Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

Algorithm 2 Pohlig-Hellman
1.2. LAUFZEIT VON DL-ALGORITHMEN ZU G ⊂ � ∗ p
Eingabe: g ∈ G mit 〈g〉 = G, |G| = ∏ k i=1 pei i mit pi prim und a ∈ G.
Ausgabe: logg a.
(1) for i = 1,...,k do
(a) for l = 1,..., pi − 1 do
(i) Berechne ril = gl|G|/pi. (2) for i = 1,...,k do
(a) Setze b := a.
(b) for j = 0,...,e i − 1 do
|G|/p j+1
(i) Berechne c = b i .
(ii) Bestimme i,l mit ril := c.
(iii) Setze ci j := l.
(iv) Setze b := bg −ci j p j
i .
(3) for i = 1,...,k do
(a) Setze di := ∑ ei−1 j=0 ci j p j
i .
(4) Bestimme mit CRT eine Lösung x des Systems x ≡ di mod p ei mit i = 1,...,k
i
(→Gauss).
(5) return(x)
Kryptographische Forderungen an log g ,exp g .
(1) exp g muss in einem Bruchteil einer Sekunde gehen, z.B. in 2 20 ≈ 10 6 Maschinen-
Zykeln.
(2) log g h muss für fast alle h etwa 2 80 arithmetische Schritte erfordern. Etwa 2 50
Schritte sind technisch durchführbar.
DEFINITION 1.2.4. f ist eine Einweg-Funktion, wenn f „schnell” berechenbar aber „schwer”
invertierbar ist.
Wir betrachten probabilistische Algorithmen AL für f −1 mit Laufzeit |AL| und interne
Zufallsbits w. Sei h ∈ R G zufällige Eingabe zu AL.
DEFINITION 1.2.5. f −1 ist (2 s ,2 t )-schwer, wenn AL mit � k,w |AL| ≤ 2 s :
Ws h,w [ f (AL(x)) = x] ≤ 2 −t .
Damit ergeben sich folgende Bezeichnungen:
� 2 80 ,2 0 � -schwer ∼ worst-case schwer
� 2 80 ,2 1 � -schwer ∼ im Mittel schwer
� 2 80 ,2 30 � -schwer ∼ fast überall schwer
11