Глава 1. Тестирование чисел на простоту и построение больших простых чисел

§ 1.1. Введение

Натуральное число p, большее единицы, называется простым, если оно делится нацело только на 1 и на себя. Основная теорема арифметики гласит, что любое натуральное число n, большее единицы, может быть разложено в произведение простых чисел, причем это разложение единственно с точностью до порядка простых сомножителей. Каноническое разложение натурального числа n имеет вид

n = p11 · . . . · pkk ,

где p1 < p2 < . . . < pk — различные простые числа, 1, . . . , k N. Задача проверки простоты натурального числа и задача построения

больших простых чисел имеют важные приложения в криптографии. В данной главе мы опишем различные алгоритмы решения этих задач.

§1.2. Элементарные методы проверки простоты чисел

Пусть n N. Как проверить, является ли n простым?

Метод пробных делений

√

Если n — составное, то n = ab, где 1 < a b, причем a n. По-

√

этому для d = 2, 3, . . . , [ n] мы проверяем, делится ли n на d? Если делитель числа n не будет найден, то n — простое. В противном случае будет найден минимальный простой делитель числа n, т. е. мы даже разложим n на два множителя. Сложность метода составляет O(n1/2) арифметических операций с целыми числами.

Возможны модификации этого метода. Например, мы можем проверить, делится ли n на 2 и на 3, и если нет, то перебираем далее только числа d вида 1 + 6j и 5 + 6j, j = 1, 2, . . . Сложность метода отличается от предыдущей лишь постоянной в O(·) (см. об этом также [40]).

Решето Эратосфена

Если мы хотим составить таблицу всех простых чисел среди чисел 2, 3, . . . , N, то нужно сперва вычеркнуть все числа, делящиеся на 2, кроме 2. Затем взять число 3 и вычеркнуть все последующие числа, делящиеся на 3. Затем взять следующее невычеркнутое число (т. е. 5) и вычеркнуть все последующие делящиеся на него числа, и так далее. В итоге останутся лишь простые числа. Для реализации метода нужен большой объем памяти ЭВМ, однако для составления таблиц простых чисел он является наилучшим.

В книге [101, гл. 3] описаны эффективные алгоритмы, реализующие решето Эратосфена для построения таблиц простых чисел и вычисление факторных баз.

Тест на основе малой теоремы Ферма

Для проверки простоты чисел n порядка 1030—1040 метод пробных делений уже неприменим. Следующий тест основан на малой теореме Ферма: если n простое, то для любого a Z выполнено сравнение

an ≡ a (mod n);

если же при этом (a, n) = 1, то

an−1 ≡ 1 (mod n).

Поэтому для проверки простоты n мы выбираем какое-либо a Z и проверяем выполнение малой теоремы Ферма за O(log n) арифметических операций (с помощью бинарного возведения в степень в кольце Z/nZ). Если малая теорема Ферма не выполнена, то n — составное. Если же она выполнена, то мы еще не можем сделать вывод о простоте n, поскольку теорема дает лишь необходимое условие. Этот тест является эффективным для обнаружения составных чисел. Например,

мы проверяли выполнение теста 13n−1 ≡ 1 (mod n), и первые десять чисел, прошедших этот тест, оказались впоследствии простыми (дальнейшая проверка простоты проводилась алгоритмом Ленстры—Коена, о котором будет рассказано в одном из следующих параграфов).

Однако существуют такие составные числа n, называемые числами Кармайкла, что для любого a Z выполнено сравнение an ≡ a (mod n).

14 Гл. 1. Тестирование чисел на простоту и построение больших простых чисел

для 11 и 17. В работе [51] показано, что чисел Кармайкла бесконечно

корень до тех пор, пока не дойдем до a или пока корень не будет сравним с −1.

В работе [228] эмпирическим путем получен следующий тест проверки простоты нечетных чисел n, 7 < n < 25 · 109.

