[논문 리뷰] Some integer factorization algorithms using elliptic curves

Richard P. Brent|arXiv (Cornell University)|2010. 04. 20.

Cryptography and Residue Arithmetic참고 문헌 22인용 수 56

한 줄 요약

이 논문은 레인스타의 원래 방법을 상당히 빠르게 만들기 위해 생일 역설을 활용하여 예상 실행 시간을 약 log(p) 배 감소시키는 이단계 식 타원곡선 인수분해 알고리즘을 제안한다. 두 번째 단계는 여러 군 순서를 동시에 테스트하여 인수 p를 효율적으로 탐색하며, 10^20 근처의 인수에 대해 실용적인 속도 향상으로 4~6.6배의 성능 향상을 제공한다. 추가 최적화로 성능이 더욱 향상된다.

ABSTRACT

Lenstra's integer factorization algorithm is asymptotically one of the fastest known algorithms, and is ideally suited for parallel computation. We suggest a way in which the algorithm can be speeded up by the addition of a second phase. Under some plausible assumptions, the speedup is of order log(p), where p is the factor which is found. In practice the speedup is significant. We mention some refinements which give greater speedup, an alternative way of implementing a second phase, and the connection with Pollard's "p-1" factorization algorithm.

연구 동기 및 목표

• 이중 단계 알고리즘을 도입하여 레인스타의 타원곡선 인수분해 알고리즘의 효율성을 향상시키고, 예상 실행 시간을 감소시키는 것.
• 이중 단계 알고리즘과 단일 단계 버전을 비교하여 이론적 및 실용적 성능 향상을 분석하는 것.
• 실제 성능 향상을 위한 실용적 개선 사항, 예를 들어 유리 조건화, 더 나은 곡선 선택, 더 빠른 군 연산 등을 탐색하는 것.
• 병렬 처리 및 최적화된 구현을 통해 큰 정수의 작은 소인수를 인수분해할 수 있는지의 가능성을 평가하는 것.

제안 방법

• 생일 역설에 기반한 두 번째 단계를 도입하여, 여러 점을 동시에 계산함으로써 인수 p를 찾을 확률을 높인다.
• 두 개의 군 연산 시퀀스에서 얻은 x좌표 간의 차이인 d = ∏(xi − x̄j) mod N을 계산하여 비자명한 인수를 탐지한다.
• O((r + log r)s)회의 곱셈으로 제품을 평가함으로써 저장 및 계산 비용을 줄이기 위해 유리 조건화를 활용한다.
• 소수로 나누어 떨어지는 군 순서를 가진 곡선을 선택함으로써 소수(예: 12)에 대해 높은 나눗셈 가능성을 확보함으로써, 효과적인 p를 일정 요인만큼 감소시킨다.
• Montgomery의 효율적인 군 연산 형태(by² = x³ + ax² + x mod N)를 적용하여 각 거듭제곱 연산당 곱셈 수를 약 43% 감소시킨다.
• 두 번째 단계를 Pollard의 p−1 알고리즘과 상호 교환 가능하게 적용함으로써 생일 역설 접근법의 상호 적용 가능성을 보여준다.

실험 결과

연구 질문

• RQ1 레인스타의 단일 단계 타원곡선 인수분해 알고리즘의 예상 실행 시간을 두 번째 단계를 도입함으로써 감소시킬 수 있는가?
• RQ2 생일 역설 기반의 두 번째 단계를 사용할 경우 타원곡선 인수분해에서 이론적 및 실용적 속도 향상은 어느 정도인가?
• RQ3 곡선 선택, 유리 조건화, 최적화된 군 연산 등의 개선 사항이 이중 단계 알고리즘의 성능에 어떤 영향을 미치는가?
• RQ4 이러한 개선 사항이 주어진 계산 예산 내에서 인수분해가 가능해지는 인수의 크기에 어떤 영향을 미치는가?

주요 결과

• 이중 단계 알고리즘은 T₁(p)/log p의 이론적 속도 향상을 달성한다. 여기서 T₁(p)는 단일 단계 알고리즘의 예상 시간이다.
• p ≈ 10^20일 경우, 생일 역설 기반의 두 번째 단계는 단일 단계 알고리즘 대비 약 4배의 실용적 속도 향상을 제공한다.
• 유리 조건화 및 곡선 선택과 같은 추가 개선 사항을 적용하면, p ≈ 10^20일 경우 속도 향상이 약 6.6배로 증가한다.
• Montgomery의 군 연산 형태 및 더 나은 곡선 선택과 같은 최적화로 곱셈 횟수가 3~4배 감소하여, 단일 단계 및 이중 단계 알고리즘 모두 성능이 향상된다.
• 통합된 개선 사항으로 인해 약 10^14회의 곱셈으로 약 50자리 소수 인수를 가진 정수를 인수분해하는 것이 실현 가능해졌다.
• RSA 암호 체계는 타원곡선 인수분해 공격에 대비하여 적어도 100자리 소수를 사용해야 안전하다.