ปัญหาการแยกตัวประกอบจำนวนเต็มนั้นยากกว่าการแยกตัวประกอบ RSA:หรือไม่?

นี่คือ cross-post จากmath.stackexchange

ให้ความจริงแสดงถึงปัญหาแฟคตอริ่งจำนวนเต็ม: กำหนดหาค่าเฉพาะและจำนวนเต็มเช่นนั้น$n \in \mathbb{N},$$p_i \in \mathbb{N},$$e_i \in \mathbb{N},$$n = \prod_{i=0}^{k} p_{i}^{e_i}.$

ให้ RSA แทนกรณีพิเศษของปัญหาแฟคตอริ่งโดยที่และเป็นช่วงเวลา นั่นคือให้ค้นหาช่วงเวลาหรือ NONE หากไม่มีการแยกตัวประกอบ$n = pq$$p,q$$n$$p,q$

เห็นได้ชัดว่า RSA เป็นตัวอย่างของ FACT FACT นั้นยากกว่า RSA หรือไม่ เมื่อใช้ oracle ที่แก้ RSA ในเวลาพหุนามสามารถใช้เพื่อแก้ปัญหา FACT ในเวลาพหุนามได้หรือไม่?

(ตัวชี้ไปที่วรรณกรรมชื่นชมมาก)

แก้ไข 1: เพิ่มข้อ จำกัด เกี่ยวกับพลังการคำนวณให้เป็นเวลาพหุนาม

แก้ไข 2: ตามที่ระบุไว้ในคำตอบโดย Dan Brumleveว่ามีเอกสารที่โต้แย้งและต่อต้าน RSA ที่ยากขึ้น (หรือง่ายกว่า) ความเป็นจริง ฉันพบเอกสารต่อไปนี้:

D. Boneh และ R. Venkatesan การทำลาย RSA อาจง่ายกว่าการแยกตัวประกอบ EUROCRYPT 1998. http://crypto.stanford.edu/~dabo/papers/no_rsa_red.pdf

D. บราวน์: การทำลาย RSA อาจเป็นเรื่องยากพอ ๆ กับการแยกตัวประกอบ คลัง ePrint ของ Cryptology, รายงาน 205/380 (2006) http://eprint.iacr.org/2005/380.pdf

G. Leander และ A. Rupp เรื่องความเท่าเทียมของ RSA และแฟคตอริ่งเกี่ยวกับอัลกอริธึมริงทั่วไป ASIACRYPT 2006. http://www.iacr.org/archive/asiacrypt2006/42840239/42840239.pdf

D. Aggarwal และ U. Maurer การทำลาย RSA โดยทั่วไปนั้นเทียบเท่ากับการแยกตัวประกอบ EUROCRYPT 2009 http://eprint.iacr.org/2008/260.pdf

ฉันต้องผ่านพวกเขาและหาข้อสรุป มีใครรู้บ้างเกี่ยวกับผลลัพธ์เหล่านี้สามารถสรุปได้หรือไม่

ผมพบว่าบทความนี้ได้รับสิทธิในการทำลายอาร์เอสอาจจะง่ายกว่าแฟ พวกเขาเชื่อว่าคอมพิวเตอร์ TH ราก moduloอาจจะง่ายกว่าแฟn$e$$n=pq$$n=pq$

อย่างไรก็ตามพวกเขาไม่ได้ตอบคำถามที่คุณถามเกี่ยวกับ: พวกเขาไม่พิจารณาว่าจะทำการแยกจำนวนเต็มของรูปแบบอาจจะง่ายกว่าการแยกจำนวนเต็มตามอำเภอใจหรือไม่ ดังนั้นคำตอบนี้ไม่เกี่ยวข้องกับคำถามของคุณ$n=pq$

เท่าที่ฉันเห็นอัลกอริธึมที่มีประสิทธิภาพสำหรับแฟคตอริ่งระหว่างการประมวลผล (RSA) ไม่ได้แปลโดยอัตโนมัติเป็นอัลกอริทึมที่มีประสิทธิภาพสำหรับแฟคตอริ่งจำนวนเต็มทั่วไป (FACT) อย่างไรก็ตามในทางปฏิบัติ semiprimes เป็นจำนวนเต็มที่ยากที่สุดที่จะพิจารณา เหตุผลหนึ่งก็คือขนาดสูงสุดของนายกที่เล็กที่สุดนั้นขึ้นอยู่กับจำนวนของปัจจัย สำหรับจำนวนเต็มกับไพรม์แฟคเตอร์ขนาดสูงสุดของแฟกเตอร์ที่เล็กที่สุดคือและอื่น ๆ (ผ่านทางทฤษฎีจำนวนเฉพาะ ) มีประมาณความเป็นไปได้สำหรับสิ่งนี้ ดังนั้นการเพิ่ม$N$$f$$\lfloor N^\frac{1}{f} \rfloor$$\frac{f N^\frac{1}{f}}{\log(N)}$$f$ลดจำนวนความเป็นไปได้สำหรับปัจจัยหลักที่เล็กที่สุด ขั้นตอนวิธีการใด ๆ ที่ทำงานได้รับการอย่างต่อเนื่องลดพื้นที่ของความน่าจะเป็นเช่นนี้แล้วจะทำงานได้ดีที่สุดสำหรับขนาดใหญ่และเลวร้ายที่สุดสำหรับ 2 สิ่งนี้เกิดขึ้นจริงในทางปฏิบัติเนื่องจากอัลกอริธึมการแฟคตอริ่งแบบคลาสสิกจำนวนมากนั้นเร็วกว่ามากเมื่อจำนวนแฟคตอริ่งมีมากกว่า 2 ปัจจัยหลัก$f$$f=2$

