Algorithme de Pohlig-Hellman

Soit ${\displaystyle G=\langle g\rangle }$ un groupe cyclique engendré par g. Soient h un élément de G, et N l'ordre de G.

On cherche x tel que g^x = h.

Si une telle solution existe, alors il en existe une dans {0, 1, … , N – 1}; on peut la trouver par exemple par une réduction modulaire.

En effet par le Théorème de Lagrange, on a ${\displaystyle g^{N}=1_{G}}$, ainsi si ${\displaystyle x\equiv x'\ ({\bmod {\ }}N)}$ avec ${\displaystyle x'\in [\![0;N-1]\!]}$, alors il existe un entier relatif k ∈ ℤ tel que ${\displaystyle x=x'+k\cdot N}$. Par conséquent : ${\displaystyle h=g^{x}=g^{x'+k\cdot N}=g^{x'}\cdot (g^{N})^{k}=g^{x'}}$.

On peut donc considérer les solutions ${\displaystyle x\in \mathbb {Z} /N\mathbb {Z} .}$

Diagramme explicatif montrant les différentes étapes de l’algorithme. CRT signifie théorème des restes chinois (Chinese Remainder Theorem en anglais)

En utilisant la décomposition en produit de facteurs premiers, on peut écrire ${\displaystyle N=\prod _{i=1}^{n}p_{i}^{u_{i}}}$.

Pour chaque i allant de 1 à n on pose:

Soit ${\displaystyle x_{i}}$ une solution modulo ${\displaystyle p_{i}^{u_{i}}}$ pour le PLD ${\displaystyle g_{i}^{x_{i}}=h_{i}}$ (on peut par exemple utiliser un algorithme comme baby-step giant-step ou Pollard-rho pour cette étape).

On peut alors appliquer le théorème des restes chinois pour trouver une solution ${\displaystyle x\in \mathbb {Z} /N\mathbb {Z} }$ tel que pour chaque i de 1 à n on ait

${\displaystyle x\equiv x_{i}{\pmod {p_{i}^{u_{i}}}}}$.

Le théorème des restes chinois assure que ce ${\displaystyle x}$ est bien une solution valide pour le PLD g^x = h.

Dans la cryptanalyse du PLD, cet algorithme permet d'affirmer que la difficulté du logarithme discret dans un groupe d'ordre ${\displaystyle N=\prod _{i=1}^{n}p_{i}^{u_{i}}}$ avec ${\displaystyle p_{1}<\ldots <p_{n}}$ se ramène à la difficulté du logarithme discret dans ${\displaystyle p_{n}^{u_{n}}}$.

Une conséquence de cette remarque est que les groupes d'ordre friable sont à éviter en cryptographie lorsque l’on souhaite utiliser l'hypothèse du logarithme discret comme hypothèse de complexité (ou toute autre hypothèse plus forte), puisque qu’il suffirait de résoudre les différents logarithmes discret dans des groupes de petites tailles, où il serait possible d'utiliser un algorithme comme l'algorithme rho de Pollard en temps raisonnable.