Глава 2. Факторизация целых чисел с экспоненциальной сложностью

§ 2.1. Введение. Метод Ферма

В данной главе мы рассматриваем алгоритмы разложения натурального числа n на множители, делающие O(nc) арифметических операций, где c — некоторая постоянная, 0 < c < 1; либо делающие O(nc1 logc2 n) арифметических операций при некоторых постоянных c1, c2. Мы будем ограничиваться поиском разложения на два множителя: n = ab, 1 < a b < n. Если алгоритм находит такое разложение за O(f(n)) арифметических операций, то полное разложение n на простые множители будет найдено за O(f(n) log n) арифметических операций, поскольку n состоит из произведения не более чем log2 n простых чисел.

Прежде чем приступать к факторизации целого числа, следует убедиться, что оно действительно составное. Для этого лучше всего использовать один из вероятностных тестов на простоту, например, алгоритм Миллера—Рабина из главы 1.

Простейший метод пробных делений для разложения n на множители был описан в § 1.2 главы 1. Он требует O(n1/2) арифметических операций. Другие алгоритмы факторизации, имеющие сложность O(n1/2), можно найти в книге Д. Кнута [25, § 4.5.4] (см. также первое издание этой книги). Мы опишем здесь алгоритм П. Ферма, полученный им в 1643 г. Этот алгоритм вычисляет наибольший множитель a числа n, не превосходящий n1/2. При этом в алгоритме не используется операция деления, а только сложение, вычитание и умножение. Заметим, что если n = pq, где p и q — простые числа, примерно одинаковые по величине, то алгоритм Ферма быстро разложит n. Это следует учитывать при выборе модулей в криптосистеме RSA.

Алгоритм Ферма

Пусть n — составное число, n = ab, где 1 < a b, причем a — наибольшее возможное. Положим a = u − v, b = u + v, где u и v —

58 Гл. 2. Факторизация целых чисел с экспоненциальной сложностью

натуральные числа, u = a +2 b , v = b −2 a, n = ab = u2 − v2. Алгоритм

Ферма ищет представление n в виде n = u2 − v2, откуда получается разложение n = (u − v) (u + v) = ab.

Мы работаем с величинами

rk = x2k − y2k − n, k = 0, 1, 2, . . .

√

Начальное значение (x0, y0) = ([ n], 0). Увеличение номера k происходит по следующим правилам. Если rk = 0, то наша цель достигнута, n = x2k − y2k = (xk − yk) (xk + yk), и алгоритм останавливается. Если

rk > 0, то

(xk+1, yk+1) := (xk, yk + 1),

если же rk < 0, то

(xk+1, yk+1) := (xk + 1, yk);

затем

rk+1 := x2+ − y2+ − n.

k 1 k 1

Наша цель — доказать, что за конечное число шагов алгоритм дойдет до значения rk = 0, и что для первого такого значения справедливо равенство xk − yk = a, где a — наибольший натуральный делитель n, не превосходящий n1/2. Если n является полным квадратом, то это очевидно по определению x0 и y0. Далее мы считаем, что n — не полный квадрат.

Рассмотрим функцию r(x, y) = x2 − y2 − n. Очевидно, что при неотрицательных x и y выполнены неравенства

r(x, y + 1) < r(x, y) < r(x + 1, y).

Кроме того, в алгоритме Ферма xk и yk всегда неотрицательны и не убывают (по построению).

Рассмотрим декартову систему координат на плоскости и решетку целых точек Z2. Она разбивает плоскость на единичные квадраты; каждый квадрат будем нумеровать точкой (x, y), стоящей в его левом нижнем углу. В квадрат, пронумерованный точкой (x, y) Z2 мы впишем знак величины r(x, y): + (плюс), − (минус) или 0, если r(x, y) = 0. Очевидно, что если в некотором квадрате стоит знак − (минус), то и во всех квадратах над ним тоже стоит знак − (минус); если в некотором квадрате стоит знак + (плюс), то и во всех квадратах правее тоже стоит знак + (плюс).

