34、小密钥CSIDH的低内存攻击

小密钥CSIDH的低内存攻击

在密码学领域，针对小密钥CSIDH的攻击方法一直是研究的热点。本文将详细介绍几种相关的攻击技术，包括低内存攻击、中间相遇攻击（MitM）、并行碰撞搜索（PCS）以及基于表示的新时间 - 内存权衡方法。

1. 低内存攻击基础

在某些攻击过程中，会涉及到一些向量和计算步骤。例如，会存储一对((x_T, v_T))。在第二阶段，设定(y_0 = y)和(w_0 = 0 \in Z^n)，然后通过以下计算：
(y_{i + 1} = g_{\sigma(y_i)}^{f(y_i)} \star y_i)
(w_{i + 1} = w_i + \sigma(y_i)e_{f(y_i)})
直到对于某个(S)有(y_S = x_T)，此时((v_T - w_S) \star x = y)。但通常(v_T - w_S \notin {-m, \ldots, m}^n)，所以需要一个约简算法(red)，它以(v \in Z^n)为输入，计算出一个小范数的元素(red(v))，以便能高效计算(red(v) \star x)。在基于同源的群作用设置中，存在这样的约简方法。

2. 中间相遇攻击（MitM）

对(REGA - DLOG_m)最知名的攻击是中间相遇攻击，其时间和内存复杂度为(O(\sqrt{Nm}))。为了描述该思想，引入两个集合：
(S_{m,0} := {-m, \ldots, m}^{\frac{n}{2}} \times {0}^{\frac{n}{2}})
(S_{m,1} := {0}^{\frac{n}{2}} \times {-m, \ldots, m}^{\frac{n