35、小密钥CSIDH的低内存攻击技术解析

小密钥CSIDH的低内存攻击技术解析

1. 运行时间指数与权衡

在相关研究中，通过图5a展示了所获得的运行时间指数。研究发现，增加表示数量能够自然地将权衡与中间人攻击（MitM）的(0.5, 0.5)端点相连接。图5的左侧展示了不同基于表示方法的比较，右侧则是针对不同m值的基于表示方法的比较。

2. 强制等权重分布

在之前的研究中，为了简化，总是假设攻击的三元向量中(-1)、0和1元素的数量（四舍五入后）是均衡的。现在研究表明，对于几乎所有的三元向量，可以通过将REGA - DLOG1问题的维度从n增加到n + O(√n)来强制实现这种等权重分布。这个论点可以扩展到所有具有常量m的REGA - DLOGm问题。

算法的复杂度为T = 3^cn（其中c为常量），在维度n上是完全指数级的。因此，维度的增加只会导致次指数级的开销3^O(√n)，即实现渐近运行时间3^c(n + O(√n)) = T · 3^O(√n) = 3^cn(1 + o(1))。

2.1 平衡思路

设v是一个随机三元向量，用ni（i ∈ {-1, 0, 1}）表示其i元素的数量。由于ni ≤ n，可以在多项式时间O(n²)内猜测所有的ni。研究表明，高概率下所有的ni都被限制在n/3 ± O(√n)范围内。不失一般性，设n - 1为最大值，然后添加n - 1 - n0个0元素坐标和n - 1 - n1个1元素坐标，总共为ℓ = O(√n)个坐标。

设(G, H, X, ⋆, ˜x, g, x, y)是REGA - DLOG1问题的一个实例，其中g = (g1, …, gn)，三元解v满足v ⋆ x = y。设id是G中的单位元