[논문 리뷰] New algorithm for the discrete logarithm problem on elliptic curves

Igor Semaev|arXiv (Cornell University)|2015. 04. 06.

Cryptography and Residue Arithmetic참고 문헌 1인용 수 8

한 줄 요약

이 논문은 이차 타원곡선에서 이산 로그 문제를 해결하기 위한 새로운 알고리즘을 제시한다. 이 알고리즘은 다항식의 합계 다항식의 영점을 효율적으로 계산함으로써 작동하며, 저차수의 부울 방정식 시스템을 통해 이를 달성한다. 첫 번째 떨어짐 정도 가정 하에, 이 방법은 점근적 복잡도 $2^{cackslashsqrt{n\ln n}}$를 달성하며 $c \approx 1.69$이다. 이는 $n > 310$일 경우 폴드의 로 파이 방법보다 뛰어나며, 이로 인해 FIPS에서 권장하는 여러 이차 타원곡선이 이론적으로 해체된다.

ABSTRACT

A new algorithms for computing discrete logarithms on elliptic curves defined over finite fields is suggested. It is based on a new method to find zeroes of summation polynomials. In binary elliptic curves one is to solve a cubic system of Boolean equations. Under a first fall degree assumption the regularity degree of the system is at most $4$. Extensive experimental data which supports the assumption is provided. An heuristic analysis suggests a new asymptotical complexity bound $2^{c\sqrt{n\ln n}}, c\approx 1.69$ for computing discrete logarithms on an elliptic curve over a field of size $2^n$. For several binary elliptic curves recommended by FIPS the new method performs better than Pollard's.

연구 동기 및 목표

• 이론적 복잡도가 낮은 타원곡선에서 $\mathbb{F}_{2^n}$에 정의된 이산 로그 문제를 해결하기 위한 더 효율적인 알고리즘을 개발한다.
• 이전의 인덱스 계산 접근법의 한계를 극복하기 위해, 점의 분해를 찾는 데 사용되는 방정식 시스템을 단순화한다.
• 합계 다항식에서 유도된 부울 방정식 시스템에 대해 첫 번째 떨어짐 정도 가정이 4임을 이론적이고 실험적으로 입증한다.
• 새로운 방법이 충분히 큰 $n$에 대해 폴드의 로 파이 알고리즘을 능가함을 보여주며, 특히 FIPS에서 권장하는 곡선에 대해 적용 가능하다.
• 고정된 $p > 2$에 대해 증가하는 $n$에 대해 $\mathbb{F}_{p^n}$에서 정의된 타원곡선으로 이 방법을 일반화한다.

제안 방법

• 이 방법은 $\mathbb{F}_2$에서의 $S_3$ 다항식에서 유도된 3차 다변수 부울 방정식 시스템을 통해 합계 다항식의 영점 찾기 문제를 해결한다.
• 첫 번째 떨어짐 정도 가정을 활용하여, F4 그뢰브너 기저 알고리즘의 정규성 차수는 이러한 시스템에서 최대 4임을 증명한다. 이는 효율적인 계산을 가능하게 한다.
• 블록 구조적 접근을 사용하여 시스템을 해결함으로써, 가정 하에 그뢰브너 기저 계산의 복잡도를 $n$에 대해 다항식 시간으로 감소시킨다.
• 점 $R = uP + vQ$가 사전에 정의된 집합 $V$의 $X$-좌표를 가진 점들의 합으로 표현될 수 있도록 분해 전략을 적용하며, 이는 부울 시스템의 해를 이용한다.
• 이 분해 전략을 $\mathbb{F}_2$에서의 선형 대수와 결합하여 이산 로그를 구한다. 전체 복잡도는 관계 수집의 첫 번째 단계에 의해 지배된다.
• MAGMA를 사용한 광범위한 실험 결과, 첫 번째 떨어짐 정도 가정이 확인되었으며, 다양한 곡선 매개변수와 체 구조에서 정규성 차수가 항상 4 이하임을 보여주었다.

실험 결과

연구 질문

• RQ1 합계 다항식을 기반으로 한 새로운 접근법을 통해 이중 타원곡선에서 이산 로그 문제를 폴드의 로 파이 방법보다 더 효율적으로 해결할 수 있는가?
• RQ2 합계 다항식에서 유도된 부울 방정식 시스템의 첫 번째 떨어짐 정도가 항상 4로 유한하게 유지되는가? 이는 하위지수 복잡도를 가능하게 한다.
• RQ3 첫 번째 떨어짐 정도 가정 하에 새로운 알고리즘의 점근적 복잡도는 얼마이며, 기존 방법과 비교해 볼 때 어떻게 다른가?
• RQ4 폴드의 로 파이 방법을 능가하는 조건에서 $n$의 값은 무엇인가? 특히 FIPS에서 권장하는 이중 타원곡선에 대해 적용 가능한가?
• RQ5 이 방법은 홀수 소수 $p$에 대해 $\mathbb{F}_{p^n}$에서 정의된 타원곡선으로 일반화할 수 있는가?

주요 결과

• 이중 체 $\mathbb{F}_2$에서의 $S_3$ 다항식에서 유도된 부울 시스템의 첫 번째 떨어짐 정도는 최대 4임을 증명하였으며, 이는 그뢰브너 기저 계산의 효율성을 뒷받침한다.
• MAGMA를 사용한 광범위한 실험 결과, 첫 번째 떨어짐 정도 가정이 확인되었으며, 테스트된 매개변수에서 F4의 정규성 차수는 항상 4를 초과하지 않았다.
• 새로운 알고리즘의 점근적 복잡도는 $2^{c\backslashsqrt{n\ln n}}$이며, $c \approx 1.69$이다. 이는 큰 $n$에 대해 폴드의 $O(2^{n/2})$ 복잡도보다 뚜렷이 향상된다.
• 이 방법은 $n > 310$일 경우 폴드의 로 파이 알고리즘을 능가하며, 이는 $n = 409$와 $n = 571$인 FIPS에서 권장하는 이중 타원곡선이 이론적으로 해체되었음을 의미한다.
• $n = 571$일 경우, 블록 구조 없이도 표준 F4 알고리즘이 폴드의 로 파이 복잡도 이하가 되므로 실용적 이점이 확인되었다.
• 복잡도 추정은 홀수 소수 $p$에 대해 $\mathbb{F}_{p^n}$로 확장되며, $p^{c\backslashsqrt{n\ln n}}$의 형태를 띠며 $c = \frac{2}{(2\ln p)^{1/2}}$이다. 이는 더 넓은 적용 가능성을 시사한다.