Глава 5. Алгоритмы дискретного логарифмирования

дочить ее.

4 шаг. Составить таблицу значений b · av (mod p), 0 v H, и упорядочить ее.

5 шаг. Найти совпавшие элементы из первой и второй таблиц. Для

них

cu ≡ b · av (mod p),

откуда aHu−v ≡ b (mod p).

6 шаг. Выдать x ≡ Hu − v (mod p − 1).

Конец алгоритма.

Докажем, что алгоритм работает корректно. Любое целое число x, 0 x p − 2, можно представить в виде x ≡ Hu − v (mod p − 1),

следует корректность алгоритма. Оценка сложности также очевидна, поскольку набор из N элементов можно упорядочить за O(N log N) арифметических операций, см. [5, гл. 3].

Замечание 5.1. Некоторые усовершенствования алгоритма согласования см. в [36, гл. 6]. Все они также имеют экспоненциальную сложность.

Предположим теперь, что известно разложение p − 1 на простые

множители:

s

p − 1 = qi i .

i=1

s

Тогда решение (5.1) можно найти за O i (log p + qi) арифмети-

i=1

ческих операций с помощью следующего алгоритма, см. [215]. (Для некоторого усовершенствования алгоритма справедлива аналогичная оценка с заменой qi на q1i /2.)

Алгоритм Полига—Хеллмана.

1 шаг. Для каждого простого числа q, q | p − 1, составляем таблицу

чисел

rq,j ≡ aj(p−1)/q (mod p), j = 0, . . . , q − 1.

2 шаг. Для каждого простого q, q p − 1, находим loga b (mod q ).

логарифмирования по простому модулю p. Мы хотим решить уравнение ax ≡ b (mod p). Для этого рассмотрим три числовые последовательности

{ui}, {vi}, {zi}, i = 0, 1, 2, . . . ,

Здесь под c (mod p) мы понимаем наименьший неотрицательный вычет в данном классе вычетов.

Далее мы рассматриваем наборы (zi, ui, vi, z2i, u2i, v2i), i = 1, 2, 3, . . ., и ищем номер i, для которого zi = z2i. Из последнего равенства следует, что

bu2i−ui ≡ avi−v2i (mod p).

Если окажется, что (u2i − ui, p − 1) = 1, то при l Z, l(u2i − ui) ≡ 1 (mod p − 1) мы получим

b ≡ al(vi−v2i) (mod p),

откуда искомый x равен loga b ≡ l(vi − v2i) (mod p − 1).

Дальнейшие детали, в частности, методы для нахождения совпавших элементов zi, z2i, см. в [220]. Эвристическая оценка сложности метода составляет O(p1/2) операций.

Заметим, что в [276] с помощью некоторого усовершенствования-метода Полларда было проведено дискретное логарифмирование по простому модулю, записываемому 22 десятичными цифрами.

В работе [267] также было предложено некоторое усовершенствование описанного выше метода.

§ 5.3. Дискретное логарифмирование

впростых полях

Вданном параграфе мы рассмотрим алгоритмы решения уравнения

что a (mod p) имеет порядок p − 1. Первый такой алгоритм предложил Адлеман в работе [44]. Мы опишем некоторую модификацию его метода.

Алгоритм Адлемана.

простое

3 этап. Набрав достаточно много соотношений (5.3), решить получившуюся систему линейных уравнений относительно неизвестных loga q — дискретных логарифмов элементов факторной базы.

4 этап. С помощью некоторого перебора найти одно значение r, для

которого

ar · b ≡ q q · p1 . . . pk (mod p),

q B

где p1, . . . , pk — простые числа «средней» величины, т. е. B < pi < B1, где B1√— также некоторая субэкспоненциальная граница, B1 =

= econst log p log log p.

5 этап. С помощью вычислений, аналогичных 2 и 3 этапам алгоритма, найти дискретные логарифмы loga pi для фиксированных простых чисел средней величины p1, . . . , pk из 4 этапа.

134 Гл. 5. Алгоритмы дискретного логарифмирования

6 этап. Определить искомый loga b:

в [280]. Описания алгоритма Адлемана см. также в [95; 176; 210]. Отметим, что на практике алгоритм Адлемана все же недостаточно эффективен.

В 1986 г. Копперсмит, Одлыжко и Шреппель предложили алгоритм дискретного логарифмирования с эвристической оценкой слож-

сии алгоритма [97] с гауссовыми целыми. Он, кроме того, показал, что метод [97] с гауссовыми целыми лучше, чем решето числового по-

ритма Копперсмита—Одлыжко—Шреппеля, что также было показано в [134]. Об алгоритмах решета числового поля для дискретного логарифмирования, о версии [97] с гауссовыми целыми и о работе [276] мы расскажем более подробно далее, в § 5.5 этой главы. Здесь же мы опишем простейшую версию алгоритма Копперсмита—Одлыжко— Шреппеля.

Алгоритм COS.

1 этап. Положим H = [p1/2] + 1, J = H2 − p > 0. Сформируем мно-

вычет элемента (H + c1) (H + c2) (mod p) гладок по отношению к границе

пе, являются несущественными. Они не нужны впоследствии для нахождения индивидуальных логарифмов loga b. Поэтому на 3 этапе их сперва исключают из системы линейных уравнений; техника такого исключения описана в [103]. Получившуюся систему относительно неизвестных loga q решают методом структурированного гауссова исключения с последующим применением алгоритма Ланцоша, как в работе [151], или сразу методом Ланцоша, как в работе [276].

Замечание 5.5. Опишем просеивание, применяемое на 2 этапе. Зафиксируем значение c1. Пусть q — простое число, f — небольшое натуральное число, причем qf делит J + (c1 + c2)H + c1c2. Тогда

c2 ≡ −(J + c1H) (H + c1)−1 (mod qg).

Отсюда следует, что значения c2 для данных g и f лежат в арифметической прогрессии. Теперь уже ясно, что просеивание мы можем проводить аналогично методу квадратичного решета, описанному

вгл. 3. Мы заводим массив из L1/2+ элементов, номер элемента — это

значение c2. Сначала элементы массива равны 0. Затем мы перебираем степени простых чисел qf и для фиксированного qf к элементам массива с номерами c2, c2 ≡ −(J + c1H) (H + c1)−1 (mod qf), прибавляем достаточно грубо вычисленные значения log q. После окончания просеивания по всем q < L1/2 и некоторым небольшим f элементы нашего массива

будут приближенно равны логарифмам от гладких частей элементов

J + (c1 + c2)H + c1c2. Если значение элемента массива с номером c2 окажется примерно равно значению log |J + (c1 + c2)H + c1c2|, то число J + (c1 + c2)H + c1c2 скорее всего будет гладким, и мы факторизуем его пробными делениями на a, a < L1/2. Смысл применения просеивания, как и в методе квадратичного решета для факторизации, заключается

всокращении количества делений.

Замечание 5.6. В работе [134] описано логарифмирование по про-

валась версия алгоритма COS с гауссовыми целыми. Для работы алгоритма потребовалось 60 mips-years для нахождения соотношений, и около трех недель ушло на решение системы линейных уравнений. При решении системы линейных уравнений сначала использовалось структурированное гауссово исключение, а затем к уплотненной системе меньшего размера применялся алгоритм Ланцоша.