Elementare Zahlentheorie und Kryptographie

Wenn p eine große Primzahl und g eine Primitivwurzel in F × p ist, dann hat man
in dem Square and Multiply Algorithmus ein schnelles 2 Verfahren zur Berechnung
von exp F
×
p ,g(u) für u ∈ Z/(p − 1)Z.
Für die Berechnung von log F
×
p ,g
kann man eine Tabelle wie in obigem Beispiel
anlegen, und dann auslesen. Das kostet natürlich enorm viel Laufzeit. Das Berechnen
des relevanten Teils der Zeile [x] der Potenzierungstabelle braucht ca.
2 B Schritte, wenn ord([x]) eine B-Bit-Zahl ist. Es gibt etwas schnellere Algorithmen
für die Berechnung diskreter Logarithmen, z.B.
a) den Algorithmus von Silver, Pohig und Hellman,
b) die Babystep-Giantstep-Methode von Shanks (siehe [B], Abschnitt 9.3)
oder
c) die Index-Kalkulus-Methode.
All diese Algorithmen sind i.a. nicht polynomial in der Bitlänge von p, zumindest
wenn die Basis g des Logarithmus so beschaffen ist, daß ord(g) einen großen
Primteiler 3 l hat
Nach dem Stand der Technik 4 gilt es als praktisch unmöglich, log F
×
p ,g(x) zu berechnen,
wenn p eine 1000-Bit Primzahl ist und ord(g) einen 200-Bit Primteiler
hat.
Wir wissen bereits, dass für jede Primzahl p die Gruppe F × p zyklisch ist. Die
zyklischen Gruppen haben eine sehr einfache Strukturtheorie. Wir beenden den
Abschnitt mit wichtigen Sätzen über zyklische Gruppen.
Satz 4.1.7 Sei G eine endliche, zyklische Gruppe und g ein Erzeuger. Für jeden
positiven Teiler d von |G| hat G genau eine Untergruppe U mit |U| = d nämlich
U = 〈g |G|/d 〉.
Beweis: Gelte dm = |G|. Sei N = |G|. Offenbar ist U := 〈g m 〉 eine Untergruppe
mit
|U| = ord(g m ) = |G|/m = d
(beachte 4.1.2, 4.1.3).
Sei V eine Untergruppe der Ordnung d. Wir zeigen V ⊂ U. (Dann muß U = V
gelten wg. |U| = |V | = d). Sei v ∈ V beliebig. Wegen |V | = d folgt v d =
1. Wie jedes Element von G ist v eine Potenz von g: Sagen wir v = g s mit
s ∈ {0, · · · , N − 1}. Dann gilt 1 = g ds und mit ord(g) = N folgt N | ds, d.h.
md | sd. Daher ist s ein Vielfaches von m. Also existiert ein k ∈ {0, · · · , d − 1}
mit s = mk. Es folgt v = g mk ∈ U.
□
2 polynomial in der Bitlänge von p
3 vielleicht ist die Bitlänge von l halb so groß wie die Bitlänge von p
4 im Jahr 2007
63