し、逆にそれらを相互に適用可能であることを示し、誕生日パラドックスのアプローチの汎用性を示す。

実験結果

リサーチクエスチョン

• RQ1 レンスキーの一段階楕円曲線因数分解アルゴリズムの期待される実行時間を、第二段階を導入することで短縮できるか？
• RQ2 誕生日パラドックスに基づく第二段階を用いた楕円曲線因数分解において、理論的および実用的な高速化はどの程度達成可能か？
• RQ3 曲線選択、有理数前処理、最適化された群演算などの改良が、二段階アルゴリズムの性能に与える影響は何か？
• RQ4 これらの改良が、与えられた計算予算内で因数分解可能な因数のサイズに与える影響は何か？

主な発見

• 二段階アルゴリズムは、T₁(p) を一括段階アルゴリズムの期待時間として、理論的高速化として O(T₁(p)/log p) を達成する。
• p ≈ 10^20 の場合、誕生日パラドックスに基づく第二段階は、一括段階アルゴリズムと比較して実用的な4倍の高速化を達成する。
• 有理数前処理や曲線選択などの追加の改良を施すと、p ≈ 10^20 の場合、高速化は約6.6倍にまで向上する。
• モンゴメリーの群演算形式やより良い曲線選択といった最適化により、乗算回数が3～4倍削減され、一括段階および二段階アルゴリズムの両方が向上する。
• これらの改善を組み合わせることで、約10^14回の乗算で、約50桁の素因数を持つ整数を因数分解することが可能になる。
• RSA暗号方式は、楕円曲線因数分解攻撃に対して安全を保つために、少なくとも100桁の数を使用すべきである。