33、小密钥 CSIDH 的低内存攻击研究

小密钥 CSIDH 的低内存攻击研究

1. 研究背景与潜在影响

在量子安全密码学领域，可交换超奇异同源迪菲 - 赫尔曼（CSIDH）协议是一个有前景的候选方案。当前高效的 CSIDH 提案中，如有的方案定义安全级别时，内存复杂度 M 显著小于运行时间复杂度 T。例如，该方案提出三组参数集：
|参数集|内存复杂度 M|运行时间复杂度 T|对应 NIST 安全级别|
| ---- | ---- | ---- | ---- |
|第一组|280|2128|L1|
|第二组|2100|2128|L2|
|第三组|2119|2192|L3|

若假设某种方法与我们的表示方法有相似多项式开销（实际上低估了后者复杂度），对于上述内存复杂度，我们的表示方法会使安全级别分别降低 4.5、8 和 13 比特。不过，这种安全比特降低在实践中能否实现，还需实验验证。

2. 预备知识

2.1 受限有效群作用

• 群作用定义 ：设 (G, ◦) 是具有单位元 id ∈ G 的群，X 是集合。映射 ⋆: G × X → X 是群作用需满足：
  • 单位元性质：id ⋆ x = x 对所有 x ∈ X 成立。
  • 兼容性：(g ◦ h) ⋆ x = g ⋆ (h ⋆ x) 对所有 g, h ∈ G 和 x ∈ X 成立。
• 有效群作用定义 ：群作用 (G, X, ⋆) 满足以下性质时，称 ˜x ∈ X 为原点，(G, X, ⋆, ˜x