JavaScript 中最快的模幂运算答案

【问题标题】：Fastest modular exponentiation in JavaScriptJavaScript 中最快的模幂运算
【发布时间】：2010-11-29 20:28:29
【问题描述】：

我的问题是在 JavaScript 中快速计算(g^x) mod p，其中^ 是求幂，mod 是模运算。所有输入都是非负整数，x 大约有 256 位，p 是 2048 位的质数，g 最多可能有 2048 位。

我发现的大多数可以在 JavaScript 中执行此操作的软件似乎都使用 JavaScript BigInt 库 (http://www.leemon.com/crypto/BigInt.html)。在我的慢速浏览器（带有 SpiderMonkey 的 Firefox 3.0）上，用这个库进行一次这样大小的幂运算大约需要 9 秒。我正在寻找至少快 10 倍的解决方案。对于 2048 位数字，使用平方和乘法（乘方求幂，http://en.wikipedia.org/wiki/Exponentiation_by_squaring）的明显想法太慢了：它需要多达 4096 次乘法。

升级浏览器不是一种选择。使用另一种编程语言不是一种选择。将号码发送到网络服务不是一种选择。

是否有更快的替代方案实施？

更新：按照下面 outis 的回答中提到的文章 http://www.ccrwest.org/gordon/fast.pdf 的建议，通过做一些额外的准备工作（即预先计算几百次幂），可以对 2048 位模幂运算进行最多仅使用 354 模的运算乘法。（传统的平方和乘法方法要慢得多：它使用最多 4096 次模乘。）这样做在 Firefox 3.0 中将模幂运算速度提高了 6 倍，在 Google Chrome 中提高了 4 倍。我们没有得到 4096/354 的完全加速的原因是 BigInt 的模指数算法已经比平方和乘法更快，因为它使用了蒙哥马利约简 (http://en.wikipedia.org/wiki/Montgomery_reduction)。

更新：从 BigInt 的代码开始，似乎值得做两级手动优化（和内联）Karatsuba 乘法 (http://en.wikipedia.org/wiki/Karatsuba_algorithm)，然后才恢复到在大整数。这将 2048 位整数的乘法速度提高了 2.25 倍。不幸的是，模运算并没有变得更快。

更新：使用 http://www.lirmm.fr/arith18/papers/hasenplaugh-FastModularReduction.pdf 中定义的修改后的 Barrett 缩减和 Karatsuba 乘法和预计算幂（定义在 http://www.ccrwest.org/gordon/fast.pdf 中），我可以在 Firefox 3.0 中将单次乘法所需的时间从 73 秒缩短到 12.3 秒.这似乎是我能做的最好的了，但还是太慢了。

更新：Flash Player 中的 ActionScript 2 (AS2) 解释器不值得使用，因为它似乎比 Firefox 3.0 中的 JavaScript 解释器慢：对于 Flash Player 9，它似乎慢 4.2 倍，并且对于 Flash Player 10，它似乎慢了 2.35 倍。有人知道 ActionScript2 和 ActionScript3 (AS3) 在数字处理方面的速度差异吗？

更新：Flash Player 9 中的 ActionScript 3 (AS3) 解释器不值得使用，因为它的速度与 JavaScript int Firefox 3.0 差不多。

更新：如果使用int 而不是Number，并且使用Vector.<int> 而不是Array。 2048 位大整数乘法至少要快 2.41 倍。因此，可能值得在 AS3 中进行模幂运算，如果可用，在 Flash Player 10 中执行它。请注意，这仍然比 Google Chrome 的 JavaScript 解释器 V8 慢。有关各种编程语言和 JavaScript 实现的速度比较，请参阅 http://ptspts.blogspot.com/2009/10/javascript-and-actionscript-performance.html。

更新：有一个非常快速的 Java 解决方案，如果安装了 Java 插件，可以从浏览器的 JavaScript 调用。以下解决方案比使用 BigInt 的纯 JavaScript 实现快约 310 倍。

<body>hi0
<script type="text/javascript">
document.body.innerHTML += '<br>hi1';
if ('object'==typeof java) {
  var x = new java.math.BigInteger("123456789123456789", 10);
  var p = new java.math.BigInteger("234567891234567891", 10);
  var g = new java.math.BigInteger("3", 10);
  var v = x.modPow(x, p);
  document.body.innerHTML += '<br>' + v.toString();
  document.body.innerHTML += '<br>' + v.toString(16);
} else {
  document.body.innerHTML += '<br>java plugin not installed';
}
</script></body>

