Buen paper. Hago un resumen del mismo:

Todos sabemos que DH utiliza módulos primos generados por safe-primes. Los autores del paper explican los distintos métodos de cálculo de logaritmo discreto y los aplican a una posible backdoor en DH, ya sea entregando un módulo almost prime p>=2 (semiprimo o mayor) cuyo orden es obtenible mediante su factorización. Por lo tanto sólo los creadores del backdoor accederían a los valores privados.

La conclusión del paper no se centra tanto en probar el backdoor, si no en checkear los TLS Handshake de varias webs para ver que módulos DH emplean en la negociación. Sorpendentemente varios servidores emplean módulos semiprimos o módulos demasiado débiles.

El punto más remarcable y que debería ser implementado es que las librerías que implementan TLS con DH no comprueban la constitución del módulo, cuando sabemos que comprobar un safe prime 2q + 1 es trivial.

Saludos!