§5.6. Частное Ферма и дискретное логарифмирование по составному модулю

Определение 5.11. Пусть r Z>1, a Z, (a, r) = 1. Частное Фер-

то

(ab) (r) ≡ 1 + r(Q(a, r) + Q(b, r)) (mod r2).

Из этого сравнения следует утверждение леммы. Замечание 5.13. Мы показали, что частное Ферма обладает тем же

свойством, что и логарифм: оно переводит произведение в сумму. Определение 5.14. Рассмотрим Q(r, x) как функцию на множестве

x Z, (x, r) = 1. Назовем m Z, m = 0, периодом Q(r, x), если

1)m делится на все простые числа, делящие r;

2)Q(a + m, r) ≡ Q(a, r) (mod r) для всех a Z, (a, r) = 1.

но, первое условие в определении периода выполнено. Далее, поскольку

Поэтому Q(a + R, r) ≡ Q(a, r) (mod r), что и требовалось доказать.

m = p . Пусть g Z, g (mod m) — первообразный корень по модулю m, b Z, (b, p) = 1. Обозначим x = [log b] Z/ (p )Z — решение уравнения gx ≡ b (mod m). Тогда [log b] есть единственное по модулю (p ) решение системы уравнений

Q(g, p −1)x ≡ Q(b, p −1) (mod p −1), x = [log b]1 (mod p − 1),

где [log b]1 означает решение уравнения gy ≡ b (mod p). Следствие 5.19. Из теоремы следует, что дискретное лога-

рифмирование в группе (Z/p Z) при p > 2 сводится к дискретному логарифмированию в (Z/pZ) .

Доказательство теоремы. Обозначим r = p −1. Тогда

По лемме 5.15 число m является периодом Q(x, r). Поэтому из gx ≡

разным корнем, то gp−1 ≡ 1 (mod p2). Отсюда по индукции получаем, что для u = 1, 2, 3, . . . выполнено равенство

g(p−1)pu = 1 + pu+1Au,

где Au Z, Au ≡ 0 (mod p). Положим u = − 2; тогда число g (p −1) − 1 делится на p −1 и не делится на p . Так как (p −1) = (p −1), то из равенства

§ 5.6. Частное Ферма и дискретное логарифмирование по составному модулю 149

по модулю 2 −2 решение уравнения

xQ(5, 2 −2) ≡ Q(b, 2 −2) (mod 2 −2).

Следствие 5.21. Из теоремы 5.20 следует, что дискретное ло-

гарифмирование в группе Z/2 Z при 5 сводится к вычислению Q(b, 2 −2)Q(5, 2 −2)−1 (mod 2 −2).

Доказательство теоремы. Положим r = 2 −2. Тогда

поскольку (r) четно в силу условия 5. Значит,

Q(b, r) ≡ Q(5k1 , r) ≡ k1Q(5, r) (mod r).

Для доказательства единственности достаточно проверить, что Q(5, r) нечетно. Поскольку

Q(5, 2 −2) ≡ 5 (2 −2) − 1 ≡ 52 −4 − 1 (mod 2 −2),

2 −2 2 −2

то достаточно показать, что 52 −4 ≡ 1 (mod 2 −1) при 5; это легко проверяется индукцией по . Теорема 5.20 доказана.

Рассмотрим теперь уравнение

где s N, s > 1, s — нечетно, и известно полное разложение s на простые множители qi:

Пусть также известно полное разложение qi − 1 на простые множители:

Мы будем изучать вопрос о проверке разрешимости уравнения дискретного логарифмирования (5.6).

Обсудим сначала, как можно решать уравнение (5.6). Пусть gi — первообразные корни по модулям qui i , i = 1, . . . , k; их можно найти,

150 Гл. 5. Алгоритмы дискретного логарифмирования

зная (5.8). Пусть ci при i = 1, . . . , k удовлетворяют сравнениям

есть разложение (Z/sZ) в прямое произведение циклических групп.

Числа Ai, 0 Ai Mi −1, мы находим, решая уравнения giy ≡a (mod qui i) (аналогично находим Bi). Решение таких уравнений с помощью теоремы 5.18 сводится к решению уравнений giz ≡ a (mod qi). То есть для нахождения Ai, Bi нам нужно уметь решать задачу дискретного логарифмирования по простому модулю. В предыдущих параграфах мы видели, что это трудная задача, если модуль велик.

