Elementare Zahlentheorie und Kryptographie

Berechne für jedes i ein x i ∈ {0, · · · , li s − 1} derart, dass
gilt.
Log(a) = x i mod l si
i
Berechne mit dem euklidischen Algorithmus zum chinesischen Restsatz das X ∈
{0, · · · , ord(g) − 1} mit
Ausgabe: Log g (a) = X.
X = x 1 mod l s1
1
X = x 2 mod l s2
2
· · ·
X = x t mod l st
t .
Wenn p eine große Primzahl und g ein Erzeuger von F × p ist, dann wird ord(g) =
p − 1 in aller Regel nicht nur kleine Primteiler haben und es kann bereits das
Berechnen der PFZ von ord(g) = p − 1 zum Problem werden.
Die Berechnung von Log gl
, die beim Aufstellen der Kongruenzen mehrfach aufgerufen
wird, kostet enorm viel Laufzeit, wenn l ein großer Primteiler von ord(g)
ist.
Man hält es wie gesagt derzeit 8 für technisch unmöglich, Log F
×
p ,g
zu berechnen,
wenn p eine 1000-Bit-Primzahl ist und ord(g) einen 300-Bit Primteiler hat.
Bemerkung 4.3.3 Ganz anders liegen die Dinge, wenn g ein Element der Ordnung
2 s in F × p ist. Dann ist 2 der einzige Primteiler von ord(g) und die Berechnung
von
log F
×
p ,g
: 〈g〉 → Z/2s
funktionert dann mit dem obigen Algorithmus in Laufzeit, die polynomial in
der Bitlänge von p ist. (Man beachte, dass s kleiner-gleich der Bitlänge von
p sein wird. Der obige Algorithmus berechnet log g (a) in s Schritten, wobei die
laufzeitintensivste Operationen in jedem Schritt eine Potenzierung mit Square
und Multiply ist. In jedem Schritt fällt auch eine Auswertung Log [−1] (y), y ∈
{[1], [−1]} an, aber das läuft auf eine einfache if-Abfrage hinaus.)
8 im Jahr 2007
69