В алгоритме Ферма мы двигаемся по квадратам. Начало движения — квадрат, занумерованный (x0, y0); в нем стоит знак − (минус).

Очередной шаг мы делаем вверх, если в квадрате стоит знак + (плюс), и вправо — если в квадрате стоит знак − (минус). Самый первый шаг мы делаем вправо.

При движении по квадратам в алгоритме Ферма мы не можем двигаться все время вверх, а обязательно будем делать шаги вправо. Пусть мы достигли точки (xk, yk), где yk 1. Покажем индукцией по k, что тогда r(xk, yk − 1) > 0, т. е. под квадратом (xk, yk) стоит знак + (плюс).

Основание индукции мы проверяем для значения k = l, для которого квадрат, занумерованный (xl, yl) = (xl, 1), есть первый квадрат, в котором yl = 1, а (xl−1, yl−1) = (xl−1, 0). В этот квадрат мы пришли снизу, а это означает, что r(xl−1, yl−1) = r(xl, yl − 1) > 0. Это и есть выполнение основания индукции.

В квадрат (xk, yk) мы попали либо слева, либо снизу. Если снизу, то мы наращивали y, и тогда очевидно, что r(xk, yk − 1) > 0. Если слева, то (xk−1, yk−1) = (xk − 1, yk). Тогда по предположению индукции

r(xk−1, yk−1 − 1) > 0.

Из предположения индукции теперь следует, что r(xk−1 + 1, yk−1 − 1) >

(этот момент обязательно наступит согласно доказанному выше). Если yk = v, то мы достигли желаемого результата, r(xk, yk) = 0, алгоритм заканчивает работу и выдает пару (a, b) = (u − v, u + v).

Если yk < v, то r(xk, yk) = u2 −y2k −n= u2 −y2k − (u2 −v2) = v2 −y2k > > 0. В этом случае мы двигаемся вверх, наращивая y, до тех пор, пока

yk+j = v, т. е. мы найдем xk+j = u, yk+j = v, r(xk+j, yk+j) = 0 и алгоритм закончит работу и выдаст пару (a, b) = (u − v, u + v).

Осталось рассмотреть последний случай yk > v. Этот случай невозможен, так как по доказанному выше под квадратом (xk, yk) стоит знак + (плюс), т. е. r(u, yk − 1) > 0. Значит, и всюду ниже стоит знак + (плюс). А в нашем квадрате (xk, yk) = (u, yk),

r(xk, yk) = u2 − y2k − n = v2 − y2k < 0,

т. е. стоит знак − (минус). Значит, 0 здесь нигде не может стоять, а он должен быть в этом столбце, поскольку n = u2 − v2.

60 Гл. 2. Факторизация целых чисел с экспоненциальной сложностью

Итак, мы достигнем в алгоритме точки (xk, yk) = (u, v), получим значение rk = 0 и найдем a = u − v, что и требовалось доказать.

Замечание 2.1. В работе [178] описано некоторое усовершенствование метода Ферма.

§ 2.2. (P − 1)-метод Полларда

Этот метод был впервые описан в работе [218], см. также, [89, гл. 8]. Он основан на следующей идее. Допустим, что у числа n, которое мы хотим разложить на множители, есть простой делитель p такой, что число p − 1 является B-степенно-гладким для некоторой границы гладкости B > 0. Это означает, что для любого простого числа q, q | p − 1,

выполнено неравенство

q q (p−1) B.

Отсюда следует, что p − 1 | НОК(1, 2, . . . , B). Если мы выберем a N такое, что (a, n) = 1, то по малой теореме Ферма

aНОК(1,2,. ..,B) ≡ 1 (mod p).

Следовательно, НОД(aНОК(1,2,. ..,B) − 1, n) делится на p и поэтому содержит нетривиальный делитель n (НОД может быть и равен n).

