기능장 체

수학에서 함수 필드 체는 유한 분야에서 이산 로그 문제(DLP)를 해결하기 위한 가장 효율적인 알고리즘 중 하나이다. 그것은 경험적으로 부수적인 복잡성을 가지고 있다. 레오나드 애들먼은 1994년에 그것을 개발했고 그리고 나서 M. D.와 함께 그것을 상세히 기술했다. 1999년 황씨.^[2] 이전 작품에는 D의 작품이 포함되어 있다. 특성 2의 분야에서 DLP에 대한 코퍼스미스.

유한 필드의 이산 로그 문제는 $a{\displaystyle }$, ${\displaystyle b}$ f ${\displaystyle {F^{}}_{}}$ p ${\$ $a^{x}=b}$에 대한$$ 방정식, $b{\displaystyle {}^{}}$${\displaystyle \in }$ ${\displaystyle {\mathbb{}}_{}}$ p {\displaystyle $a,b\in \mathb$ {$F} _{p$n$}}},$ p {\$displaystystyle$ $p}$ 프라임$$ 숫자와 n$}$ $정수$를 푸는 것으로 구성된다. The function ${\displaystyle f:\mathbb {F} _{p^{n}}\to \mathbb {F} _{p^{n}},x\mapsto a^{x}}$ for a fixed ${\displaystyle a\in \mathbb {F} _{p^{n}}}$ is a one-way function used in cryptography. DLP에는 Diffie-Hellman 키 교환, El Gamal 암호체계, Digital Signature Algorithm과 같은 여러 암호화 방법이 기초하고 있다.

수 이론적 배경

함수 필드

Let ${\displaystyle C(x,y)}$ be a polynomial defining an algebraic curve over a finite field ${\displaystyle \mathbb {F} _{p}}$. A function field may be viewed as the field of fractions of the affine coordiante ring ${\displaystyle \mathbb {F} _{p}[x,y]/(C(x,y))}$, wher$e{\displaystyle }$${\displaystyle }$( ${\displaystyle C}$( x${\displaystyle }$, ${\displaystyle y}$)${\displaystyle (x,$${\displaystyle y}$$)}$은 C${\displaystyle }$( ${\displaystyle x}$, y${\displaystyle }$) ${\displaystyle$ C $(x,y)}$에 의해 생성된 이상을 나타낸다$$$.$ 이것은 대수 함수 필드의 특수한 경우다. 유한장 $F{\displaystyle {\mathbb{}}_{}}$ ${\displaystyle {}_{}}$ ${\$에 걸쳐 정의되며$$, 초월도 1이 있다. $초월{\displaystyle }$ 요소는 x ${\displaystyle x}$로 표시된다$.$

기능 분야의 평가 링과 장소의 동등성 클래스, 그리고 평가 링과 가치의 동등성 클래스 사이에 편차가 존재한다.^[4] 이 대응은 Function Field Che 알고리즘에서 자주 사용된다.

디비저스

함수 필드 $K{\displaystyle }$/ ${\displaystyle {}_{}}$ ${\displaystyle p{\mathbb{}}_{}}$ ${\$ K$/\mathb {F} _{p$ 즉 이산 평가 링 $F{\displaystyle {\mathbb{}}_{}}$ ${\displaystyle {}_{}}$ ${\displaystyle {}_{}}$ ${\displaystyle O}$ ${\displaystyle \subset }$ ${\displaystyle K}$ ${\displaystyle \mathb {F}$$_{p}\subset O\subset K}$의 이산 평가에는 함수의 최대 $이상{\displaystyle }$ P ${\$displaystyp$}가 있다$. The degree of ${\displaystyle P}$ is ${\displaystyle deg(P)=[O/P:\mathbb {F} _{p}]}$ and we also define ${\displaystyle f_{O}=[O/P:\mathbb {F} _{p}]}$.

