[论文解读] Discrete logarithm computations over finite fields using Reed-Solomon codes

Daniel Augot, François Morain|arXiv (Cornell University)|Feb 20, 2012

Coding theory and cryptography参考文献 31被引用 3

一句话总结

该论文提出了一种名为 RSDL 的新算法，用于通过里德-所罗门码解码而非传统的多项式因式分解，在有限域上计算离散对数。通过将关系收集阶段建模为在 $\mathbb{F}_q$ 上的唯一解码问题，该方法在固定 $h$ 且 $q$ 增大时，实现了 $\tilde{O}(h! \cdot q^2)$ 次 $\mathbb{F}_q$ 上的运算复杂度，通过辅助域和增量解码技术实现了实际性能的提升。

ABSTRACT

Cheng and Wan have related the decoding of Reed-Solomon codes to the computation of discrete logarithms over finite fields, with the aim of proving the hardness of their decoding. In this work, we experiment with solving the discrete logarithm over GF(q^h) using Reed-Solomon decoding. For fixed h and q going to infinity, we introduce an algorithm (RSDL) needing O (h! q^2) operations over GF(q), operating on a q x q matrix with (h+2) q non-zero coefficients. We give faster variants including an incremental version and another one that uses auxiliary finite fields that need not be subfields of GF(q^h); this variant is very practical for moderate values of q and h. We include some numerical results of our first implementations.

研究动机与目标

• 探索在离散对数计算的指标微积分方法中，使用里德-所罗门码解码替代多项式因式分解的可行性。
• 通过利用编码理论技术，降低离散对数算法中关系收集阶段的复杂度。
• 研究解码里德-所罗门码是否能为有限域上的离散对数问题生成高效关系。
• 通过使用辅助辅助域和增量解码策略，提升实际性能。

提出的方法

• 该方法用里德-所罗门码的唯一解码替代传统多项式因式分解，以寻找形如 $X^u \equiv \prod_{a \in A}(X - a) \mod Q(X)$ 的关系，其中 $A$ 是 $\mathbb{F}_q$ 的子集。
• 通过将 $X^u \bmod Q(X)$ 视为在 $\mathbb{F}_q$ 上、支持集为 $S = \mathbb{F}_q$ 的里德-所罗门码中的码字，并使用唯一解码（$\tau \leq \lfloor (q - k)/2 \rfloor$）来收集关系。
• 引入了一种增量变体，通过在多个 $u$ 值之间重用中间计算结果，加速关系收集阶段。
• 辅助域方法使用一个辅助有限域 $\mathbb{F}_{q^e}$（其中 $e$ 整除 $h$）来减小解码矩阵的规模，通过利用伽罗瓦结构提升效率。
• 从解码得到的关系构建一个在 $\mathbb{Z}/(q^h - 1)\mathbb{Z}$ 上的线性系统，随后使用标准线性代数技术求解。
• 复杂度分析表明，其在 $\mathbb{F}_q$ 上的运算次数为 $\tilde{O}(h! \cdot q^2)$，而使用辅助域的加速版本可显著降低有效常数因子。

实验结果

研究问题

• RQ1 里德-所罗门码解码能否有效替代指标微积分算法中关系收集阶段的多项式因式分解？
• RQ2 在固定 $h$ 且 $q$ 增大的情况下，使用里德-所罗门码解码计算 $\mathbb{F}_{q^h}$ 中离散对数的渐近复杂度是多少？
• RQ3 辅助域（尤其是非 $\mathbb{F}_{q^h}$ 子域的辅助域）如何提升基于解码方法的实际效率？
• RQ4 增量解码技术能否显著减少离散对数计算中收集足够关系所需的时间？
• RQ5 码参数 $q$、$h$ 和 $e$ 对算法成功概率和整体性能有何影响？

主要发现

• RSDL 算法在固定 $h$ 且 $q$ 增大时，实现了 $\tilde{O}(h! \cdot q^2)$ 次 $\mathbb{F}_q$ 上的运算复杂度，该复杂度在渐近意义上与已知方法具有竞争力。
• 使用辅助域（特别是 $\mathbb{F}_{q^e}$，其中 $e$ 整除 $h$）可将解码矩阵的列数从 $q^e$ 减少到约 $q^e/e$，显著提升实际性能。
• 在 $\mathbb{F}_{7^5}$ 中使用辅助域 $\mathbb{F}_{7^2}$ 时，解码关系的成功概率约为 0.217，该结果通过数值实验得到验证。
• RSDL 的增量版本显著缩短了关系收集时间，基准测试显示在某些情况下相比非增量版本提速达 10 倍。
• 在 $p=65537$、$h=7$ 的实验中，线性代数阶段耗时 124,095 秒，主要受 $p^h - 1$ 的最大素因子 $P$ 的大小影响，其 $\log_2 P \approx 97$。$\tilde{O}(h! \cdot q^2)$
• 在 $\mathbb{F}_2^{31}$ 中使用辅助域 $\mathbb{F}_{2^8}$ 时，线性代数阶段耗时仅 0 秒，表明系统规模小或因有利结构而易于求解。