1 стадия (P − 1)-метода Полларда

В (P − 1)-методе Полларда мы выбираем априорную границу гладкости B, исходя из возможностей нашего компьютера и времени, которое мы рассчитываем потратить. Обычно B 105—106. Далее составляем таблицу q1 < q2 < . . . < qk B всех простых чисел, не превосходящих B, и для каждого qi полагаем

Далее мы выбираем значение a (например, a = 2). Затем последовательными возведениями в степень и приведениями по модулю n вычисляем

(параметр 20 также априорный). Далее вычисляем НОД(P20, n). Если этот НОД тривиальный, то добавляем к P20 следующее произведение длины 20, т. е. находим

снова считаем НОД(P40, n) и так далее. Предположим, что при некотором k 1 оказалось, что НОД(P20k, n) > 1. Тогда мы возвращаемся

по 20 степеней простых чисел, состоит именно в экономии на вычислениях наибольшего общего делителя. Заметим, что поскольку количество простых чисел qi не обязано делится на 20, то последняя порция может быть неполной.

2 стадия (P − 1)-метода Полларда

Предположим, что p | n, p − 1 не является B-степенно-гладким числом, но p − 1 = f · r, где f — B-степенно-гладкое число и r — простое число, B < r < B1. Допустим, что на 1-й стадии (P − 1)-метода Полларда мы вычислили

b = aНОК(1,2,. ..,B) (mod n).

Тогда br ≡ 1 (mod p), и НОД(br − 1 (mod n), n) будет делиться на p по малой теореме Ферма.

Поэтому на 2 стадии (P − 1)-метода Полларда мы находим все про-

стые числа r1, . . . , rN, B < r1 < r2 < . . . < rN < B1, и составляем разности di = ri − ri−1, i = 2, . . . , N. Эти разности обычно невелики и количество

различных таких разностей также невелико (при подходящем выборе B1). Затем мы табулируем элементы bdi (mod n) для всех различных значений di.

62 Гл. 2. Факторизация целых чисел с экспоненциальной сложностью

После этого в алгоритме мы находим x1 ≡ br1 (mod n),

после чего вычисляем

xi ≡ bri (mod n) ≡ xi−1 · bdi (mod n), i = 2, . . . , N,

и находим

НОД(xi − 1 (mod n), n), i = 1, . . . , N.

Здесь также возможна организация вычислений порциями по 20 для экономии количества нахождений наибольших общих делителей.

Замечание 2.2. Оценка сложности (P − 1)-метода Полларда в худшем случае составляет O(n1/2 logc n) арифметических операций. Однако в некоторых случаях алгоритм может быстро выдать делитель числа n. Во всех случаях алгоритм хорошо находит небольшие простые делители n, потому что они являются степенно-гладкими для небольшой границы гладкости B.

Замечание 2.3. Если какой-либо из вычисляемых в алгоритме наибольших общих делителей оказался равным n, то имеет смысл попробовать другое основание a, например, a = 3.

Вывод. На практике (P − 1)-метод Полларда обычно используют до применения более сильных алгоритмов факторизации для того, чтобы отделить небольшие простые делители числа n.

§ 2.3. -метод Полларда

-метод Полларда был впервые описан в работе [219]. С его помощью было разложено на множители число Ферма F8 = 2256 + 1, см. [75]. Усовершенствования этого метода можно найти в работе [71], см. также книги [89; 144; 25, гл. 4; 37]. Поскольку -метод изложен во многих книгах и статьях, мы приводим здесь достаточно конспективное его описание.

Схема -метода.

На входе задано число n N, которое мы хотим разложить на множители.

1 шаг. Выбрать отображение

f : Z/nZ −→ Z/nZ.

Обычно f(x) — многочлен степени большей или равной 2, например, f(x) = x2 + 1.

2 шаг. Случайно выбрать x0 Z/nZ и вычислять члены рекуррентной последовательности x0, x1, x2, . . . по правилу

xi ≡ f(xi−1) (mod n).

3 шаг. Для некоторых номеров j, k проверять условие

1 < НОД(xj − xk, n) < n

до тех пор, пока не будет найден делитель числа n, или пока не закончится время, отведенное для работы алгоритма.

Конец алгоритма.

Замечание 2.5. Выбор номеров j, k на третьем шаге алгоритма обычно делают одним из следующих способов.

