Все о крипто / КРИПТОГРАФИЯ. Первое знакомство / Приложение 2

Приложение 2.

Поля Галуа

Определение Поля.

Пусть на множестве U заданы две операции: типа сложения (+) и типа умножения (*).

Пусть множество U с операцией + образует коммутативную группу с нейтральным элементом 0.

Пусть множество U/0 (с выколотым нулем) с операцией * (умножения) образует группу.

Тогда множество (U,+,*) – поле.

В соответствии с определением поля можно построить поля из конечного числа элементов с операциями сложения и умножения по простому модулю p, так называемые простые поля Галуа GF(p).

Так, можно построить поля GF(2), GF(3), GF(5), и т.п. Например,

GF(2):

Таблица сложения:

+	0	1
0	0	1
1	1	0

Таблица умножения

*	0	1
0	0	0
1	0	1

GF(3):

Таблица сложения:

+	0	1	2
0	0	1	2
1	1	2	0
2	2	0	1

Таблица умножения

*	0	1	2
0	0	0	0
1	0	1	2
2		2	1

GF(5:

Таблица сложения:

+	0	1	2	3	4
0	0	1	2	3	4
1	1	2	3	4	0
2	2	3	4	0	1
3	3	4	0	1	2
4	4	0	1	2	3

Таблица умножения

*	0	1	2	3	4
0	0	0	0	0	0
1	0	1	2	3	4
2	0	2	4	1	3
3	0	3	1	4	2
4	0	4	3	2	1

Поля полиномов Галуа

Поля можно построить в совершенно другой форме, а именно, как поля многочленов по модулю некоторого неприводимого многочлена над простым полем GF(p). В этом случае порядок поля (число его элементов) равен p^h, где p- простое, h – целое.

Пусть F(p) – простое поле Галуа порядка p. Рассмотрим множество

многочленов вида: f (X) = a_oX+a₁X²+…+a_kX^k, где a_i Î F(p), где I € 0,1,2, 3,…k. Таким образом, коэффициенты принимают значения из F(p), а операции сложения и умножения выполняются по mod p. Если a_k ¹ 0, то многочлен f (X) имеет степень h. Множество всех многочленов, имеющих степень h и меньше, будем обозначать F^(k)[X]. Введем операции сложения и умножения многочленов над полем F(p):

f(X) + g(X) =å (f_i + g_i) Xⁱ.

f(X) *g(X) =åå (f_i *g_i-j)Xⁱ.

Например, fX) = f₀ + f₁X. g(X) = g₀+g₁X+g₂X². Тогда

f(X) + g(X) = (f₀ + g₀) +( f₁ + g₁)X + g₂X².

f(X) *g(X) = (f₀g₀) + (f₀g₁ +f₁g₀) X + (f₁g₁ + f₀g₂)X² +f₁g₂X³.

Из примеров видно, что степень результирующего полинома при сложении равна максимальной степени слагаемых, а при умножении – сумме максимальных степеней многочленов.

Примеры.

Сложить и перемножить многочлены :

1. f(X) = f₀ + f₁X + f₂X²; g(X) = g₀ + g₁X + g₃X³.

2. f(X) = f₀ + f₂X² + f₅X⁵; g(X) = g₁ + g₂X² + g₄X⁴.

3. f(X) = f₁X + f₃X³ + f₄X⁴; g(X) = g₀ + g₁X + g₂X².

А теперь сделайте то же самое, если задано числовое поле (модуль):

4. f(X) = 1 + X + X²; g(X) = 1 + X + X³. p = 2.

5. f(X) = 2 + X² + 2X⁵; g(X) = 1 + 2X² + X⁴. p = 3.

f(X) = 3X + 2X³ + X⁴; g(X) = 4 + 3X + 2X₂ p = 5

Если допускать получение многочленов всех возможных степеней, то множество многочленов образует кольцо с операциями сложения в простом пол и умножения.

Для любых двух многочленов f(X) и g(X) существуют и притом единственные многочлены a(X) и r (X) такие, что

f(X) = a(X)*g(X) + r(X), Если r(X) = 0, то g(X) делит f(X) нацело.

Примеры.

Найти остатки от деления многочленов:

1. X⁵ Å X² Å X на X³ Å X² Å X Å1 в поле F(2) – 1

2. 2X⁴ Å X² Å 2 на X³ Å 2X² Å 2X Å1 в поле F(3) – 2X²

3. 3X⁵ Å 2X³ Å 1 на X² Å 4X Å 3 в поле F(5) – 4X.

Если в F(X) нет ни одного многочлена, степени большей 0,

который бы делил нацело f(X) за исключением кратных f(X), т.е. многочленов виде b*f(X), то многочлен f(X) называется неприводимым.

Найдем неприводимые многочлены некоторых степеней над полем F(2): Два многочлена первой степени X Å 1 и X считаются неприводимыми. Многочлен второй степени вида X² Å a X Å b будет неприводимым над полем F(2) если он не будет делиться ни на один из двух многочленов первой степени, а это означает, что он не должен иметь корней в поле F(2). Если он имеет корень а, то будет делиться на X Å а. Откуда F(0) = b ¹ 0. F(1) = a Å b Å 1¹ 0. значит, что он имеет вид: X² Å X Å 1. Многочлен третьей степени имеет общий вид: X³ Å a X^2Å b X Å c. Он не должен делиться ни на один многочлен первой степени (проверять делимость на многочлены второй степени не требуется). Поэтому он не должен иметь корней в поле F(2):

F(0) = c = 1; F(1) = 1 Å a Å b Å 1 = 1. Т.е. либо a либо b должны равняться 1, но не оба вместе. Т.е. имеется два неприводимых многочлена второй степени в поле F(2): X³ Å X² Å 1 и X³ Å X Å 1.

