基于椭圆曲线偶数阶的RSA模数分解

高效的整数分解算法会将所有RSA加密方案变体的安全性降低到零。尽管过去了许多年，仍未发现一种能够在经典计算模型中高效分解大型半质数的方法。在本文中，我们展示了如何自然地将广义光滑性方法与$2$-adic点阶的分离结合起来，从而提出一种在子指数时间$L(\sqrt 2+o(1), \min(p,q))$内找到（ conjecturally）素数分解$N = pq$的分解算法。这种方法受到 papers \cite{Len}、\cite{MMV}和 \cite{PoZo}的启发，基于对偶数椭圆曲线对$(E,Q)$的更仔细的考察，其中$Q$是定义在$\Z _N$上的椭圆曲线$E$上的一个点。具体来说，与熟悉的条件（即约化阶$\ord Q_p$的最大素数约数$P^+(\ord Q_p)$不整除$\#E(\F_q)$）不同，我们关注$P^+(\ord Q_r)$与分离阶$\ord Q_p$和$\ord Q_q$的最小素数$l_{\min}(E,Q)$之间的关系。我们关注$\mathcalE_2$族的偶数阶椭圆曲线over $\Z_N$，因为对于$\mathcalE_2$族中大多数点$(x,y)\in E(\Z_N)$都满足$l_{\min}(E,Q)\le 2$。此外，如果我们知道满足$P^+(\ord Q_r)\le t<l_{\min}(E,Q)$且$d=\max_{r\in \{p,q\}}(\ord Q_r)$相对于$\min_{r\in \{p,q\}}|a_r(E)|\neq 0$较大，那么我们可以在确定性时间$t^{1+o(1)}$内通过以底$d$表示来分解$N$。