离散对数问题之 Pohlig-Hellman algorithm

introduction

在解决非广义离散对数问题(DLP)$g^x=h\mathrm{m}\mathrm{o}\mathrm{d}p$的时候,我们要求p是一个（大）素数以至于能抵抗CRT的攻击，但考虑到欧拉定理在p群中的作用，任意一个元素的阶必定整除p-1，而p-1必定是合数，PHA算法考虑p-1的质数唯一分解.

Pohlig-Hellman Algorithm 从任意阶到素数幂阶

Theorem 1: 令G是一个群，g$\in$G满足ord(g)=$q^e$其中q为某个奇质数，假设我们能在$O(S_{q^e})$步中解决上述DLP问题(粗略地说枚举取$S_{q^e}=q^e$,碰撞取$S_{q^{0.5e}}$)，那么当$$ord(g)=N=q_1^{e_1}{q}_2^{e_2}{q}_3^{e_3}\dots q_t^{e_t}$$时，我们可以解决DLP问题在$$O(S_{q_1^{e_1}}+S_{q_2^{e_2}}+\dots +S_{q_t^{e_t}}+LogN)$$步中.
Proof: 我们第一步令$$g_i=g^{N/q_i^{e_i}},h_i=h^{N/q_i^{e_i}}$$
用已有的算法解决这t个DLP问题所需时间为$S_{q_1^{e_1}}+S_{q_2^{e_2}}+\dots +S_{q_t^{e_t}}$.
我们第二步解决如下：$$x=y_1\mathrm{m}\mathrm{o}\mathrm{d}{q}_1^{e_1},x=y_2\mathrm{m}\mathrm{o}\mathrm{d}{q}_2^{e_2},\dots ,x=y_t\mathrm{m}\mathrm{o}\mathrm{d}{q}_t^{e_t},$$
这t个CRT问题，因为互素显然有解，考虑唯一解，所需步骤为$O(LogN)$步，事实上CRT步骤时间基本可以忽略.
我们还需说明这个唯一解就是DLP问题的解.
我们有$$x=y_i+q_i^{e_i}{z}_i$$从而我们可以计算$$(g^x{)}^{N/q_i^{e_i}}=(g^{y_i+q_i^{e_i}{z}_i}{)}^{N/q_i^{e_i}}=g_i^{y_i}=h_i=h^{N/q_i^{e_i}}$$注意上述推算过程中运用到$g^N$是单位元.
上述等式等价于$$\frac{N}{q_i^{e_i}}x=\frac{N}{q_i^{e_i}}lo{g}_g(h)\mathrm{m}\mathrm{o}\mathrm{d}N$$我们注意到有$$gcd(\frac{N}{q_1^{e_1}},\frac{N}{q_2^{e_2}},\dots ,\frac{N}{q_t^{e_t}})=1$$
从而有$$c_1\frac{N}{q_1^{e_1}}+c_2\frac{N}{q_2^{e_2}}+\dots +c_t\frac{N}{q_t^{e_t}}=1$$
累加得证.
Remark： 上述定理事实上说明了任意阶的DLP问题可以规约到素数幂阶的DLP.
Remark： 上述定理说明了p-1的质因数分解复杂度极大地影响了DLP问题的难度，因此我们我们通常令p=2q+1，其中q是一个大素数，然后我们令ord(g)=q,换句话说我们取q阶元素g

Pohlig-Hellman Algorithm 从素数幂阶到素数阶

该算法思路是如果ord(g)=$q^e$,那么$ord(g^{q^{e-1}})=q$.
Theorem： 前提如上，将$S_q$修改成解决一个素数阶DLP问题步骤.那么对于$q^e$阶元$g\in G$，我们可以以$e{S}_q$步骤解决这个问题.
Proof： 我们将x写成如下形式：$$x=x_0+x_{1}q+x_2{q}^2+\dots +x_{e-1}{q}^{e-1},0\le x_i\le q$$
这个形式是合理的，因为有$g^{q^e}=1$,而且在上述条件下是唯一的.我们计算$$h^{q^{e-1}}=(g^x{)}^{q^{e-1}}=(g^{x_0+x_{1}q+x_2{q}^2+\dots +x_{e-1}{q}^{e-1}}{)}^{q^{e-1}}=(g^{q^{e-1}}{)}^{x_0}$$
事实上我们把q阶元$g^{q^{e-1}}$当做g来看待，$h^{q^{e-1}}$当做h来看待，这就变成了一个素数阶DLP问题.
我们计算如下:
$$(g^{q^{e-1}}{)}^{x_0}=h^{q^{e-1}}$$再次强调这是一个q阶元的DLP问题，我们用已有算法求解出$x_0$.
其次，我们用之前的技巧计算$$h^{q^{e-2}}=(g^x{)}^{q^{e-2}}=g^{x_0{q}^{e-2}}{g}^{x_1{q}^{e-1}}$$
不难得到等价DLP问题$$(g^{q^{e-1}}{)}^{x_1}=(h{g}^{-x_0}{)}^{q^{e-2}}$$忽略求逆的难度，到这一步用了$2S_q$步，我们决定了$x_0,x_1$
往下重复，得到$x_0,x_1,\dots ,x_{e-1}$,我们即求出了DLP问题的解.