RSA 和 ElGamal 密鑰大小如何比較？

關於 RSA 與 ElGamal 在整數上的比較，我有一個相當愚蠢的問題。如果要比較它們在相同安全級別下的性能，它們的模數是否需要相同大小，還是 RSA 必須是 ElGamal 大小的兩倍？

您永遠不需要比 RSA 更大的參數。在最壞的情況下，ElGamal 參數和 RSA 參數大小相等。但是您可以根據您用於 ElGamal 的設置顯著減少 ElGamal 參數。

如果您在 $ Z_p $ 和 $ p $ 作為素數，您在與 RSA 所需位長相同的欄位中工作。但是要獲得 IND-CPA 安全性，您必須在 DDH 困難的子組中工作（採取安全素數並在大素數順序子組中工作）。然後，考慮到昂貴的操作（求冪），私鑰操作比 RSA 便宜（RSA 中具有小指數的公鑰操作要便宜得多）。

如果在橢圓曲線組上實例化 ElGamal，則可以大大減小參數大小（1024 位 RSA 與相同安全級別的 160 位橢圓曲線）。然而，曲線算法可能很昂貴並且不一定更有效（特別是對於“小”安全級別）。

引用自：https://crypto.stackexchange.com/questions/19583