Вопрос 6 Криптосистемы с открытым ключом

Определение. Криптосистемой с открытым ключом, или асимметричной, называется конструкция вида (K,{M_k},{C_k},E_k,D_k), где

• К — пространство ключей, элементы К имеют вид k=(e,d), e называется открытым ключом или открытой компонентой ключа (public key), d называется закрытым ключом или закрытой компонентой ключа (secret key);

• {M_k}_k_K— пространства сообщений; [C_k}_k_K— пространства шифрограмм;

• взаимно однозначная функция шифрования E_k:M_kC_k эффективностроится по открытому ключу е и является односторонней с ловушкой d;

• функция дешифрования D_k:C_kM_k эффективно строится по закрытому ключу d;

• для любого тM_k справедливо равенство D_k(E_k(m))=m.

Хорошо, если для любых k_1,k₂K выполняется M_k1 =M_k2 C_k1 =C_k2 .

Также для сокращения записи будут использоваться следующие обозначения:

k(m) = E_k(m) — шифрование открытой компонентой ключа k;

k ^-1(c) = D_k(c) —дешифрование закрытой компонентой ключа k.

Вопрос 7 Факторизация

Для пары простых чисел (p,q) положим f(p,q)=pq. Тогда в качестве трудновычислимой функции рассматривается обратная функция f^-1(n) — факторизация.

Наилучший из известных алгоритмов разложения числа общего вида на множители называется general number field sieve и имеет асимптотическую оценку времени работы:

Последний на момент написания данной работы рекорд— в 1996 г. разложено на множители число, состоящее из 130 десятичных цифр.

Если простые сомножители имеют специальный вид, известны более эффективные алгоритмы факторизации:

• если р-1 «гладкое», т. е. имеет только малые простые делители, может применяться алгоритм Полларда;

• если р+1 «гладкое», т. е. имеет только малые простые делители, может применяться алгоритм "р+1".

Некоторое время назад в литературе рекомендовалось при построении криптосистем на основе факторизации выбирать в качестве простых сомножителей р и q сильные простые числа (strongprimes), т, е. такие, что р±1 и q±1 имеют большие простые делители. Иногда от этих делителей требуют наличия того же свойства. Однако с появлением алгоритма факторизации с использованием эллиптических кривых, класс чисел, допускающих быструю факторизацию, расширился и простые критерии проверки принадлежности данному классу утратили свою значимость. Поэтому, единственным разумным критерием может служить размер простых множителей, поскольку с увеличением размера уменьшается вероятность выбрать число специального вида. В 1995 г. корпорация RSA Data Security рекомендовала выбирать размер п равным 1024 или 2048 битам.

Вопрос 8 Дискретный логарифм

Пусть G— некоторая циклическая конечная группа. Для aG, xN положим g_a(x)=a^x. Тогда трудновычислимой считается обратная функция g_a^-1 — дискретный логарифм. Обычно в качестве элемента а берется образующий элемент группы G. При этом дискретный логарифм можно вычислять для любого элемента группы и все возможные значения показателя х образуют группу Z_|G| с операцией сложения, где | G | — порядок группы. Дискретный логарифм в общем случае трудно вычислить во всех группах, перечисленных в п. 3.1. Наилучший из известных алгоритмов вычисления дискретного логарифма в произвольной абелевой группе G имеет асимптотическую оценку времени исполнения O(q^1/'²), где q — наибольший простой делитель порядка группы | G |. Следовательно, для того чтобы дискретный логарифм в Z_p^* было трудно вычислить, р должно быть равно qt+1, где q — большое простое число.

Наилучший из известных на сегодняшний день алгоритмов вычисления дискретного логарифма в Z_p^* называется general number field sieve, основывается он на тех же принципах, что одноименный алгоритм факторизации, и имеет аналогичную асимптотическую оценку времени работы:

. [1]