การฉายภาพไปยังพื้นที่ย่อยที่มีขนาดสมาชิกต่ำกว่ามากสำหรับ $x\mapsto x^a$ mod $N = PQ$, $P=2p+1$, $Q=2qr+1$ ไปยังพื้นที่เป้าหมาย $r มีความปลอดภัยเพียงใด =2abc+1$?

สามารถสร้างลำดับวงจรได้ด้วย

$$s_{i+1} = s_i^a \mod N$$ กับ $N = P \cdot Q$ และ $P = 2\cdot p+1$ และ $Q = 2\cdot q\cdot r+1$ และ $r = 2\cdot u \cdot v \cdot w +1$ กับ $P,Q,p,q,r,u,v,w$ ช่วงเวลาที่ต่างกัน

ตอนนี้เราสามารถฉายตัวเลขสุ่มได้แล้ว $x_R$ ลงในสเปซย่อยของขนาด $2(r-1)+4$ กับ $$s_R = x_R^{\beta} \mod N$$ $$\beta = 2\cdot p \cdot q \cdot n \mod \phi(N)$$ ด้วยปัจจัย $n$ ของทางเลือก

หากตอนนี้เราใช้รากดั้งเดิม $\alpha$ จาก $r$ เราสามารถสร้างลำดับวงจรด้วย: $$s_{R_{i+1}} = s_{R_i}^\alpha \mod N $$ โดยส่วนใหญ่จะมีความยาว $r-1$. ถ้า $s_r = 0$ หรือ $s_r = 1$ หรือสำหรับ $n \equiv r \mod \phi(N)$ เราจะได้ความยาวรอบของ $1$. สามารถทดสอบและละเว้นได้ (รวม $4$ ค่าดังกล่าวแตกต่างกัน).

ดังนั้นในเกือบทุกกรณี เราคาดการณ์ค่าสุ่ม $x_R$ ถึงสมาชิกของหนึ่งในสองของลำดับที่มีความยาว $r-1$.
ส่วนใหญ่เป็นสมาชิกของลำดับ $S_1$ ยกเว้นถ้า $X_R$ เป็นทวีคูณของ $P \mod N$ กว่าจะเป็นส่วนหนึ่งของลำดับ $S_2$ (ยกเว้นกรณีพิเศษดังกล่าวข้างต้น)

ตามที่เรากำหนดไว้ $r=2\cdot u \cdot v \cdot w +1$ ด้วยจำนวนเฉพาะ $u,v,w$ เราสามารถใช้ $r$รากดั้งเดิมของ $\alpha$ เพื่อสร้าง 3 ทิศทาง $$\alpha_1 = \alpha^{2vw} \mod \phi(N)$$ $$\alpha_2 = \alpha^{2uw} \mod \phi(N)$$ $$\alpha_3 = \alpha^{uv} \mod \phi(N)$$ ด้วยสิ่งนี้ $\alpha_1$,$\alpha_2$,$\alpha_3$ ช่วงก $u \times v \times 2w$ ช่องว่าง.
สามฟังก์ชั่น $f_1,f_2,f_3$ กับ $f_d: s\mapsto s^{\alpha_d} \mod N$ สามารถผ่านทุกจุดของลำดับ ($f_0 : s\mapsto s^\alpha \mod N$).

คำถาม:
ให้ค่าสุ่ม $x_A$ และ $x_B$ และด้วยเหตุนี้พวกเขาจึงคาดการณ์ ($x^\เบต้า$) ค่า $s_A$, $s_B$ จะหายากสักเพียงใด $k$ ใน $s_B \equiv s_A^{\alpha^k} \mod N$ หรือ $k_1,k_2,k_3$ ใน $s_B \equiv s_A^{\alpha_1^{k_1}\cdot \alpha_2^{k_2} \cdot \alpha_3^{k_3} } \mod N$ (สมมติว่าเป็นส่วนหนึ่งของลำดับเดียวกัน)
หรือมีวิธีที่เร็วกว่าการสมัคร $f_0$ หรือ $f_1,f_2,f_3$ หลายครั้งจนตรงกัน?

(ศัตรูยังรู้หน้าที่ผกผันของ $f_d$ ที่เกี่ยวข้อง $\bar{\alpha_d}$)
เป้าหมายคือการเข้ารหัสความสัมพันธ์ระหว่างจุด 3 มิติโดยไม่ทำให้เป็นปัญหา 1 มิติ (เช่นเดียวกับ $g^i \mod P_{rime}$)
คำถามด้านข้าง:
ช่างยิ่งใหญ่เพียงใด $r$ จะต้องมีความปลอดภัย?
จะได้ความรู้เรื่อง $\เบต้า$, $\alpha$ ช่วยให้ฝ่ายตรงข้ามแยกตัวประกอบ $N$ (สมมติว่าเราเลือกปัจจัยใหญ่ $n$)?
ในกรณีที่มีปัจจัยทางที่เร็วกว่ามาก $r=2u+1$ ด้วย 3 รูทดึกดำบรรพ์ ดีกว่าไหม?

การแก้ปัญหาการทดลอง:
เพื่อความปลอดภัย $N$ ต้องใหญ่พอที่จะหลีกเลี่ยงการแยกตัวประกอบ ด้วยแนวทางนี้ เราจึงขยายขนาด $N$ ใหญ่เท่าที่เราต้องการโดยรักษาขนาดลำดับเป้าหมายไว้ $r-1$.
ฝ่ายตรงข้ามไม่สามารถคำนวณได้หากไม่มีการแยกตัวประกอบ $\phi(น)$ และด้วยเหตุนี้เขาจึงไม่สามารถก้าวใหญ่ได้
เพื่อหาคู่ของ $s_A$, $s_B$ เขาสามารถคำนวณสมาชิกทั้งหมดของพื้นผิวที่ผลิตด้วย $f_1,f_2$ (ใช้กับ $s_A$) และบรรทัดด้วย $f_3$ (ใช้กับ $s_B$).
ถ้าเรานิยามคอมพิวเตอร์ $f_d$ เป็นขั้นตอนการคำนวณหนึ่งขั้นตอน (โดยมีค่าใช้จ่ายคงที่) $O(u\cdot v +w)$ ขั้นตอนในการหาคู่
เป็นตัวเลขเช่น 150 บิต $r$ กับ $4096$ นิดหน่อย $N$ เพียงพอ? เว้นแต่จะมีวิธีที่เร็วกว่านี้ $\ประมาณ 2^{100}$ ขั้นตอนที่จำเป็นในการคำนวณ $s_A$ ออกจาก $s_B$.
หรือทำได้เร็วกว่านี้?

หมายเลขตัวอย่าง (สำหรับการทดสอบ):
$N = 4151547901$, $P = 54959$, $Q=75539 = 2\cdot179 \cdot 211 +1$
$r = 211 = 2 \cdot 3 \cdot 5 \cdot 7 +1$
$\beta = 2qp = 9837482$
$\alpha = 17, \alpha_1 = 882104001, \alpha_2 = 2662481205, \alpha_3 = 3818265481$

(บางที่เกี่ยวข้อง คำถาม พร้อมข้อมูลเพิ่มเติม)