1 шаг. Проверить строгую псевдопростоту n в базах 2, 3, 5, 7. Если n не строго псевдопростое в одной из баз, то оно составное.

2 шаг. Если n = 3215031751, то n — составное, иначе — простое. Итак, мы видим, что тест на строгую псевдопростоту является эф-

фективным для обнаружения составных чисел, однако и он является лишь необходимым условием для простоты n. В работе [12] предложен алгоритм, содержащий необходимые и достаточные условия для проверки простоты чисел n < (67107840)2. Он использует кроме тестов на псевдопростоту некоторые свойства чисел Ферма.

Новые результаты о тестах на псевдопростоту были получены в работе [52]. В частности, было показано, что существует бесконечно много нечетных составных n, для которых наименьшее (n) N, такое, что n не является строго псевдопростым в базе (n), удовлетворяет неравенству

1

(n) > (log n) 3 log log log n .

Об элементарных методах проверки простоты чисел см. также обзорные работы [40; 10] и книгу [77].

§1.3. Тесты на простоту для чисел специального вида

Рассмотрим сначала числа n вида n = 2m + 1, где m N. Если m делится на простое p > 2, т. е. m = pm1, m1 1, то n = (2m1)p + 1 делится на 2m1 + 1, т. е. является составным. Поэтому простым число n может быть лишь при m = 2k.

Определение 1.2. Числа Fk = 22k + 1, k = 0, 1, 2, . . . , называются

числами Ферма.

В настоящее время известно, что числа F0, F1, F2, F3, F4 — простые, а все последующие числа Ферма, которые удалось проверить на простоту, оказались составными. При этом такая проверка оказалась возможной, например, для F23471 (это рекорд 1984 г. [161]), а про F31 до сих пор неизвестно (см. [101]), простое оно или составное.

Для проверки простоты чисел Ферма существует следующий тест.

(Z/nZ) содержит не менее n − 1 элемента, и поэтому все ненулевые элементы Z/nZ обратимы, т. е. n — простое число.

Теперь докажем необходимость. Заметим, что 22k = 42k−1 ≡ 1 (mod 3). Поэтому n > 3, n ≡ 2 (mod 3), n ≡ 1 (mod 4). По квадратичному закону

по модулю n, однако числа Ферма растут очень быстро, и поэтому данный тест так же быстро становится неэффективным.

Теперь рассмотрим числа n вида n = 2m − 1. Если m — составное, m = ab, 1 < a b, то n = 2ab − 1 делится на 2a − 1. Поэтому простым число n может быть лишь при простом m.

Определение 1.4. Пусть p — простое число, и Mp = 2p − 1 — также простое. Тогда Mp называется числом Мерсенна.

С помощью чисел Мерсенна получаются все четные совершенные числа; они имеют вид 2p−1 · Mp. Числа Мерсенна крайне редки;

16 Гл. 1. Тестирование чисел на простоту и построение больших простых чисел

в 2001 г. было найдено тридцать девятое число Мерсенна — это M13466917. О числах Мерсенна см. также [36, Приложения 5.1, 5.2].

Для проверки простоты чисел Мерсенна используется следующий тест.

Теорема 1.5. Пусть q — простое число, q > 2, n = 2q − 1. Рассмотрим последовательность L0, L1, L2, . . . , определяемую соот-

ношениями

L0 = 4; Lj+1 ≡ L2j − 2 (mod n).

Число n — простое тогда и только тогда, когда Lq−2 ≡ 0 (mod n). Доказательство этой теоремы мы приведем в конце данного пара-

графа.

Некоторые результаты о простоте чисел Ферма получены в рабо-

Mp(Fp−1)/2 ≡ −1 (mod Fp).

