Elementare Zahlentheorie und Kryptographie

d.h. mit x j = f j (x 0 ), wobei f j = f ◦ · · · ◦ f die j-malige Hintereinanderausführung
von f ist. Da X endlich ist, kann die Abbildung
N → X, i ↦→ x i
nicht injektiv sein. Es muß also ein Indexpaar (i, j) mit i < j und x i = x j geben.
Ein solches Indexpaar wird im folgenden eine Kollision in (x i ) i genannt.
Sei (v, w) das kleinste solche Indexpaar und s = w −v. Dann gilt für jedes j ∈ N
schon x v+j+s = f j (x v+s ) = f j (x v ) = x v+j . D.h. nach einer Vorperiode der
Länge v mündet (x i ) i in einen Zyklus der Periodenlänge s. Wenn f eine Zufallsabbildung
(d.h. ein zufällig gewähltes Element der Menge aller Abbildungen
X → X) ist, dann sind v und s Zufallsvariable mit Erwartungswert ≈ 0.6 √ N.
Faktum B. Sei f : X → X eine Zufallsabbildung und x 0 ∈ X ein Startwert.
Dann läßt sich eine Kollision in der Folge (x i ) i = (f i (x 0 )) in erwarteter Laufzeit
von O( √ N) Schritten berechnen.
Sei wieder G eine endliche abelsche Gruppe und g ∈ G. Der Clou bei der
ρ-Methode von Pollard ist folgendes: Das diskrete Logarithmusproblem (d.h.
Problem A im Spezialfall der Abbildung exp g ) kann durch einen “Trick” (Betrachten
einer geeigneten Hilfsfunktion) überführt werden in ein Problem, das
auf Grund von Faktum B in O( √ |G|) Schritten gelöst werden kann. Dies ergibt
eine Verbesserung der Laufzeit von O(|G|) auf O( √ |G|).
Wir gehen nun auf die Details ein. Sei o.E. G = 〈g〉 zyklisch mit Erzeuger g.
Sei h ∈ G. Wir wollen x mit g x = h berechen. Sei G = T 1 ∪ T 2 ∪ T 3 eine
disjunkte Zerlegung in drei etwa gleich große Teilmengen. Wir betrachten die
Hilfsfunktion
⎧
⎨ xg x ∈ T 1
f : G → G, x ↦→ x 2 x ∈ T 2
⎩
xh x ∈ T 3
Seien a 0 , b 0 ∈ Z/N (N := |G|) und x 0 = g a0 h b0 . Seien (x i ) i , (a i ) i und (b i ) i die
rekursiv definierten Folgen mit
und
x i+1 = f(x i ),
⎧
⎨ a i + 1 x ∈ T 1
a i+1 = 2a i x ∈ T 2
⎩
a i x ∈ T 3
⎧
⎨ b i x ∈ T 1
b i+1 = 2b i x ∈ T 2 .
⎩
b i + 1 x ∈ T 3
Dann gilt x i = g ai h bi für alle i. Man findet nach Faktum B in erwarteter Laufzeit
von O( √ N) Rechenschritten eine Kollision (i, j) in der Folge (x i ) i . Dann gilt
g ai h bi = g aj h bj und das impliziert g ai−aj = h bj−bi = g x(bj−bi) . Daraus gewinnt
man die folgende Gleichung im Ring Z/N:
a i − a j = x(b j − b i ).
66