Số nguyên tố lớn trong ECC và logarit rời rạc

Trong mật mã đường cong elip sử dụng giao thức Diffie-Hellman, chúng ta cần sử dụng các số nguyên tố lớn.

Vì vậy, câu hỏi của tôi là điều gì làm cho logarit rời rạc khó giải quyết khi chúng ta sử dụng các số nguyên tố lớn.

Tôi đoán vì chúng ta sử dụng các số nguyên tố lớn nên chúng ta sẽ có rất nhiều điểm thỏa mãn phương trình đường cong của chúng ta

Câu trả lời không đơn giản như vậy;

• Trước hết là số điểm thỏa mãn phương trình đường cong $N$ trên đường cong được giới hạn bởi giới hạn của Hasse $$|N - (q+1)| \le 2 \sqrt{q}$$ cho một số nguyên tố $q$. Điều này chỉ đơn giản nói rằng nếu bạn muốn một đường cong có nhiều điểm thì bạn cần một số nguyên tố lớn (truyện ngắn).

• Thứ tự đường cong phải là số nguyên tố ( prime curves ) hoặc phải có ít nhất một thừa số nguyên tố lớn.Curve25519 không phải là một đường cong nguyên tố, có một đồng sáng lập $h=N/8$, điều này cho phép biểu diễn đường cong Montgomery giúp triển khai an toàn. Nếu đường cong có trật tự suôn sẻ, có nghĩa là nó sẽ không có số nguyên tố lớn thì Poglig-Helamn sẽ phá hủy nó bất kể thứ tự. Có một đơn đặt hàng lớn hoặc một đơn đặt hàng lớn là rất quan trọng.

• Độ xoắn của đường cong phải có thứ tự nguyên tố lớn so với tấn công xoắn.

• Thứ tự của đường cong và thứ tự của trường cơ sở $(K)$ giống nhau thì logarit rời rạc trên đường cong này chạy theo thời gian tuyến tính thông minh 97.

• Đường cong không nên siêu số ít, mặt khác, logarit rời rạc rất dễ dàng (hiện tại chúng đang được sử dụng cho isogeny không sử dụng logarit rời rạc và dự kiến ​​​​sẽ an toàn trước cuộc tấn công của Shor)

Bây giờ kết hợp những điều này chúng ta có thể nói nếu nhóm đường cong điểm của ECC có một số nguyên tố lớn và không có một số tính chất đặc biệt (chúng ta có thể nói đó là một đường cong chung) thì đòn tấn công tốt nhất là Pollard's Rho với $\mathcal{O}(\sqrt{N})$.

Với điều này, chúng ta có thể nói Curve25519 có bảo mật nhật ký riêng biệt khoảng 128 bit và Curve448 có bảo mật nhật ký riêng biệt 224 bit.

Và, cuối cùng, để biết thêm thông tin, hãy truy cập đường cong an toàn.

Trong mật mã đường cong elip sử dụng giao thức Diffie-Hellman, chúng ta cần sử dụng các số nguyên tố lớn.

chính xác hơn

• Chúng tôi thường sử dụng một đường cong với một trình tạo mà thứ tự chia hết cho một số nguyên tố lớn, bởi vì điều đó mang lại sự bảo hiểm chống lại Pohlig-Hellman phương pháp tính logarit rời rạc.
• Chúng tôi thường tạo trình tạo theo thứ tự chính xác đó, bởi vì chúng tôi có thể dễ dàng làm như vậy và điều đó làm cho trình tạo đường cong+phù hợp hơn cho các mục đích sử dụng khác, chẳng hạn như chữ ký. Tuy nhiên, điều đó không hữu ích cho bảo mật của Diffie-Hellman, AFAIK.
• Chúng tôi thường sử dụng một đường cong trên một trường có thứ tự nguyên tố lớn, mặc dù chúng tôi không có, vì những lý do đã thảo luận ở đó.