谁能将此代码翻译成 Silverlight (C#)？

【问题讨论】：

标签： javascript primes modulo discrete-mathematics exponentiation

【解决方案1】：

为什么不使用像 C 这样更合适的语言在某种 Web 服务中做服务器端呢？时间将是一次往返的时间（少于 9 秒），加上服务器使用本机代码中的某些 BigInt 库计算结果的时间。这可能会快得多。

【讨论】：

您可能不想将您的私钥发送到服务器。
谁说过私钥？
用C使用GMP库，大约快1042倍。但是使用不同的编程语言或将数字发送到服务器不是我的问题。
所以我想将它们放入 Silverlight 以进行沉重的嘎吱嘎吱声也不可能吗？
我不想将 Silverlight 作为依赖项。但是如果在浏览器中可用的话，使用它的 bigint 或 Java 的 bigint 是可行的。但在这个问题中，我需要一个在 JavaScript 中实现快速模幂运算的解决方案。

【解决方案2】：

我用“%”表示模（mod），用“/”表示整数除法。让函数 f(p,g,x,r) 在 r

bigint_t f(p,g,x,r) {
  bigint_t i, z = g, y;
  for (i = 1; i < x; ++i) {
    y = z; z *= g;
    if (z > p) break;
  }
  if (i >= x - 1) return r*z%p; // g^x*r%p = g^x*r
  else return f(p,y,x/i,g^(x%i)*r%p); // reduce to (r*g^(x%i)%p)*(g^i)^(x/i)%p
}

此例程涉及更多计算，但每个整数小于 4096 位，通常比 g^x 小得多。我相信这可能比直接计算更有效。另请注意，g^(x%i) 可以以更快的方式计算，因为我们已经计算了 g^(i+1)。

编辑：见this post。 Mehrdad 提供了正确（和更好）的解决方案。

【讨论】：

您的实现为我提供了 f(100, 3, 8, 1) 的无限递归，而不是返回 61。您的算法有正确的名称吗？
对不起，这里有小错误。我已经改变了。这种方法只是简单数学的结果，太简单了，无法取名。
该方法基于 (k*p+g)^x%p = g^x%p 的观察。它重复应用此规则以避免直接计算 g^x。
f 在对 f 的递归调用中当 x/i > 2 时永远递归，因为 y*y > p，所以递归调用中的循环将以 i=1 退出。试试 f(100,5,8,1) （只是不是真的，因为你必须杀死你的浏览器）。另请注意i==floor(log(p)/log(g))。根据取幂和日志的实现，使用i=floor(log(p)/log(g)); y=g^i 可能比循环更快。一旦递归问题得到解决，最好的情况下 f 在 x 中是对数的，但在最坏的情况下是 x 中的 sqrt。在所有情况下，平方求幂（BigInt 使用）在 x 中都是对数。

【解决方案3】：

是否可以接受一些其他可从 JS 调用的客户端技术，例如 Java 小程序或 Flash 电影？ BigInt 的approach 已经相当快了。您可以调整 BigInt，也可以尝试 different algorithm，但您可能不会获得一个数量级的改进。

【讨论】：

我必须确认 BigInt 的优化非常好。我尝试使用 Karatsuba 算法实现乘法，但它的速度是 BigInt 的简单 O(n^2) 乘法的 4 倍。
感谢您提及这篇论文，它看起来很有希望。
将 BigInt.js 与您链接的文章中的技术结合使用，我可以在 Firefox 3.0 上将 2048 位整数的模乘速度提高 6 倍，在 Google Chrome 上提高 4 倍。不幸的是，这对我来说仍然太慢，所以我必须找到一个不同的加密协议，它需要更少的计算。
我想为这个答案提供更多支持，因为我发现链接的文章非常有用。但我不能接受它作为答案，因为它仍然不够快。

【解决方案4】：

在 JavaScript 上试试这个从 http://code.google.com/p/bi2php/ 开始的 Montgomery 模块化缩减。

【讨论】：