Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

Algorithm 1 Algorithmus von Shanks
1.1. GRUNDLAGEN 9
Eingabe: g ∈ G mit 〈g〉 = G und h ∈ G.
Ausgabe: logg h.
��|G| �
(1) Berechne k := .
(2) Setze l := � q�
k .
(3) for i = 1,...,k − 1 do
(a) Berechne gik .
(b) Füge � i,gik� in Liste L1 ein.
(4) for i = 0,...,l − 1 do
(a) Berechne hgi .
(b) Füge � i,hgi� in Liste L2 ein.
(5) Suche Elemente � i,gik� ∈ L1 und � j,hg j� ∈ L2 mit identischer zweiter Koordinate.
(6) return(logg h = ik − j) 0 ≤ i, j ≤ k − 1.
Laufzeit. Das Sortieren der Zahlen in Schritt 5 wird durch vorheriges Sortieren erleichtert.
Das Sortieren benötigt k lgk Vergleiche. Nun füge Elemente aus L 1 durch binary
insertion in L 2 ein, solange bis ein Element aus L 1 ∩L 2 gefunden wird. Der Aufwand dafür
beträgt ≤ l lgk Vergleiche.
Damit ergeben sich Gesamtkosten von ≤ 2 √ qlg √ q Vergleichen.
DEFINITION 1.1.6. Ein DL-Algorithmus ist generisch, wenn er auf Gruppenelementen in
G nur Gruppenoperationen wie ·, / usw. und Gleichheitstests ausführt.
Generische Algorithmen können auf die Bits der Binärkodierung der Gruppenelemente
nicht zugreifen.
PROPOSITION 1.1.7. Sei AL ein beliebiger generischer Algorithmus mit t Gruppenoperationen
und |G| = q prim. Dann gilt für ein zufälliges h ∈R G
�
Wsh AL(h) = logg h � ≤ 1
q +
� �
t
/q.
2
BEWEIS. Siehe Beweis zu Satz 4.3.1 auf Seite 54. �
Beispiele für nicht-generische DL-Algorithmen sind die Index-Calculus- und die Siebmethode
für G = � ∗ p: Man konstruiert über einer Primzahlbasis p 1 ,..., p t Relationen der
Form
h e 0 ·∏ i
und löst die zugehörigen Gleichungen
e 0 log g h +∑ i
auf nach log g h,log g p 1 ,...,log g p t.
p e i
i = ∏ i
p e′ i
i
e i log g p i = ∑ i
mod p
e ′ i log g p i