เพิ่มเติมจำนวนทั่วไปสนามตะแกรง , ที่รู้จักกันเร็วที่สุดขั้นตอนวิธีการแฟคคลาสสิกและขั้นตอนวิธีของชอร์เวลาพหุนามอัลกอริทึมควอนตัมแฟทำงานเท่าเทียมกันดีสำหรับผู้ที่ไม่ใช่ semiprimes- โดยทั่วไปดูเหมือนว่าสำคัญกว่าปัจจัยโดยcoprimeกว่าพวกเขาเป็นนายก

ผมคิดว่าส่วนหนึ่งของเหตุผลนี้เป็นรุ่นที่การตัดสินใจของแฟร่วมเฉพาะ-อธิบายไว้เป็นธรรมชาติมากที่สุดเป็นปัญหาสัญญาและวิธีการของการถอดสัญญาของการป้อนข้อมูลที่เป็น semiprime ใด ๆ คือการอย่างใดอย่างหนึ่ง

1. แนะนำการจัดทำดัชนีในเซมิไรม์ (ซึ่งในตัวเองฉันสงสัยว่ามันยากเท่ากับแฟ็กเตอริงพวกเขา) หรือ
2. โดยการสรุปปัญหาที่จะรวมที่ไม่ใช่ semiprimes

ดูเหมือนว่าในกรณีหลังอัลกอริทึมที่มีประสิทธิภาพที่สุดจะแก้ปัญหา FACT และ RSA ได้แม้ว่าฉันจะไม่มีข้อพิสูจน์ในเรื่องนี้ อย่างไรก็ตามหลักฐานน้อยมากที่จะขอนับตั้งแต่ได้รับ Oracle สำหรับอาร์เอสพิสูจน์ว่านี้จะไม่สามารถได้อย่างมีประสิทธิภาพแก้จำนวนจริงที่จะพิสูจน์ว่าNP$P\neq NP$

สุดท้ายมันก็คุ้มค่าที่จะชี้ให้เห็นว่า RSA (cryptosystem ไม่ใช่ปัญหาแฟคตอริ่งที่คุณกำหนดไว้ด้านบน) พูดคุยทั่วไปเล็กน้อยเกินกว่าครึ่งเวลา

ไม่ใช่คำตอบที่สมบูรณ์ แต่ดูเหมือนจะเป็นการปรับปรุง:

เอกสารการวิจัยที่อ้างถึงข้างต้นเปรียบเทียบปัญหาของการคำนวณ eth root mod N คือการทำงานไพรเวตคีย์ในระบบเข้ารหัส RSA กับปัญหาแฟคตอริ่งเช่นการค้นหาไพรเวตคีย์ทั้งสองกรณีโดยใช้คีย์สาธารณะเท่านั้น ในกรณีนี้ปัญหาแฟคตอริ่งไม่ใช่กรณีทั่วไป แต่เป็นกรณี semiprime กล่าวอีกนัยหนึ่งพวกเขากำลังพิจารณาคำถามอื่น

ฉันเชื่อว่าเป็นที่รู้จักกันดู AoCP ของ Knuth ซึ่งตัวเลขส่วนใหญ่ N มีแฟคทอเรียลที่สำคัญซึ่งความยาวบิตเปรียบเทียบกับความยาวบิตกับ N ของโดยเฉลี่ยโดยเฉลี่ยเช่น 1/2, 1/4, 1/8, ... หรืออาจลดลงอย่างรวดเร็วมากขึ้นเช่นใน 2/3, 2/9, 2/27, ... แต่อาจจะแบนราบ ดังนั้นสำหรับการสุ่มขนาด N โดยทั่วไปที่มีขนาดเล็กพอที่จะคาดว่าปัจจัยที่มีขนาดเล็กกว่าจะถูกค้นพบได้อย่างรวดเร็วโดยแผนกทดลองหรือ ECM ของ Lenstra ดังนั้นสิ่งที่เหลืออยู่อาจเป็นแบบ semiprime นี่คือการลดลงอย่างหนึ่ง แต่มันขึ้นอยู่กับการกระจายของปัจจัยอย่างมากและเป็นการลดลงอย่างช้าๆซึ่งจะเรียกใช้อัลกอริธึมการแยกตัวประกอบอื่น ๆ

นอกจากนี้ยังไม่มีการทดสอบที่เป็นที่รู้จักสำหรับการพิจารณาว่าตัวเลขเป็น semiprime หรือไม่ นี่หมายความว่าถ้าเพียงแค่ใช้อัลกอริธึมการแยกตัวประกอบ semiprime กับหมายเลขทั่วไปและมันล้มเหลวเสมอ