Допустим, что нам все же известны числа Ai, Bi в (5.9). Тогда

Для того, чтобы система уравнений (5.10) имела решение, необходимо, чтобы числа

В свою очередь, для разрешимости системы (5.12) необходимо

§ 5.6. Частное Ферма и дискретное логарифмирование по составному модулю 151

Лемма 5.22. Для определенных по формулам (5.11) чисел Di выполнено равенство

ord a (mod s) = НОК( (qu11)/D1, . . . , (qukk)/Dk),

где ord a (mod s) обозначает порядок элемента a (mod s) (Z/sZ) Доказательство. Поскольку

ord a (mod s) = НОКi=1,...,k (ord(a (mod qui i))),

случаях

p (ord(a (mod qui i))) = p ( (qui i)/Di).

Лемма 5.22 доказана.

Замечание 5.23. Числа Di = НОД(Ai, (qui i)) нетрудно найти, зная ord(a (mod qui i)), даже если мы не знаем Ai. Это следует из до-

также, что Ei можно вычислить, зная разложение (5.8); алгоритм нахождения порядка элемента см. в § 1.5.

Замечание 5.24. Из леммы 5.22 вытекает, что (5.13) есть искомое решение уравнения (5.6) в случае, когда система уравнений (5.12) разрешима.

Мы показали, как можно решить уравнение (5.6), зная числа A1, . . . , Ak, B1, . . . , Bk. Далее мы докажем две теоремы, дающие необходимые и достаточные условия для разрешимости (5.6). В этих теоремах мы не предполагаем, что Ai и Bi нам известны.

(Z/quZ) , a ≡ 1 (mod qu). Пусть также g— первообразный корень по модулю qu. Тогда выполнены следующие утверждения.

152Гл. 5. Алгоритмы дискретного логарифмирования

1)Если

где 0 < l < (qu). При этом, если u > 1 и 0 < u − 1 или если u = 1, то q l; если j > 0 и j < j, то pj l.

2) Сравнение ax ≡ b (mod qu) разрешимо тогда и только тогда,

когда ord(b(mod qu)) делит ord(a(mod qu)).

Доказательство. Первое утверждение леммы очевидно, а второе вытекает из цикличности группы (Z/quZ) .

Вернемся к вопросу о разрешимости (5.6), используя обозначения (5.7), (5.8), (5.9).

Лемма 5.26. Уравнение (5.6) разрешимо тогда и только тогда,

Для этого необходимо и достаточно, чтобы система Aix≡Bi (mod (qui i)), i = 1, . . . , k, была разрешима. Очевидно, что ее разрешимость эквивалентна разрешимости (5.14).

Теорема 5.27. Пусть в формуле (5.8) pi1 = 2, i1 = 1 для i = 1, . . . , k. Пусть также все простые числа qi и pij для j = 2, . . . , vi, i = 1, . . . , k, различны. Предположим, что a ≡ 1 (mod qui i),

где F = 1 или F = −1.

§ 5.6. Частное Ферма и дискретное логарифмирование по составному модулю 153

где Li N, (Li, (qui i)) = 1. Заметим также, что если ui = 1, то i0 = 0; кроме того, qi Li. Пусть

где Ni N. Применим лемму 5.26 и сведем разрешимость (5.6) к разрешимости системы (5.14). Если мы рассмотрим уравнение

Aix ≡ Bi (mod qui i−1)

из этой системы, то оно будет равносильно уравнению

Данное уравнение разрешимо; при ui = 1 это очевидно, а при ui > 1 разрешимость следует из того, что qi Li. Если мы рассмотрим уравнение

из системы (5.14), то оно также будет разрешимо, поскольку pij (Ai) = = ij ij pij (Bi). Поскольку модули в уравнениях (5.15) и (5.16) нечетны и различны по условию теоремы, то для разрешимости (5.14) необходимо и достаточно, чтобы была разрешима подсистема уравнений

Так как i1 = 1, то i1 = 0 для i = 1, . . . , k, и числа Li нечетны. Поэтому Ai ≡ 1 (mod 2), i = 1, . . . , k. Следовательно, (5.17) примет вид

154 Гл. 5. Алгоритмы дискретного логарифмирования

x ≡ Bi (mod 2), i = 1, . . . , k. Теперь для разрешимости (5.17) необходимо и достаточно, чтобы выполнялось условие

Из последнего соотношения следует утверждение теоремы.