A divisor is a ${\displaystyle \mathbb {Z} }$-linear combination over all primes, so ${\textstyle d=\sum \alpha _{P}P}$ where ${\displaystyle \alpha _{P}\in \mathbb {Z} }$ and only finitely many elements of the sum are non-zero. The divisor of an element ${\displaystyle x\in K}$ is defined as ${\textstyle {\text{div}}(x)=\sum v_{P}(x)P}$, where ${\displaystyle v_{P}}$ is the valuation corresponding to the prime ${\displaystyle P}$. divisor의 정도는 $\mathrm{deg}$ $$( $d$)$$=${}_{}$ P $\mathrm{dg}$ $$( $P$) $textstyle \deg(d)=\sum \alpha _{P}\deg(P$)} 입니다$.$

방법

그 기능 현장 체로 한번 쳐라 알고리즘이 더 작은 정도의 기약 다항식의 이산 로그 발견된다 그들이 b{\displaystyle b}의 logaritm 만들어지고는 precomputation과 감소를 단계로 구성되어 있다.

는 학위의 약분할 수 없는 기능으로 분해되는 것이 있기능 일부 바인딩 된 B{B\displaystyle}B{B\displaystyle}-smooth라고 불린다보다 작아진다. 왜냐하면 그들의 분해 상대적으로 빨리 발견될 수 있는 부드러운 번호와 기능이 유용하다의 정의에 유사하다. 이러한 기능 S)의 집합{\displaystyle S=\{g())\in \mathbb{F}_ᆰ[)]\mid{\text{과irreductible}}\deg(g)<{g())∈ Fp[)]∣irreductible과deg⁡(g)<>B}.B\}}의 요소 기본이라고 불린다. A pair of functions ${\displaystyle (r,s)}$ is doubly-smooth if ${\displaystyle rm+s}$ and ${\displaystyle N(ry+s)}$ are both smooth, where ${\displaystyle N(\cdot ,\cdot )}$ is the norm of an element of ${\displaystyle K}$ over ${\displaystyle \mathbb {F} _${p}}, m∈ Fp[)]{\displaystylem\in \mathbb{F}_ᆬ[)]}은 일부 매개 변수와 ry+s{\displaystyle ry+s} 준다는 요소의 기능 분야의 C{C\displaystyle}.

알고리즘의 체이빙 단계는 기능의 이중 매끄러운 쌍을 찾는 것으로 구성된다. 다음 단계에서 우리는 분해에 있는 함수의 로그들을 포함한 선형 관계를 찾기 위해 그것들을 사용한다. 선형 시스템을 풀어서 로그 값을 계산한다. 감소 단계에서는 이전에 찾은 로그의 조합으로$$ ${\displaystyle {}_{}}$( ${\displaystyle b}$) ${\displaystyle \log _{a}(b)}$ ${\displaystyle {로그}_{}}$를 표현하여 DLP를 해결한다.

프리컴퓨팅

파라미터 선택

The algorithm requires the following parameters: an irreducible function ${\displaystyle f}$ of degree ${\displaystyle n}$, a function ${\displaystyle m\in \mathbb {F} _{p}[x]}$ and a curve ${\displaystyle C(x,y)}$ of given degree ${\displaystyle d}$ such that ${\displaystyle C(x,m)\equiv 0}$${\displaystyle \text{mod}}$ ${\displaystyle f}$ ${\displaystyle C(x,m)\equiv 0{\text{mod$$여기$서 $n{\displaystyle }$ ${\displaystyle n}$은(는) ${\displaystyle {{기본}^{}}_{}}$ 필드 F p ${\$p^{n$\}\}$의 순서대로 전원을$$ 나타내며, $Let$$$K$${\$displaystystystystystylease$ styleasestythattern$}$는 C$}$가 정의한 기능 필드를 나타낸다$$$.$

이로 인해 이형성 F $p{\displaystyle {\mathbb{}}_{}}$ ${\displaystyle p}$ F ${\displaystyle {}_{}}$ [${\displaystyle {}_{}]}$/ f ${\displaystyle \mathb {F} _{p^{n}\simeq \mathb {F} _{p}[x]/f}$ 및 동형성(동형성)으로$$ 이어진다.

