[论文解读] On the discrete logarithm problem in finite fields of fixed characteristic

Robert Granger, Thorsten Kleinjung+1 more|IACR Cryptology ePrint Archive|Jul 6, 2015

Coding theory and cryptography被引用 4

一句话总结

本文提出了一种随机化算法，可在固定特征的有限域中以期望准多项式时间求解离散对数问题（DLP）。通过利用扩张域 ${\mathbb{F}}_{p^n}$ 中的代数结构，该方法实现了时间复杂度 $\exp\big{(}(1/\log 2+o(1))( \log n)^2\big{)}$，证明了对于每个素数 $p$，都存在无穷多个显式扩张域，使得 DLP 可在准多项式时间内求解。

ABSTRACT

For $q$ a prime power, the discrete logarithm problem (DLP) in $\mathbb{F}_{q}$ consists in finding, for any $g \in \mathbb{F}_{q}^{ imes}$ and $h \in \langle g angle$, an integer $x$ such that $g^x = h$. We present an algorithm for computing discrete logarithms with which we prove that for each prime $p$ there exist infinitely many explicit extension fields $\mathbb{F}_{p^n}$ in which the DLP can be solved in expected quasi-polynomial time. Furthermore, subject to a conjecture on the existence of irreducible polynomials of a certain form, the algorithm solves the DLP in all extensions $\mathbb{F}_{p^n}$ in expected quasi-polynomial time.

研究动机与目标

• 开发一种用于求解固定特征有限域中离散对数问题（DLP）的确定性、代数结构化算法。
• 消除对启发式光滑性假设的依赖，与以往的准多项式算法不同。
• 证明对于每个素数 $p$，都存在无穷多个显式扩张域 ${\mathbb{F}}_{p^n}$，使得 DLP 可在期望准多项式时间内求解。
• 建立此类域中 DLP 的严格复杂度界，且不依赖于群阶分解。

提出的方法

• 该算法基于在 $\mathbb{F}_{q^k}[X]$ 中构造整除 $h_1X^q - h_0$ 的不可约多项式 $I$ 的下降方法。
• 依赖于 Göloğlu 等人提出的关键构建模块，利用函数域中的代数结构以实现下降步骤。
• 通过重复下降将 $\mathbb{F}_{q^{kl}}$ 中的 DLP 降低为更小的子问题，使用多项式因式分解和不变量理论。
• 利用库默尔理论确保当 $l = q-1$ 时存在合适的 $h_0, h_1$，从而实现显式域的构造。
• 分析使用 $\mathrm{PGL}_2(\mathbb{F}_q)$ 和 $\mathrm{PSL}_2(\mathbb{F}_q)$ 在根上的群作用，以证明不可约性与不变性性质。
• 该算法通过依赖代数几何和域同构，避免了光滑性启发式假设，从而实现严格的复杂度分析。

实验结果

研究问题

• RQ1 在固定特征的有限域中，是否可以在不依赖启发式光滑性假设的前提下，以准多项式时间求解离散对数问题？
• RQ2 对于固定的素数 $p$，是否存在无穷多个显式扩张域 ${\mathbb{F}}_{p^n}$，使得 DLP 可在期望准多项式时间内求解？
• RQ3 该下降方法是否可以在 $h_0, h_1, I$ 的代数条件约束下被严格分析并证明其成功？
• RQ4 是否能够构造出具有确定性代数结构而非概率启发式方法的此类域与算法？

主要发现

• 对于每个素数 $p$，都存在无穷多个显式扩张域 ${\mathbb{F}}_{p^n}$，使得离散对数问题可在期望时间 $\exp\big{(}(1/\log 2+o(1))( \log n)^2\big{)}$ 内求解。
• 该算法在 $\mathbb{F}_{q^{kl}}$ 中求解 DLP 的期望时间为 $q^{\log_2 l + O(k)}$，当 $l = q-1$ 且 $k = 18$ 时，该时间与准多项式界一致。
• 该方法完全确定性，不依赖于未经证明的光滑性假设，与 Barbulescu 等人等以往的准多项式算法不同。
• 当 $l = q-1$ 时，通过库默尔理论可保证 $h_0, h_1$ 的存在性，从而实现域的显式构造。
• 该算法的成功通过使用群作用与不变量理论的严格下降论证得到证明，确保在给定条件下结果正确。
• 该结果表明，此类域中的 DLP 并不像先前认为的那样困难，对基于有限域离散对数的某些密码系统安全性假设构成了挑战。