math - 对数字签名算法的数学攻击

Question

有谁知道对 DSA 的攻击背后的数学原理，其中模 p 的 p-1 仅由小因素组成。实际上，这不会发生，因为密钥生成器会保证不会发生这种情况。

网上有很多关于为 DSA 生成良好输入参数的信息，因此很难破解，但没有关于如果模数 p 的 p-1 仅由小因素组成，如何找到 X 的信息。

Answer 1

Pohlig-Hellman会工作。

但是，DSA 标准明确要求 p-1 的主要因素之一很大。