이소모르피즘을 사용하면 $F{\displaystyle {\mathbb{}}_{}}$ ${\displaystyle {p^{}}_{}}$ [$$x ]${\displaystyle }$/ ${\displaystyle f}$ {\$displaystyle \mathb$ {F}$_{p^{n}}$의 각 요소를 F ${\displaystyle {}_{}}$[ ${\displaystyle x}$ ${\displaystyle ]}$ / f ${\displaystyle \mathb {F} _{p}[x]/f}$에서 다항식으로 간주할 수 있다$$$.$

또한 인자 $베이스{\displaystyle }$ S ${\displaystyle S$에 대해 평활도 경계 $B{\displaystyle }$ ${\displaystyle B}$를 설정할 필요가 있다.

체빙

이 단계에서는 기능 쌍$({\displaystyle r}$, s${\displaystyle }$)이 이중으로 부드러운 쌍(r , ${\displaystyle s}$ )${\displaystyle {\mathbb{}}_{}}$ p${\displaystyle {}_{}}$[ ${\displaystyle x}$ ${\displaystyle ]}$ ${\displaystyle \times }$ ${\displaystyle {\mathbb{}}_{}}$ [${\displaystyle {}_{}}$ ${\displaystyle ]}$ ${\displaystyle (r,s)\in \mathb {F} _{p}[x]\times \mathb {$F$}$ $_{p$}\p}[$x]$이 발견된다.

$f{\displaystyle }$=${\displaystyle }$( ${\displaystyle r}$ m${\displaystyle }$+ ${\displaystyle s}$) ${\displaystyle N}$( ${\displaystyle r}$ ${\displaystyle y}$+ s$){\displaystyle f=(rm+s)N(ry+s$ 형식의 기능을 고려하여 가능한 한 많이$$ $g{\displaystyle }$ ${\displaystyle \in }$ ${\displaystyle S}$ ${\displaystyle g\in S}$로 $f{\displaystyle }$ ${\displaystyf}$를 나눈다. 이 프로세스에서 하나로 축소되는$$ $모든{\displaystyle }$ f ${\displaystyle f}$은(는) $B{\displaystyle }$ ${\displaystyle B}$ -smooth이다$$. 이를 구현하기 위해, 회색 코드를 사용하여 주어진 다항식의 배수를 효율적으로 밟을 수 있다.

이것은 Number Field Che 또는 Index 미적분 알고리즘과 같은 다른 체이빙 알고리즘의 체이빙 단계와 완전히 유사하다. F ${\displaystyle {}_{}}$[ ${\displaystyle x}$ ${\displaystyle ]}$ ${\displaystyle \mathb {F} _{p}[x]}$의 함수를 통해 숫자 1을 나타내는 대신, 그러한$$ 함수는 소수 단위로 인수할 수 있는 것처럼 해석 불가능한 다항식으로 인수할 수 있다.

선형 관계 찾기

이것은 알고리즘에서 가장 어려운 부분으로, 위에서 정의한 기능 필드, 장소 및 구분선을 포함한다. 목표는 두 배로 부드러운 함수 쌍을 사용하여 인자 베이스에 있는 요소의 이산 로그와 관련된 선형 관계를 찾는 것이다.