Доказательство. Достаточность доказывается аналогично тео-

≡ 2 (mod Mp), откуда Fp = 2 · 22 −1 + 1 ≡ 5 (mod Mp). Следовательно,

(мы воспользовались критерием Эйлера и квадратичным законом

Прежде чем приступить к доказательству теоремы 1.5, мы должны изучить свойства последовательностей чисел Люка´ . Эти последовательности используются также в более общем (N + 1)-методе проверки

лучаются по рекуррентной формуле xj+1 = 4xj − xj−1, называются

последовательностями чисел Люка´ .

Очевидно, что u2 = 4, u3 = 15, v2 = 14. Рассмотрим свойства последовательностей чисел Люка´ .

Лемма 1.8. vj = uj+1 − uj−1 при j 1.

20 Гл. 1. Тестирование чисел на простоту и построение больших простых чисел

Лемма 1.20. Для последовательности чисел Lj из теоремы 1.5 справедливо соотношение Lj ≡ v2j (mod n).

Доказательство. Очевидно, что L0 = v1. Если утверждение леммы верно для j, то, применяя лемму 1.13, получаем

Lj+1 ≡ (L2j − 2) (mod n) ≡ v22j − 2 (mod n) ≡ v2j+1 (mod n),

что и требовалось доказать.

Лемма 1.21. При j 0 справедливы утверждения:

1)(uj, uj+1) = 1;

2)НОД(uj, vj) 2.

Доказательство. Первое утверждение было проверено при доказательстве леммы 1.19. Второе утверждение следует из первого и из равенства 2uj+1 = 4uj + vj, которое справедливо по лемме 1.8.

Приступим к доказательству теоремы 1.5.

Сначала докажем достаточность. Пусть Lq−2 ≡ 0 (mod n). Тогда ≡ 0 (mod 2q − 1) по лемме 1.20. Далее,

u2q−1 = u2q−2 v2q−2 ≡ 0 (mod 2q − 1)

по лемме 1.12. Кроме того,

u2q−2 ≡ 0 (mod 2q − 1),

так как по лемме 1.21 числа uj и vj не имеют общих нечетных простых делителей.

Пусть m = m(2q − 1) — ранг появления числа n = 2q − 1 в последовательности {uj}. Число m определено и, по лемме 1.19, m делит 2q−1,

но не делит 2q−2. Значит, m = 2q−1 = n +2 1 .

Предположим, что n — составное, и придем к противоречию. Пусть n = pe11 . . . perr — разложение n на простые сомножители, и либо r > 1, либо e1 > 1. Все pj > 3, так как n ≡ (−1)q − 1 ≡ −2 (mod 3).

Положим

t = НОК(pe11−1 (p1 + 1), . . . , perr−1 (pr + r)),

где j = (pj) {±1} — величины из леммы 1.17, j {±1}. Тогда ut ≡ 0 (mod 2q − 1) по леммам 1.14, 1.17, 1.19. Следовательно, по лем-

ме 1.19 число t делится на m = n +2 1 .

Пусть

r

n0 = pej j−1 (pj + j).

j=1

Тогда, так как pj 5, то

n0 r pej j−1 pj + p5j = n 65 r. j=1

Поскольку числа pj + j четные, по свойству наименьшего общего крат-

по определению числа t получим, что e1 = 1 = er. Кроме того, p1 + 1 и pr + r — степени 2, т. е. p1 + 1 = 2k, p2 + 2 = 2l. Если n составное, то r = 2, и тогда

n = 2q − 1 = (2k ± 1) (2l 1)

( 1 = − 2, так как n ≡ −1 (mod 4)). Отсюда 2q = 2k+l ± 2l 2k. Пользуясь делимостью всех слагаемых на 2max(k,l) , находим, что k = l. Тогда n = 2q − 1 = (2k + 1) (2k − 1), что противоречит нечетности q. Достаточность доказана.

Теперь докажем необходимость. Пусть n = 2q − 1 — простое чис-

22 Гл. 1. Тестирование чисел на простоту и построение больших простых чисел

Тогда по лемме 1.10 получаем:

Витоге v2q−1 ≡ −2 (mod n), что мы и хотели доказать. Теорема 1.5 полностью доказана.

