Baklengs eksperiment v2

Målte operasjoner · median og IQR

Kun reelle målinger. Viser median av gjennomførte forsøk. Hvis forsøk er sensurert, er KM-median oppgitt separat; median av bare treff kan være skjev.

Resultater og sensurering

«—» betyr ikke gjennomført eller ikke estimerbart. KM-median er tom der mer enn halvparten av observasjonene fremdeles er sensurert ved siste kontroll.

Tak: opptil 32 bit stoppes et forsøk etter 600 000 gruppeoperasjoner, på 36 bit etter 160 000. Forventet behov for rho på 36 bit er rundt 1,25·√n ≈ 290 000, så den kraftige sensureringen der er et bevisst ressurstak på VPS-en – ikke et tegn på at metoden svikter. De få treffene på 36 bit er tidlige heldige forsøk og gir derfor en lav median.

Eksplorativ målt vekst

Regresjon av log₂(median gruppeoperasjoner) mot nøkkelbiter, kun celler med alle forsøk fullført. Forventning: omtrent 1 for lineært søk og 0,5 for kvadratrotsmetoder. Disse punktestimatene er ikke et asymptotisk bevis.

ML-læringskurve: ECC mot additiv positivkontroll

Samme 5-NN bit-klassifikator trenes på 256, 4 096 og 65 536 eksempler, og testes på 1 024 andre nøkler når størrelsen tillater det. Positivkontrollen er Zₙ med kjent generator 1: Q=k mod n. Den forventes å vise målbar læring i bitvis klassifikasjon.

For 16 bit kan 65 536 unike treningsnøkler ikke brukes. Dette vises som «not_applicable», ikke som nullresultat. Treffsannsynligheten for én tilfeldig hel nøkkel er 1/(n−1), ikke 50 %.

Kontroll og metodekritikk

MOV-paringskontrollen og Smart-kontrollen kjøres separat. Dette er matematiske kontroller, ikke ML-kontroller: ML-modellen får ikke tilgang til paringer eller p-adiske løft.

Pollard: V1 tredeling bruker Floyds syklusdeteksjon (omtrent tre gange-evalueringer per sammenligningsrunde). V2 inkluderer en 20-partisjoners r-adding walk med Brents syklusdeteksjon, og registrerer både gangesteg, oppsett og totale punktoperasjoner. Tall kan ikke sammenlignes med 1,25·√n uten å spesifisere måleenheten.

Uttømmende søk: 30 tilfeldige mål for 16–24 bit verifiseres på samme sekvensielle punktvandring for å spare VPS-ressurser. Operasjonstall for hver uavhengig skjult nøkkel er eksakte, men tidsstemplene er korrelerte og skal ikke tolkes som uavhengige tidsmålinger.

Sensurering: «capped» lagres som minst faktisk antall punktoperasjoner. Ikke behandle disse som observerte funn og ikke ta naiv OLS over bare treff.

Positiv kontroll 2: Smart-angrep på anomale kurver

Bestått: På kurver der antall punkter er nøyaktig lik feltprimtallet p, løftes punktene til Z/p², ganges med p og deles via den p-adiske elliptiske logaritmen. Nøkkelen faller ut i lineær tid i log p – også på 48 bit, der BSGS og Pollard rho ikke er kjørt.

Løftet bruker y²=x³+p·A·x+b. Det rene j=0-løftet er det kanoniske løftet, der angrepet ikke virker. Gjenfunnet k er verifisert med kG=Q. Kontrollen viser at svake kurvefamilier faktisk avsløres; den sier ingenting om secp256k1, som ikke er anomal (#E ≠ p).

Reproduser kilde og data

python3 experiment_v2.py --trials 30 --seed 20261022 (full matrise) · python3 experiment_v2.py --controls-only (kun kontroller, gjenbruker lagrede målinger)