[论文解读] Some integer factorization algorithms using elliptic curves

Richard P. Brent|arXiv (Cornell University)|Apr 20, 2010

Cryptography and Residue Arithmetic参考文献 22被引用 56

一句话总结

本文提出了一种两阶段椭圆曲线因数分解算法，通过利用生日悖论，将Lenstra原始方法的预期运行时间减少了约 log(p) 倍，显著提升了效率。第二阶段通过同时测试多个群阶，高效搜索因数 p，使在 p ≈ 10^20 时的实际运行速度提升了 4 至 6.6 倍，进一步的优化措施进一步提升了性能。

ABSTRACT

Lenstra's integer factorization algorithm is asymptotically one of the fastest known algorithms, and is ideally suited for parallel computation. We suggest a way in which the algorithm can be speeded up by the addition of a second phase. Under some plausible assumptions, the speedup is of order log(p), where p is the factor which is found. In practice the speedup is significant. We mention some refinements which give greater speedup, an alternative way of implementing a second phase, and the connection with Pollard's "p-1" factorization algorithm.

研究动机与目标

• 通过引入第二阶段以减少预期运行时间，提升Lenstra椭圆曲线因数分解算法的效率。
• 分析两阶段算法相较于单阶段版本在理论和实际性能上的提升。
• 探索实用优化方法，如有理预处理、更优的曲线选择以及更快的群运算，以提升实际性能。
• 评估使用并行化和优化实现来分解具有小素因数的大整数的可行性。

提出的方法

• 基于生日悖论引入第二阶段，通过并行计算多个点以提高找到因数 p 的概率。
• 使用公式 d = ∏(xi − x̄j) mod N，通过计算两组群运算中 x 坐标之间的差值来检测非平凡因数。
• 采用有理预处理方法，在 O((r + log r)s) 次乘法内完成乘积计算，降低存储和计算成本。
• 应用优化措施，如选择群阶对小素数（例如 12）具有高可除性的曲线，从而以常数因子降低有效 p 值。
• 使用Montgomery的高效群运算形式（by² = x³ + ax² + x mod N），将每次指数运算的乘法次数减少约 43%。
• 将第二阶段适配至Pollard的 p−1 算法，并反之亦然，表明生日悖论方法具有跨算法适用性。

实验结果

研究问题

• RQ1 通过引入第二阶段，能否减少Lenstra单阶段椭圆曲线因数分解算法的预期运行时间？
• RQ2 基于生日悖论的第二阶段在椭圆曲线因数分解中能实现的理论与实际加速比是多少？
• RQ3 如曲线选择、有理预处理和优化群运算等改进措施，对两阶段算法性能有何影响？
• RQ4 这些改进对在给定计算预算下可实际分解的因数大小有何影响？

主要发现

• 两阶段算法实现了理论上的加速比 O(T₁(p)/log p)，其中 T₁(p) 为单阶段算法的预期时间。
• 对于 p ≈ 10^20，基于生日悖论的第二阶段使实际运行速度相比单阶段算法提升了约 4 倍。
• 通过额外优化（包括有理预处理和曲线选择），在 p ≈ 10^20 时速度提升增至约 6.6 倍。
• 如Montgomery群运算形式和更优曲线选择等优化措施，使乘法次数减少 3 至 4 倍，同时提升了单阶段与两阶段算法的性能。
• 综合改进使使用约 10^14 次乘法即可实现对具有约 50 位十进制因数的整数的因数分解。
• 为抵御椭圆曲线因数分解攻击，RSA密码系统应使用至少 100 位十进制数字的密钥。