Замечание 1.22. В книгах Рибенбойма [231; 232] содержится опи-

сание различных рекордов в области проверки простоты чисел, в частности, для чисел Ферма и Мерсенна, для построения пар близнецов (простых чисел вида p и p + 2) и для других простых чисел специального вида.

§1.4. (N ± 1)-методы проверки простоты чисел

ипостроения больших простых чисел

В данном параграфе мы описываем методы, с помощью которых можно проверять простоту натурального числа N, если известно полное или частичное разложение N − 1 или N + 1 на множители. Прекрас-

ная библиография по этому вопросу содержится в работе [40], а более поздние работы можно найти в библиографии к [60]. Мы также опишем здесь некоторые способы построения больших простых чисел, широко используемых в криптографии. Иные способы можно найти в работах [214; 99; 259; 186].

Докажем сначала теорему, относящуюся к (N − 1)-методам проверки простоты чисел.

Как применять теорему 1.23 на практике? Зная разложение n − 1 на множители, надо либо перебором подряд a = 2, 3, . . . , либо случайным выбором a искать числа ai, удовлетворяющие условию теоремы. Если для некоторого a, 1 < a < n, окажется, что an−1 ≡ 1 (mod n), то n составное. Если же мы найдем a1, . . . , ak, то тем самым покажем, что n простое.

Заметим, что мы фактически уже пользовались методом теоремы 1.23 применительно к числам Ферма (см. теорему 1.3 из § 1.3). При этом числа ai искать было не нужно, нам заранее известно, что a = 3.

Аналогичный результат справедлив в случае, когда известно полное разложение n + 1 на множители.

Теорема 1.24. Пусть P, Q Z, D = P2 − 4Q =/ 0. Определим последовательность чисел Люка u0, u1, . . . дискриминанта D следующими соотношениями: u0 = 0, u1 = 1, uj+2 = Puj+1 − Quj при j 0.

24 Гл. 1. Тестирование чисел на простоту и построение больших простых чисел

связанная с ними последовательность Люка u0(i) , u1(i) , . . . удовлетворяет условиям

n | un(i+) 1, n u((in)+1)/qi ,

то число n — простое. Если же существует такая последовательность Люка {uj} дискриминанта D, что n un+1, то n — составное число.

Эта теорема принадлежит к так называемым (N + 1)-методам проверки простоты чисел. Ее доказательство, равно как и описание других результатов, относящихся к (N + 1)-методам, выходит за рамки данной книги. Заметим, что простейший результат здесь, связанный с проверкой простоты чисел Мерсенна, мы рассмотрели в теореме 1.5 из § 1.3.

Вернемся теперь к (N − 1)-методам проверки простоты чисел и покажем, как с их помощью можно строить большие простые числа.

Теорема 1.25. Пусть n N, n > 1, n нечетно, n − 1 = F1 · R1, где

число n — простое.

Доказательство. Пусть p — произвольный простой делитель чис-

√

ла n. Мы покажем, что p > n, откуда следует простота n.

Из anj −1 ≡ 1 (mod n) следует, что anj −1 ≡ 1 (mod p), откуда (aj, p) = 1 и порядок ej элемента aj (mod p) в Z/pZ делит n − 1. Кроме того, по малой теореме Ферма ej | p − 1. Далее, из условия теоремы следует, что

шие простые числа. Мы строим последовательность простых чисел p1 < p2 < p3 < . . . , пока не найдем простое число нужной нам величины. Простое нечетное число p1 выбираем произвольно, например,

довательно, для доказательства простоты n нужно найти (перебором) числа a1 и a2 такие, что

Если в ходе перебора найдется такое a, что an−1 ≡ 1 (mod n), или один из двух наибольших общих делителей с n дает нетривиальный делитель числа n, то n — составное; тогда нужно выбрать другое случайное r (и другое n). Если же мы докажем простоту n, то положим pi = n.