인자 베이스의 각 수정 불가능한 함수에 대해 우리는 ${\displaystyle {장소\mathrm{}}_{}{}_{}}$v ${\displaystyle {1\mathrm{}}_{}}$,${\displaystyle {}_{}}$ 2, .${\displaystyle }$. . .$${\$displaystyle v_{1},v_{$2}, $...$을 찾을 수 있다.그들 위에 놓여 있는$$ $K{\displaystyle }$ ${\displaystyle K}$의 ${}$과(와) 대리 함수 ${\displaystyle {\alpha 1\mathrm{}}_{}}$,${\displaystyle {}_{}{\alpha 2\mathrm{}}_{}}$,${\displaystyle }$.${\displaystyle }$. ${\displaystyle \alpha _{1},\alpha _{2},...$그$$ 장소들에 해당하는 $}.$ A surrogate function ${\displaystyle \alpha _{i}\in K}$ corresponding to a place ${\displaystyle v_{i}}$ satisfies ${\displaystyle {\text{div}}(\alpha _{i})=h(v_{i}-f_{v_{i}}u)}$ where ${\displaystyle h}$ is the class number of ${\displaystyle$$K}$ 및$$ $u{\displaystyle }$ ${\displaystyle u}$은(는) $f{\displaystyle {}_{}}$ ${\displaystyle \mathrm{u}{}_{}}$= 1 ${\displaystyle f_{u}=1$}을$($를) 갖는 고정 이산 평가다$.$ 이렇게 정의된 함수는 F ${\displaystyle {}_{}}$ ${\$에 있는 상수까지 고유하다$.$

divisor $\text{div}(r$ $y$+ s$$)의 정의에 의해 =$\sum$ $i_{}$ ${}_{}{}_{}$ $i_{}$ ${\$ {\textstyle ${\div}(ry+s)=\sum a_{i$${\displaystyle \}\mathrm{v\_}}$${i$${\displaystyle \}\}\{}$i$}}}}$의 ${\displaystyle i_{}}$ = ${\displaystyle v{}_{}i}$ = {\$displaystystyle a_{i}=v_{i}(ry+s$ 이것과 $\sum$ ${}_{}$ ${}_{}{}_{}$ ${v_{}}_{}$ ${i{}_{}}_{}$= $\mathrm{deg}$ $$($\text{div}$($r$ $y$+ s$$)$$= $0$ ${\textstyle \sum a_{i}f_{v_}}}}=\deg({\text{div})(ry+s)$라는 사실 사용$=0}$ 다음$$ 식을 얻는다.

${\displaystyle {\text{div}}((ry+s)^{h})=\sum ha_{i}v_{i}=\sum ha_{i}v_{i}-\sum ha_{i}f_{v_{i}}v+hv\sum a_{i}f_{v_{i}}=\sum a_{i}h(v_{i}-f_{v_{i}}v))={\text{div}(\prod \from_{i}^{a_{i}}})}$

여기서 $v{\displaystyle }$ ${\displaystyle v}$은(는) ${\displaystyle f_{}}$ v${\displaystyle {}_{}}$= ${\displaystyle 1}$ ${\displaystyle f_{v}=1$}을$($를) 사용한 평가다$.$ 그러면 대리함수의 점괘가 상수까지 고유하다는 사실을 이용하여, 사람은 얻는다.

$(\displaystyle(ry+s)^{h}=c\prod \alpha _{i}^{a_{i}}}{\text{{}}}일부 }c\in{p}^{*}}}}}}}$

${\displaystyle \phi((ry+s)^{h}=\phi(c)\prod \prod \phi(\prod_{i}^{a_{i}}}}}}}}}}$

$\varphi {\displaystyle (r}$ ${\displaystyle y}$+ ${\displaystyle s}$)${\displaystyle }$= ${\displaystyle r}$ ${\displaystyle m}$+ ${\displaystyle s}$ ${\displaystyle \pi(ry+s)=rm+s},$ 그리고$$ 이 식을 알려진 분해하여 unreduccessible 다항식으로 바꾼 사실을 이제 사용한다. $e{\displaystyle {}_{}}$ ${\displaystyle g_{}}$ ${\$을(를) 이 분해에서$$ $g{\displaystyle }$ ${\displaystyle \in }$ ${\displaystyle S}$ ${\displaystyle g\in S}$의 검정력이 되도록$$ 한다. 그러면

${\displaystyle \prod _{g\in S}g^{he_{g}}\equiv \phi(c)\prod \phi(\alpha _{i}}^{a_}}{\text{}mod}}$

여기서 방정식의 이산 로그는 하나의 단위로 가져갈 수 있다. This is called the restricted discrete logarithm ${\displaystyle \log _{*}(x)}$. It is defined by the equation ${\displaystyle a^{\log _{*}(x)}=ux}$ for some unit ${\displaystyle u\in \mathbb {F} _{p}}$.