Теорема 5.28. Пусть q1, . . . , qk — различные нечетные простые числа,

где pij — нечетные простые числа. Пусть числа pij при j = 2, . . . , vi,

i = 1, . . . , k, различны. Обозначим через s = q1 . . . qk. Пусть a, b N, (a, s) = (b, s) = 1, t N, 1 t k. Предположим, что a (mod qi) имеет порядок qi − 1 для i = 1, . . . , t и порядок (qi − 1)/2 для i = t + 1, . . . , k. Уравнение (5.6) разрешимо тогда и только тогда, когда

имно просты с (qi) = qi − 1 для i = 1, . . . , t, а для i = t + 1, . . . , k числа Ai четны и взаимно просты с (qi − 1)/2. Из леммы 5.10 получаем систему

Aix ≡ Bi (mod 2),

Aix ≡ Bi (mod pijij),

где j = 2, . . . , vi, i = 1, . . . , k. Эта система разрешима тогда и только тогда, когда разрешима подсистема

≡

Замечание 5.29. В теоремах 5.27 и 5.28 наибольшим общим делителем чисел qi − 1 и qj − 1 является число 2. Это позволяет получить необходимые и достаточные условия для разрешимости (5.6). Если qi − 1 и qj − 1 имеют в качестве общего делителя небольшое простое число p > 2, то для проверки разрешимости (5.6) можно предложить алгоритм, аналогичный алгоритму Полига—Хеллмана. Мы предлагаем читателю описать этот алгоритм в качестве упражнения.

Зафиксируем простое число p и рассмотрим задачу дискретного логарифмирования ax =b в группе обратимых элементов (Z/pZ [x]/(F(x))) факторкольца Z/pZ [x]/(F(x)), где многочлен F(x) Z/pZ [x] — приводим.

Зафиксируем неприводимый многочлен f = f(x) = xn + An−1xn−1 + . . .

Лемма 5.30.

1)Найдется многочлен g1 (x) (равный либо g(x), либо g(x) + f(x)), такой, что deg g1 (x) n и g1 (x)pn−1 ≡ 1 (mod f2).

2)Если h = h(x) Z/pZ [x], f h, то при всех j 0

hpj (pn−1) ≡ 1 (mod fpj).

3) Если j 1 pj−1 < k pj, то порядок любого обратимого по умножению элемента кольца Rn делит pj (pn − 1), и существу-

ет элемент такого порядка.

Доказательство. Пусть g(x)pn−1 = 1 + fl (x)t(x), где t(x) Z/pZ [x],

156 Гл. 5. Алгоритмы дискретного логарифмирования

Лемма 5.31. Пусть k > 1. Тогда |Rk| = pnk, |Rk| = pn(k−1) (pn − 1). Далее, при pj−1 < k pj справедливо разложение Rk в прямое про-

изведение циклических групп

следует из теоремы о разложении конечной абелевой группы в прямое произведение циклических групп и леммы 5.12.

Лемма 5.32. Пусть k 2, Rk. Тогда элемент единственным образом представим в виде

= a0 (x) + a1 (x)f(x) + . . . + ak−1 (x)fk−1 (x) (mod fk (x)),

где ai (x) Z/pZ [x], deg < n. При этом Rk тогда и только тогда, когда a0 (x) = 0. Далее, порядок равен степени числа p тогда

и только тогда, когда a0 (x) = 1.

Доказательство. Докажем только последнее утверждение леммы. Достаточность следует из равенства pk ≡ a0 (x)pk (mod fk). Необходимость следует из леммы 5.31, так как количество элементов порядка, равного степени p, равно pn(k−1) — как раз столько, сколько имеется элементов , у которых a0 (x) = 1.

Лемма 5.33. Пусть 2 k p, M = n(k − 1), и 1, . . . , M есть следующий набор элементов порядка p в Rk :

1 + f(x), 1 + xf(x), . . . , 1 + xn−1f(x);

1 + f(x)2, 1 + xf(x)2, . . . , 1 + xn−1f(x)2;

. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1 + f(x)k−1, 1 + xf(x)k−1, . . . , 1 + xk−1f(x)n−1.

Тогда Rk = 0 pn−1 × 1 p × . . . × M p есть разложение Rk в прямое произведение (здесь 0 — какой-либо элемент порядка pn − 1

в Rk).

Доказательство. Очевидно, что при j = 1, . . . , M элементы j имеют порядок p. Теперь для доказательства леммы достаточно показать,

§ 5.6. Частное Ферма и дискретное логарифмирование по составному модулю 157

что из равенства

где 0 y0, z0 < pn − 1, 0 yj, zj < p, j = 1, . . . , M, следует, что yj = zj,

pm2 − 1) = pd − 1.

Лемма 5.35. Пусть k N, k 2, h Rk, порядок h делит p. Рассмотрим функцию

hp − 1 ≡ apfpj + . . . + ap− fp(k−1) (mod fkp) ≡ 1 (mod fkp).

j k 1

Отсюда следует корректность определения Q0 (h). Далее, hp ≡ 1 + fkQ0 (h) (mod f2k).

158 Гл. 5. Алгоритмы дискретного логарифмирования

hp1n−1 ≡ (hp2n−1)y0 ,

то уравнение h1 = hy2 разрешимо.

§ 5.6. Частное Ферма и дискретное логарифмирование по составному модулю 159