Elementare Zahlentheorie und Kryptographie

Aller Wahrscheinlichkeit nach ist dann b j − b i eine Einheit in Z/N und dann
läßt sich (∗) nach x Auflösen.
Merke: In jeder Gruppe G läßt sich das diskrete Logarithmusproblem in erwarteter
Laufzeit von O( √ |G|) Schritten berechnen.
Bemerkung: Dies ist für kleine Gruppen relevant. Im Fall |G| ≈ 2 1000 ist die
Beschleunigung aber bei weitem nicht stark genug, um diskrete Logarithmen
mit dieser Methode effektiv berechnen zu können.
4.3 Der Algorithmus von Silver, Pohlig und Hellman
Sei G eine zyklische Gruppe und g ∈ G. Wir nehmen an, daß die Primfaktorzerlegung
ord(g) = l e1
1 · · · let t
von ord(g) bekannt ist.
Wir stellen einen Algorithmus für das Berechnen von
Log G,g : 〈g〉 → N
vor, der in manchen Fällen schneller ist als der naive Algorithmus “Berechnen
der entsprechenden Zeile einer Potenzierungstafel”. Zur Abkürzung setzen wir
im folgenden Log := Log G,g .
Für jeden Primteiler l von ord(g) sei g l := g ord(g)/l . g l ist also ein Erzeuger der
eindeutig bestimmten Untergruppe U l von 〈g〉 der Ordnung l.
Wir gehen im folgenden davon aus, daß Log gl für jeden Primteiler l von ord(g)
bereits implementiert ist. Meist wird in einer Initialisierungsphase für jeden
Primteiler l von ord(g) die Logarithmentafel für Log gl
berechnet.
Schon hier sieht man: Wenn ord(g) prim ist, dann wird dieses Vorgehen keinerlei
Vorteil gegenüber dem naiven Algorithmus haben. Wenn aber ord(g) ein
Produkt von kleinen Primzahlen ist, dann ist der Zeitgewinn erheblich.
Beispiel: p = 30000001 ist prim. g = [2744] ist ein Element der Ordnung
10 7 in F × 30000001 . Die Primteiler von ord(g) = 107 sind 2 und 5 (also sehr
klein verglichen mit ord(g)). g 2 = g 107 /2 = [30000000] hat Ordnung 2 und
g 5 = g 107 /5 = [18544125] hat Ordung 5.Es sollen Logarithmen Log g zur Basis
g berechnet werden. In der Initialisierungsphase des Algorithmus von Silver,
Pohlig und Hellman werden die beiden Potenzierungstafeln
k 0 1 2 3 4 (5) (6)
g k 5 [1] [18544125] [20552807] [9404415] [11498654] ([1]) ([18544125]) ,
k 0 1 (2) (3)
g k 2 [1] [30000000] ([1]) ([30000000]) · · ·
67