Другой способ применения теоремы 1.25 заключается в следующем. Мы снова строим цепочку простых чисел, и пусть построено pi−1 > 3. Выберем случайное четное r, 1 r pi−1 − 3, и положим n = pi−1r + 1. Пусть F1 = pi−1, R1 = r, (F1, R1) = 1. Нам нужно найти всего лишь одно

так как

n = pi−1r + 1 pi−1 (pi−1 − 3) + 1 = p2− − 3pi−1 + 1

i 1

p2− − 3 · 5 + 1 < p2− .

i 1 i 1

Перебор a осуществляется так же, как в предыдущем способе. Следующая теорема является более эффективной для построения

больших простых, поскольку в ней отсутствует вычисление наибольшего общего делителя.

Теорема 1.26. Пусть n = 2rq + 1, где q — нечетное простое число, и r 2q + 1. Если существует такое a N, что

= ps−1 (p − 1). Но из соотношения a2r ≡ 1 (mod ps) следует, что d 2r.

и в силу нечетности p и q получаем, что p ≡ 1 (mod 2q). Кроме того,

Замечание 1.27. Из теоремы 1.26 также следует метод построения простых чисел, аналогичный предыдущим.

Замечание 1.28. Если заменить неравенство r 2q + 1 на неравенство r 2q + 2, то утверждение теоремы 1.26 о простоте n будет неверным. Можно даже привести пример a и n, для которых условия теоремы будут выполнены, но n будет составным. Следующая теорема показывает, как можно увеличить верхнюю границу для r.

Теорема 1.29. Пусть n = 2rq + 1, где q — простое число, r4q + 2. Пусть существует такое a N, что

an−1 ≡ 1 (mod n), a2r ≡ 1 (mod n).

Тогда либо n — простое, либо n = p2, где p = 2q + 1 — простое число и ap−1 ≡ 1 (mod p2).

Доказательство. Пусть n — составное, n = pN, где p и N те же,

или составное. Тест теоремы 1.29 очень эффективен для построения больших простых чисел, так как чем больше верхняя граница для выбора случайного r, тем дальше мы можем «шагнуть» при построении очередного простого числа.

В рассмотренных выше теоремах 1.25—1.29 величина разложен-

√

ной части n − 1 имеет порядок n. Следующая теорема ослабляет это условие до величины порядка n1/3 (см. [99]).

на простые множители. Пусть для любого простого делителя q числа F1 найдется такое aq N, что

anq−1 ≡ 1 (mod n), (aq(n−1)/q − 1, n) = 1.

Пусть m N и для каждого l = 1, 2, . . . , m − 1 верно, что lF1 + 1 n.

Если

n < (mF1 + 1) (2F12 + (L − m)F1 + 1),

где R1 = 2F1L1 + L, 1 L < 2F1, то n — простое тогда и только тогда, когда либо R1 = L, либо число L2 − 8L1 не является полным

квадратом.

Обзор результатов, относящихся к (N ± 1)-методам проверки простоты, см. в [40; 10].

Ряд результатов о построении больших простых чисел, соединяющих в себе N − 1-метод и тесты с тригонометрическими суммами, приведен в работе [11]. Например, справедлива следующая теорема.

Теорема 1.32. Пусть n N, n > 1, (30, n) = 1 и i — мнимая единица. Пусть также выполнены следующие условия:

1) 3(n−1)/2 ≡ (−1)(n−1)/2 n (mod n);

3

2)если n ≡ 1 (mod 8), то существует a N такое, что a(n−1)/2 ≡

≡−1 (mod n);

3)если n ≡ 3, 5 (mod 8), то 2(n−1)/2 ≡ −1 (mod n);

4)если n ≡ 1 (mod 4), то при i = (−1)1/2 C

(2i + 1)(n−1)/2 · 5(n−1)/4 ≡ (mod nZ [i]),