TLDR: Kích thước của nhóm/vòng được quyết định bởi người nhanh nhất hiện được biết đến tấn công (như đã giải thích trong cái này bài Wikipedia).
Chi tiết. Đối với trường hợp rời rạc-đăng nhập $\mathbb{Z}_p^*$ và bao thanh toán $\mathbb{Z}_N^*$, thuật toán nhanh nhất hiện được biết đến là sàng trường số chung (GNFS). GNFS có thời gian chạy (khoảng) $L_n(1/3,2)$, ở đâu $$L_n(\alpha,c):=e^{(c+o_n(1))n^\alpha\ln^{1-\alpha}(n)}$$
là $L$-ký hiệu và $n$ biểu thị độ dài bit của (biểu diễn tiêu chuẩn của) $p$ hoặc $N$ (I E., $\lceil(\log(p)\rceil$ và $\lceil(\log(N)\rceil$, tương ứng).$^*$ Từ $b$bảo mật -bit đối với một sơ đồ có nghĩa là nó sẽ thực hiện bất kỳ thuật toán nào $2^b$ hoạt động để phá vỡ nó, để tính toán $n$ vì $\mathbb{Z}_p^*$ và $\mathbb{Z}_N^*$ đạt được $128$bảo mật -bit người ta phải giải quyết $$2^{128}\approx e^{2n^{1/3}\ln^{2/3}(n)}\Leftrightarrow n\ln^2(n)\approx64^3.$$ Điều này sẽ đưa ra một con số về công viên bóng về kích thước của mô đun nên như thế nào - như được tính toán trong cái này câu trả lời này hóa ra là xung quanh $3072$ bit (hoặc $4096$ bit để ở bên an toàn hơn?). Vì chúng ta không biết cách nào tốt hơn để giải quyết DDH/CDH (các bài toán làm cơ sở cho lược đồ kiểu El-Gamal) hơn là tính toán các bản ghi rời rạc, El-Gamal trong (thương số) $\mathbb{Z}_p^*$ cần được triển khai với các số nguyên tố có kích thước $\approx3072/4096$ chút ít.
Tương tự, vì chúng ta không biết cách nào tốt hơn để giải bài toán phần dư bậc hai quyết định Trong $\mathbb{Z}_{N^2}^*$ (vấn đề cơ bản hệ mật mã của Paillier) so với thừa số $N$, bằng lập luận tương tự ở trên, chúng ta cần phải làm việc $N$ kích thước $\khoảng 3072/4096$ chút ít.
Đối với nhật ký rời rạc trong các đường cong elip, tôi tin rằng chúng ta không biết gì tốt hơn các thuật toán nhật ký rời rạc chung (ví dụ: Pollard's rho) chạy theo thời gian căn bậc hai kích thước của nhóm. Vì vậy, đối với $128$-bit bảo mật của EC-El-Gamal, nó đủ để hoạt động với các đường cong elip trên một trường kích thước $2^{256}$. (Điều này cũng có nghĩa là EC-El-Gamal giao tiếp hiệu quả hơn đáng kể so với El-Gamal trong $\mathbb{Z}_p^*$.)
$^*$GNFS ban đầu là một heuristic. Nhưng như được chỉ ra bởi @djao (xem cái này nhận xét), có các biến thể có thể chứng minh được chạy trong $\khoảng L_n(1/3,3)$.