${\displaystyle \sum _{g\in S}e_{g}\log _{*}g\equiv \sum a_{i}h_{1}\log _{*}(\phi(\alpha _{i})){\text{mod}}}}(p^{n1}-1)/(p-1),}$

여기서 $h{\displaystyle {}_{}}$ ${\displaystyle {1\mathrm{}}_{}}$ ${\$}는 $h{\displaystyle }$ ${\displaystyle h}$ modulo$$$({\displaystyle \mathrm{pn}{}^{}}$- 1${\displaystyle }$)${\displaystyle }$/${\displaystyle }$(${\displaystyle p}$- ${\displaystyle 1}$) ${\displaystyle(p^{n}-1)/(p-1$)의 역이다$.$

$h{\displaystyle {}_{}}$ ${\displaystyle {1\mathrm{}}_{}}$ ${\displaystyle {\log }_{}}$ ${\displaystyle {}_{}}$ (${\displaystyle {\alpha }_{}}$ i${\displaystyle {}_{}}$) ${\displaystyle h_{1}\log _{*}(\phi(\alpha _{i})}$라는 표현과 로그$$ ${\displaystyle {\mathrm{로그}}_{}}$ ${\displaystyle {}_{}g}$) ${\displaystyle \ast (}$g ) ${\displaystyle \log _{*(g)}}$는 알 수 없다$$. Once enough equations of this form are found, a linear system can be solved to find ${\displaystyle \log _{*}(g)}$ for all ${\displaystyle g\in S}$. Taking the whole expression ${\displaystyle h_{1}log_{*}(\phi (\alpha _{i}))}$ as an unknown helps to gain time, since $$${\displaystyle h}$ ${\displaystyle h$ ${\displaystyle {h\mathrm{}}_{}}$ 1 ${\$${1$$},$${\displaystyle {\alpha }_{}}$ i ${\$(\property _{i}) 또는$$${\displaystyle }\alpha {\displaystyle }$ i (${\displaystyle {\alpha }_{}}$ i$){\displaystysty \pi(\f_{i}})}$는 계산할 필요가 없다$$. 결국 각 ${\displaystyle g}$ ${\displaystyle \in }$ S ${\displaystyle g\in S}$에 대해 제한된 이산 로그에 ${\displaystyle {\mathrm{해당}}_{}}$하는 단위를$$ 계산할 수 있으며${\displaystyle ,}$ 이 단위는 ${\displaystyle {로그}_{}}$ ${\displaystyle {}_{}}$( g${\displaystyle }$)${\displaystyle }$= ${\displaystyle {\mathrm{로그}}_{}}$⁡ ( ${\displaystyle g}$) = 로그 ${\displaystyle {}_{}}$ (${\displaystyle u}$) ${\displaystyle \log _{a}=\log$ _${*(g)-\log _{$a}($u$

환원단계

우선 나는 b{\displaystyle a^{나는}b}모드 f{\displaystyle f} 되는 대로 나는<>;n{\displaystyle l<, n}. 충분히 높은 가능성 이것은 nB{\displaystyle{\sqrt{nB}}}-smooth으로 산정되는, 그래서 하나의 기억력이 b로 계산 ∏ b나는}b_{나는}{\displaystyle a^{나는}b=\prod b에 나는 ∈이 고려할 수 있다. f${\displaystyle b_{i}\in \mathbb {F} _{p}[x]}$ with ${\displaystyle \deg(b_{i})<{\sqrt {nB}}}$. Each of these polynomials ${\displaystyle b_{i}}$ can be reduced to polynomials of smaller degree using a generalization of the Coppersmith method.^[2] $B{\displaystyle }$ ${\displaystyle B}$ -smooth$$ 다항식 제품이 나올 때까지 학위를 줄일 수 있다. 그런 다음 로그 값을 ${\displaystyle a}$ $베이스$로 가져가서 최종적으로 계산할 수 있다$.$

