• Le record public de factorisation (remontant à 2020) est de 829 bits. La taille de module de 1024 bits (encore occasionnellement rencontrée) est donc en deçà d’une marge de sécurité raisonnable. En revanche, compte tenu de la complexité des algorithmes connus pour factoriser de grands entiers, une taille de 3000 bits (en pratique, 3072 bits) donnerait une sécurité de même ordre de grandeur que celle d’une clé symétrique de 128 bits, et donc suffisante. Par conséquent, l’emploi de modules de 1024 bits est considéré comme une prise de risque incompatible avec des critères de sécurité raisonnables.
• L’annexe B.2 fournit des informations complémentaires sur les analyses liées au problème de la factorisation.
• L’emploi d’exposants publics très petits, tels que l’exposant 3, est également à proscrire dans le cas du chiffrement à cause des attaques existantes [13]. Plus généralement, pour toute application, l’emploi de tels exposants est déconseillé pour des raisons de sécurité.
• L’emploi d’exposants secrets particuliers (comme des exposants secrets petits par exemple) afin d’améliorer les performances est à proscrire. En revanche, l’emploi d’exposants publics particuliers, dans les limites de la remarque précédente, est possible : en pratique, l’exposant public généralement utilisé est $e=65537$.
• L’emploi de nombres premiers $p$ et $q$ trop proches ou de tailles trop différentes peut compromettre la sécurité du système. Il faut également éviter des valeurs possédant des propriétés particulières comme l’absence d’un grand facteur premier dans la décomposition de $p\pm 1$ ou $q\pm 1$. Pour éviter ces problèmes, il faut choisir $p$ et $q$ aléatoirement uniformément parmi les nombres premiers de taille égale à la moitié de la taille du module, éventuellement sous la condition supplémentaire que $p\pm 1$ et $q\pm 1$ aient de grands diviseurs premiers.
• Le problème de la factorisation est résolu en temps polynomial par un adversaire quantique utilisant l’algorithme de Shor [32]. Il ne fournit aucune sécurité post-quantique.

• Le problème du logarithme discret dans $\mathrm{GF}(p)$ semble avoir une complexité comparable à celle de la factorisation. Des méthodes similaires s’appliquent à la résolution des deux problèmes et il est raisonnable de penser qu’une avancée majeure dans la résolution du problème de la factorisation s’accompagnerait d’une avancée semblable dans celui du logarithme discret.

  Il est par conséquent naturel d’appliquer des règles identiques pour les deux problèmes.

• Le problème du logarithme discret semble cependant légèrement plus difficile en pratique, certaines phases de calcul étant plus délicates que pour la factorisation, les records de calcul (voir annexe B) mettent en évidence un décalage compris entre 100 et 200 bits mais on peut se demander si une telle différence ne provient pas en partie du plus grand prestige promis à un record en matière de factorisation.

• Si l’ordre d’un sous-groupe n’est pas premier mais possède un petit facteur premier (dans le pire des cas, 2), le problème Diffie–Hellman décisionnel dans ce sous-groupe peut être résolu avec une probabilité non négligeable. Ceci peut être très problématique, notamment dans des mécanismes de chiffrement de type ElGamal.

• Le problème du logarithme discret dans $\mathrm{GF}(p)$ est résolu en temps polynomial par un adversaire quantique utilisant l’algorithme de Shor [32]. Il ne fournit aucune sécurité post-quantique.

• Le problème du logarithme discret sur courbe elliptique permet d’obtenir, pour des tailles de paramètres réduites, une sécurité classique comparable à celle exigée pour des primitives symétriques.
• En cas d’utilisation de courbes généralement qualifiées de « particulières », la sécurité peut être sérieusement dégradée. Le problème mathématique sous-jacent peut notamment être ramené à un problème de calcul de logarithme discret dans un corps fini et non plus sur une courbe elliptique. Dans ce cas, les règles relatives à ce problème s’appliquent bien évidemment. Par exemple, dans le cadre d’un mécanisme utilisant les couplages – pour lequel l’utilisation de courbes « particulières » est nécessaire – le choix desdites courbes devra être fait avec soin. En particulier, les préconisations de la section 2.2.1.2 concernant la difficulté du logarithme discret devront être prises en compte pour le choix du groupe multiplicatif dans lequel le couplage prend ses valeurs.
• La raison de recommander un sous-groupe d’ordre premier est encore une fois que si l’ordre d’un sous-groupe n’est pas premier mais un petit multiple (dans le pire cas, le produit par 2) d’un grand premier, le problème Diffie–Hellman décisionnel dans ce sous-groupe peut être résolu avec une probabilité non négligeable.
• Le problème du logarithme discret sur les courbes elliptiques définies sur $\mathrm{GF}(p)$ est résolu en temps polynomial par un adversaire quantique utilisant l’algorithme de Shor [32]. Il ne fournit aucune sécurité post-quantique.

• L’emploi de $n$ composé réduit considérablement la difficulté du calcul de logarithme discret et affaiblit donc le mécanisme correspondant.
• Les courbes elliptiques définies sur $\mathrm{GF}(p)$ ne sont pas différenciées de celles définies sur $\mathrm{GF}(2^n)$.
• Le problème du logarithme discret sur les courbes elliptiques définies sur $\mathrm{GF}(2^n)$ est résolu en temps polynomial par un adversaire quantique utilisant l’algorithme de Shor [32]. Il ne fournit aucune sécurité postquantique.

• Les problèmes de réseaux euclidiens ont un espace de paramètres bien plus grand que les problèmes fondés sur la théorie des nombres. En effet, pour paramétrer le problème LWE, il faut choisir : les deux dimensions de la matrice définissant le système, le module, la distribution du secret ainsi que la distribution du bruit ajouté aux équations. L’interaction entre ces paramètres est complexe, et les jeux de paramètres proposés par les standards prennent en général en compte toutes les attaques connues, même celles fonctionnant dans des régimes spécifiques.
• Les algorithmes fondés sur les réseaux euclidiens ont pour but d’apporter une sécurité post-quantique. À ce titre, il est crucial de prendre en compte leur sécurité contre un adversaire quantique, contrairement aux problèmes fondés sur la théorie des nombres qui n’apportent qu’une sécurité pré-quantique.
• Compte tenu des meilleures attaques quantiques connues pour résoudre SVP [12] combinées avec des techniques de réduction de la dimension du problème [18], un problème SVP en dimension 400, respectivement 600, requiert un calcul quantique de complexité en temps estimé à au moins $2^{9}4$, respectivement $2^{143}$. Cependant, cette estimation néglige les facteurs polynomiaux de l’attaque, qui sont difficiles à calculer précisément, et sous-estime donc largement sa complexité.
• La résolution de SVP est une étape répétée à de nombreuses reprises lors de l’exécution de l’algorithme BKZ, et donc au cours de la résolution des problèmes (M)LWE et (M)SIS. Cependant, il reste de nombreux points d’ombre sur les heuristiques utilisées pendant ces résolutions, notamment dans le cas de l’attaque dite “duale” contre LWE [11, 19, 28]. De plus, l’optimisation de l’algorithme BKZ est toujours à l’étude dans la communauté académique [1]. De manière conservatrice, la règle considère que la complexité de ces attaques est équivalente à celle d’une seule résolution de SVP.