Primos e subgrupos seguros

Question

Tenho lido sobre primos seguros e seu uso em: Engenharia de criptografia de Niels Ferguson, Bruce Schneier e Tadayoshi Kohno.

Ter um prime seguro $q$ com $q=2p+1$ Onde $p$é uma Sophie Germain prime

Eles afirmam que os elementos do subgrupo $p$são os elementos que devem ser usados. Por quê?

Por que não os elementos em $2p$?

Answer 1

A suposição de Diffie-Hellman Decisional , na qual a troca de chaves seria baseada, não se mantém$\mathbb{Z}_q^*$. O motivo é que o símbolo Jacobi "vaza" informações sobre a chave compartilhada. Portanto, em vez disso, trabalha-se com o subgrupo de$\mathbb{Z}_q^*$ de ordem $p$, que é obtido intuitivamente por "quociente" dessas informações. (Às vezes, esse grupo é chamado de grupo Schnorr .) Você pode ler os detalhes sobre por que DDH não é válido aqui (Exercício 2).