ных началах участвовало примерно 600 человек. Была проведена колоссальная теоретическая и организационная проработка организации всех аспектов работы по расшифровке данного криптотекста. Для этого через Internet были задействованы ресурсы 1600 компьютеров из более 20 стран. Организаторы расшифровки использовали суперкомпьютер – MasPar. Данные были занесены в 0-1 матрицу из 188346 строк и 188146 столбцов. Файл с этой матрицей превосходил 4 Гб, причем каждый бит был существенным. Непосредственные вычисления проводились непрерывно в течение 220 дней. 129-значное число было разложено на 64- и 65значные множители:

p 3 490 529 510 847 650 949 147 849 619 903 898133 417 764 638 493 387 843 990 820 577; q 32 769 132 993 266 709 549 961 988190 834 461 413177 642 967 992 942 539 798 288 533.

После этого достаточно быстро было восстановлено зашифрованное сооб-

щение: «The magic words are squeamish ossifrage».

§4.3. Криптосистема Эль Гамаля

Данная криптосистема, предложенная Таиром Эль Гамалем, появилась в 1985 г. как реакция на излишнюю сложность криптосистемы RSA. Ее криптографическая стойкость базируется на иной проблеме – проблеме дискретного

логарифма: решение уравнения a x b в кольце Z / pZ с простым p на сегодняшний день осуществляется единственным способом – последовательным

перебором степеней a до получения требуемого класса вычетов b. Проблема и состоит в нахождении иного, не переборного метода определения степени x в данном уравнении.

В основе криптосистемы Эль Гамаля лежит большое простое число P. Для реальных, не учебных, криптосистем оно должно содержать от 150 до 300 десятичных знаков. А это означает, что P находится в диапазоне от 2512 до 21024. Как мы знаем, кольцо классов вычетов Z /PZ является полем, т. е. кольцом, в котором все ненулевые элементы обратимы относительно умножения. Соглас-

но теореме 1.3.5 мультипликативная группа Z / PZ является циклической, т. е. представляет собой цепочку степеней одного из этих элементов. Пусть g од-

на из таких образующих мультипликативной группы Z / PZ . Параметры P и g общедоступны, считаются открытыми ключами криптосистемы.

Секретным ключом криптосистемы может быть в принципе любое натуральное число x. Его знают оба пользователя криптосистемы – и отправитель,

и адресат. Величина же h gx (modP) является третьим открытым ключом криптосистемы. Информационным сообщением в этой криптосистеме может быть любое число c, интерпретируемое как ненулевой элемент поля Z /PZ. Для передачи сообщения c или нескольких сообщений за короткий промежуток времени отправитель формирует сеансовый ключ k. Адресат его не знает.

Сообщение шифруется умножением в поле Z / PZ на K hk (modP). Таким

20

образом, шифрованное сообщение m cK(modP). Адресату отправляется со-

остается узнать истинное сообщение по формуле c m K 1(modP).

Пример 1.4.7. Пусть P 23. Непосредственная проверка показывает, что в качестве образующей g в Z /23Z можно взять g 5.

Пусть секретный ключ x 7. Тогда

h 57(mod23) 52 52 52 5(mod23) 2 2 2 5(mod23) 40(mod23) 17(mod23).

Итак, h 17. Возьмем k 3. Тогда K hk (modP) 173(mod23) 14(mod23).

Osk gk (modP) 53(mod23) 10(mod23). Осталось выбрать сообщение.

Пусть c 20. Тогда m cK(modP) 20 14(mod23) 4(mod23). Адресату отправляется пара чисел (m, Osk ) (4,10). Величины (P, g, h, x) (23,5,17, 7) он должен знать заранее.

Получатель вычисляет K Oskx (modP) 107 (mod23) 14. Легко видеть,

что K 1(mod23) 5. Тогда c m K 1(modP) 4 5(mod23) 20.

§4.4. Криптосистема Рабина

Данная криптосистема также явилась результатом переосмысления криптосистемы RSA. М. Рабин заинтересовался вопросом выбора ключа e в криптосистеме RSA. Там e всегда взаимно просто с (n) и, в частности, всегда нечетно. А что произойдет, если взять e четным, например e 2? В результате подробного рассмотрения и появилась следующая модификация криптосистемы RSA – криптосистема Рабина.

Пусть p и q два различных простых числа. Пусть N pq. Зафиксируем число B, 0 B N. Пара N, B есть пара открытых ключей криптосистемы Рабина. Сообщение c рассматривается как элемент кольца Z /NZ и шифруется формулой m c(c B)(modN). Ясно, что такой способ шифрования реализуется гораздо быстрее, чем в криптосистеме RSA.

Расшифровка здесь представляет гораздо более «вязкую» процедуру даже для законного получателя криптотекста. Фактически сообщение c есть один из

корней квадратного уравнения x2 Bx m 0 в кольце Z / NZ. В этом кольце 2 является обратимым элементом. Поэтому для решения квадратного уравнения

21