1.Для каждого j перебирают все k, k < j; это долго, и требуется большая память компьютера.

2.Рассматривают пары k и 2k, т. е. проверяют условие 1 < НОД(x2k − xk, n) < n.

3.Если j заключено в пределах 2h j < 2h+1, где h N, то полагают k = 2h − 1.

Замечание 2.6. Основная идея -метода очень проста. Если период последовательности xi (mod n) может быть порядка n, то период последовательности xi (mod p) для простого делителя p числа n не превосходит p. Это значит, что xj и xk могут быть различными по модулю n, но совпадать по модулю p, т. е. p | НОД(xj − xk, n).

Замечание 2.7. Для нахождения периодов рекуррентных последовательностей мы рекомендуем методы, описанные в работе [246]. Именно на этих методах основан оптимальный алгоритм выбора номеров j и k на третьем шаге алгоритма. Более детальное описание реализаций различных выборов j и k см. в [37; 89; 144].

-метод Полларда имеет эвристическую оценку сложности O(n1/4) арифметических операций. Он очень популярен и обычно используется для отделения небольших простых делителей факторизуемого числа n. Покажем, как получается оценка его сложности.

Утверждение 2.8. Пусть S — фиксированное множество из r элементов, f — какое-либо отображение f: S → S, x0 S, по-

(f, x0) (где f пробегает все отображения из S в S и x0 пробегает

64 Гл. 2. Факторизация целых чисел с экспоненциальной сложностью

все множество S), у которых x0, x1, x2, . . . xl попарно различны, среди всех пар (f, x0) не превосходит e− .

Доказательство. Всего имеется rr · r = rr+1 различных пар (f, x0).

что и требовалось доказать.

не превосходит той же величины e− , что и доля наборов (f, x0 (mod p)), где f : Z/pZ −→ Z/pZ, у которых различны элементы короткого набора x0 (mod p), . . . , xl(p) (mod p). Из этих рассуждений вытекает следующий результат (см. [144]).

Теорема 2.9. Пусть n — нечетное составное число, p — про-

√

стой делитель n, p < n, f(x) Z [x], x0 Z, причем f хорошо редуцируется к модулю n, т. е. f корректно определяет отображение

f : Z/nZ −→ Z/nZ.

Предположим также, что f(x) хорошо редуцируется к модулю p. Если пара (f, x0 (mod p)) является не слишком редкой по своим статистическим свойствам, то -метод Полларда найдет p за O(n1/4 log3 n) битовых операций.

Точнее, существует константа c, такая, что для любо-

го > 0 вероятность не найти нетривиальный делитель n

√

за c · n1/4 · log3 n битовых операций будет меньше, чем e− . Другой метод получения оценки сложности -метода Полларда

можно найти в [89, гл. 8]. Рассуждения являются эвристическими

66 Гл. 2. Факторизация целых чисел с экспоненциальной сложностью

Воспользуемся этой леммой и положим в алгоритме k = rs [n1/3].

Тогда

4kn = 4rspq = (pr + qs)2 − (pr − qs)2.

Следовательно,

(pr + qs)2 − 4kn = (pr − qs)2 = B2,

где B = |pr − qs| < n1/3. Пусть

и имеет с n общий делитель, равный p, так как n нечетно и не делится на все числа, не превосходящие n1/3, а r < n1/3. То есть мы с помощью НОД(A ± B, n) разложим n на множители.

Доказательство леммы 2.10. Если p = q, т. е. n = p2, то утверждение леммы выполнено для r = s = 1. Далее будем считать p < q.

Разложим q/p в непрерывную дробь. Мы обозначаем pj/qj j-ю подходящую дробь к q/p. Тогда

p0 = [q/p], q0 = 1, 0 < p0q0 < n1/3,

pmqm < n1/3, pm+1qm+1 > n1/3.

Такой номер обязательно найдется, поскольку у последней подходящей дроби знаменатель qN = p > n1/3. Докажем, что r = pm и s = qm удовлетворяют утверждению леммы. Очевидно, что rs < n1/3. Далее,