[논문 리뷰] Discrete logarithm computations over finite fields using Reed-Solomon codes

Daniel Augot, François Morain|arXiv (Cornell University)|2012. 02. 20.

Coding theory and cryptography참고 문헌 31인용 수 3

한 줄 요약

이 논문은 유한체에서 이산 로그를 계산하기 위한 새로운 알고리즘인 RSDL을 제안한다. 기존의 다항식 인수분해 대신 Reed-Solomon 코드 디코딩을 사용한다. 관계 수집 단계를 $\mathbb{F}_q$ 상에서의 유일한 디코딩 문제로 재정의함으로써, 고정된 $h$와 증가하는 $q$에 대해 $\mathbb{F}_q$ 상에서 $ ilde{O}(h! · q^2)$의 연산 복잡도를 달성하며, 보조 필드와 점진적 디코딩을 통해 실용성을 향상시킨다.

ABSTRACT

Cheng and Wan have related the decoding of Reed-Solomon codes to the computation of discrete logarithms over finite fields, with the aim of proving the hardness of their decoding. In this work, we experiment with solving the discrete logarithm over GF(q^h) using Reed-Solomon decoding. For fixed h and q going to infinity, we introduce an algorithm (RSDL) needing O (h! q^2) operations over GF(q), operating on a q x q matrix with (h+2) q non-zero coefficients. We give faster variants including an incremental version and another one that uses auxiliary finite fields that need not be subfields of GF(q^h); this variant is very practical for moderate values of q and h. We include some numerical results of our first implementations.

연구 동기 및 목표

• 이ndex 계산법에서 다항식 인수분해의 대안으로 Reed-Solomon 디코딩을 사용할 수 있는지 탐색한다.
• 코딩 이론 기법을 활용하여 이산 로그 알고리즘의 관계 수집 단계의 복잡도를 낮춘다.
• Reed-Solomon 코드 디코딩이 유한체에서 이산 로그 문제에 대해 효율적인 관계를 도출할 수 있는지 조사한다.
• 보조 보조 필드와 점진적 디코딩 전략을 통해 실용적 성능을 향상시킨다.

제안 방법

• 기존의 다항식 인수분해를 대체하여, $A$가 $\mathbb{F}_q$의 부분집합일 때 $X^u \equiv \prod_{a \in A}(X - a) \mod Q(X)$ 형태의 관계를 찾기 위해 Reed-Solomon 코드의 유일한 디코딩을 사용한다.
• 관계는 $\mathbb{F}_q$ 상의 Reed-Solomon 코드에서 $S = \mathbb{F}_q$를 지지집합으로 사용하여, $\tau \leq \lfloor (q - k)/2 \rfloor$인 경우에 대해 유일한 디코딩을 통해 $X^u \bmod Q(X)$를 코드워드로 디코딩함으로써 수집한다.
• 다양한 $u$ 값 간의 중간 계산을 재사용함으로써 관계 수집 단계의 속도를 높이기 위해 점진적 변형을 도입한다.
• 보조 유한체 $\mathbb{F}_{q^e}$를 사용하는 방법은 $e$가 $h$를 나누는 조건에서 디코딩 행렬의 크기를 줄여 효율성을 높이며, 갈로아 구조를 활용한다.
• 디코딩된 관계로부터 $\mathbb{Z}/(q^h - 1)\mathbb{Z}$ 상의 선형 시스템을 구성하고, 표준 선형 대수 기법을 사용하여 이를 해결한다.
• 복잡도는 $\mathbb{F}_q$ 상에서 $ ilde{O}(h! \cdot q^2)$의 연산으로 분석되며, 보조 필드를 사용하는 빠른 변형은 효과적인 상수 계수를 감소시킨다.

실험 결과

연구 질문

• RQ1 Reed-Solomon 디코딩이 이산 로그의 인덱스 계산 알고리즘에서 관계 수집 단계의 다항식 인수분해를 효과적으로 대체할 수 있는가?
• RQ2 고정된 $h$와 증가하는 $q$에 대해 $\mathbb{F}_{q^h}$에서 Reed-Solomon 디코딩을 사용한 이산 로그 계산의 점근적 복잡도는 무엇인가?
• RQ3 특히 $\mathbb{F}_{q^h}$의 부분체가 아니어도 되는 보조 필드는 디코딩 기반 접근의 실용적 효율성을 어떻게 향상시키는가?
• RQ4 점진적 디코딩 기법은 이산 로그 계산에서 충분한 관계를 수집하는 데 소요되는 시간을 크게 줄일 수 있는가?
• RQ5 코드 매개변수인 $q$, $h$, $e$가 알고리즘의 성공 확률과 전체 성능에 미치는 영향은 무엇인가?

주요 결과

• RSDL 알고리즘은 고정된 $h$와 증가하는 $q$에 대해 $\mathbb{F}_q$ 상에서 $ ilde{O}(h! \cdot q^2)$의 연산 복잡도를 달성하며, 점근적 영역에서 알려진 방법과 경쟁 가능하다.
• 특히 $e$가 $h$를 나누는 $\mathbb{F}_{q^e}$를 사용한 보조 필드는 디코딩 행렬의 열 수를 $q^e$에서 약 $q^e/e$로 줄여 실용적 성능을 크게 향상시킨다.
• $\mathbb{F}_{7^5}$에서 보조 필드로 $\mathbb{F}_{7^2}$를 사용한 경우, 관계를 디코딩하는 데 성공 확률은 약 0.217이며, 수치 실험으로 확인되었다.
• 점진적 RSDL은 관계 수집 시간을 줄이며, 일부 사례에서 비점진적 버전 대비 10배의 속도 향상을 보였다.
• $p=65537$, $h=7$인 실험에서 선형 대수 단계는 124,095초가 소요되었으며, 이는 $p^h - 1$의 최대 소인수 $P$의 크기에 의해 지배되었고, $\log_2 P \approx 97$이었다. $\tilde{O}(h! \cdot q^2)$
• $\mathbb{F}_2^{31}$에서 보조 필드로 $\mathbb{F}_{2^8}$를 사용한 경우 선형 대수 단계는 0초가 소요되어, 구조가 유리하여 시스템이 작거나 쉽게 해석 가능했음을 시사한다.