${\displaystyle {}_{}}$(${\displaystyle b}$)${\displaystyle }$= ${\displaystyle \underset{}{}}$ ${\displaystyle \underset{}{g{}_{}}}$ ${\displaystyle \underset{}{i_{}}}$ ${\displaystyle \underset{}{{}_{}}}$ S ${\displaystyle {\mathrm{로그}}_{}}$ ${\displaystyle a_{}}$ ${\displaystyle {}_{}}$( ${\displaystyle g_{}}$ i${\displaystyle {}_{}}$)${\displaystyle }$- l ${\displaystyle \log _{a}(b)=\sum _{g_{i}\in S}\log _{a}(g_{i}-l$를 ${\displaystyle {\mathrm{기록}}_{}}$하여 DLP를 해결한다.

복잡성

Function 필드 체는 다음 시간 동안 하위 시간대에 실행된다.

${\displaystyle \exp \left(\left\sqrt[{3}]{\frac {3}{9}}+o(1)(\ln p)^{1}{3}(\ln \ln p)^{\frac {2}{3}}\rig)=\prig=L_{p}\왼쪽[{\frac {1}{1}{3},{\sqrt[{3}]{\frac {32}{9}}\오른쪽]}}$

L-notation을 사용해서. 이 복잡성에 대한 엄격한 증거는 없다. 왜냐하면 그것은 어떤 경험적 경험적 추정에 의존하기 때문이다. 예를 들어, 체인지 단계에서 우리는 형태${\displaystyle }$(${\displaystyle r}$m +${\displaystyle s}$ ) ${\displaystyle N}$( r${\displaystyle y}$ + ${\displaystyle s}$) ${\displaystyle (rm+s)N (ry+s)}$의 숫자가 주어진 범위에서 무작위 숫자처럼 작용한다고$$ 가정한다.

다른 방법과의 비교

부존재 시간에 이산 로그 문제를 해결하는 잘 알려진 다른 두 가지 알고리즘이 있다: 지수 미적분 알고리즘과 숫자 필드 체의 버전이다.^[5] 가장 손쉬운 형태에서 둘 다 유한한 프라임 오더 분야에서 DLP를 해결하지만, 우물 안 ${\displaystyle {F^{}}_{}}$ p n ${\$에서 DLP를 해결하도록 확장할 수 있다.

The Number Field Sieve for the DLP in ${\displaystyle \mathbb {F} _{p^{n}}}$ has a complexity of ${\displaystyle L_{p}[1/3,(64/9)^{1/3}+o(1)]}$ ^[6] and is therefore slightly slower than the best performance of the Function Field Sieve. 그러나 ( ( ) / 2 ${\$ n$<<(\log(p))^{1/2}}.$한 알고리즘은 숫자 필드가 있고 다른 알고리즘은 함수 필드가 있는 것이 놀랍지 않다. 사실 이 두 종류의 글로벌 분야 사이에는 광범위한 유사성이 있다.

지수 미적분 알고리즘은 고도 대수 구조를 수반하지 않기 때문에 함수 필드 체와 수 필드 체에 비해 기술하기가 훨씬 쉽다. $L{\displaystyle {}_{}}$ ${\displaystyle p_{}}$[ ${\displaystyle 1\mathrm{}}$/ ${\displaystyle 2}$, ${\displaystyle 2\sqrt{\mathrm{}}}$ ${\displaystyle ]}${\$displaystyle L_{p}[1/2,{\sqrt{2}}]$의 복잡성으로 점증적으로 느리다$.$ Number 필드 체와 Function 필드 체가 더 빠른 주된 이유는 이러한 알고리즘이 더 작은 매끄러움 $바인딩{\displaystyle }$ B${\displaystyle B}$로 실행될 수 있기 때문에 대부분의 연산은 더 작은 숫자로 할 수 있기 때문이다$.$

참고 항목

• 대수함수장
• 수 필드 체
• 지수 미적분 알고리즘

참조