Неприводимые многочлены 4-й степени имеет вид:

X⁴ Å X³ Å X² Å X Å 1; X⁴ Å X Å 1; X⁴ Å X³ Å 1.

Возьмем какой - нибудь неприводимый многочлен, например, X³ Å X² Å 1. Любой многочлен большей степени в поле F(2) при делении на него будет давать остатки: {(0), (1) (X), (XÅ1), (X²), (X^2Å1), (X^2ÅX), (X^2ÅXÅ1)}. Каждый из этих остатков образует класс вычетов по модулю неприводимого полинома. А их совокупность по сложению и умножению по модулю неприводимого полинома образует поле F(p^h).

Элемент поля F(p) a такой, что f(a) = 0, называется корнем полинома f(X) в поле F(p).

Пример.

1. Найдите корни многочлена X² Å X Å 1 в полях F(2), F(3), F(5), F(7).

2. Найдите корни многочлена X^4ÅX³ Å1 в тех же полях.

Комплексное число a называется алгебраическим корнем степени h, над полем F(p), если оно удовлетворяет уравнению P(X) = 0, где P(X) – многочлен степени h, но не удовлетворяет никакому уравнению с многочленом меньшей степени. Это влечет за собой неприводимость многочлена P(X). Все p^h элементы поля F(p^h) могут быть представлены в виде: S c_i aⁱ, где 0 c_i p-1;0 i h-1.

При вычислениях степень a^s , где s ³ h заменяется на меньшую в соответствии с уравнением P(a) = 0.

Пусть, например, p = 3, h = 2 и a удовлетворяет уравнению X²-X-1 =0. Видно, что это уравнение не имеет корней в поле F(3). Элементы поля F(3²) можно выразить как 0,1,2, a,a + 1, a + 2; 2a, 2a + 1, 2a + 2.

При вычислениях понижение степеней производится с использованием равенства a² = a + 1. Это можно показать следующим образом. Все операции в поле выполняются по модулю неприводимого полинома X²-X-1. Например, X⁵ мы должны разделить на этот полином и найти остаток. В результате деления получаем 2X³ + 2X² + X – частное и остаток 2X. Этот же результат можно получить, если производить замену в соответствии с равенством a² = a + 1: a⁵ = a²*a²*a = (a +1)( a +1) a = (a² + 2a +1)* a = (a +1 +2a +1)* a = 2a.

Элемент b ¹ 0 поля F(p^h) называется образующей F*(p^h) мультипликативной группы ненулевых элементов поля F(p^h), если степени bⁱ , i = 0,1,2,3,…p^h –1 пробегают все ненулевые элементы поля. Образующая может рассматриваться как основание log. Такие логарифмы называются дискретными логариымами. Рассмотрим, например, все 8 степеней (кроме нулевой) корня a в приведенном примере и запишем результат виде таблицы:

i	1	2	3	4	5	6	7	8
a	a	a + 1	2a + 1	2	2a	2a + 2	a + 2	1

Из таблицы видно, что a является образующей. Эта таблица может быть представлена как таблица дискретных логарифмов. Для этого в верхней строке запишем упорядоченные элементы поля, а в нижней – степени образующего элемента, при котором получаем данный элемент

y	1	2	a	a + 1	a + 2	2a	2a + 1	2a + 2
Loga y	8	4	1	2	7	5	3	6

Считается, что вычисление дискретных логарифмов является такой же трудоемкой задачей, что и задача факторизации (разложение на множители). Таблица Log может использоваться для выполнения умножения и деления элементов поля. Заметим, что эти операции выполняются по модулю p^h –1, в данном случае по модулю 8. Например, Log ((a + 2)( 2a + 1) = Log (a + 2) + Log (2a + 1 ) = 7 + 3 = 10 º 2 mod 8 º 2. А двойке соответствует a + 1.

Log ((a + 1)/( 2a + 2) = 2 – 6 = - 4 º 4 mod 8, чему соответствует элемент 2

Проверка показывает, что кроме элемента a образующими также являются элементы 2a + 1, a + 2 и 2a. Число образующих элементов поля равно j (p^h –1 ).

Упражнение. Найдите число образующих элементов для полей Галуа: F (3⁴), F(5²), F (7²), F (11⁵), F(13⁴).

1.12. Квадратичные вычеты. Символ Лежандра. Символ Якоби.

Рассмотрим поле Галуа F(p^h) при p>2 и h - целом. Исключим из элементов поля нулевой элемент, а оставшееся множество обозначим F*(p^h). Если некоторый элемент a Î F*(p^h) есть квадрат некоторого элемента x Î F*(p^h), то a называют квадратичным вычетом, если же такого элемента x не найдется в F*(p^h), то a называют квадратичным невычетом.

Пример. Рассмотрим поле F(3²). Все элементы поля можно представить в виде: 0,1,2,a, a + 1, a + 2,2a,2a + 1,2a + 2, где a - корень некоторого неприводимого полинома степени 2 над полем F(3). Возьмем в качестве такого полинома P(X) = X²-X-1. Тогда P(a) = a²-a-1 = 0. При выполнении вычислений будем производить замену: a² = a+1. F*(3²) будет содержать все те же элементы кроме элемента 0, а именно: 1,2,a, a + 1, a + 2, 2a, 2a + 1, 2a + 2. Будем последовательно возводить в квадрат все элементы поля (кроме нулевого) и выявлять квадратичные вычеты:

1² = 1; 2² = 1; a² = a+1; (a+ 1)² = a² + 2a+1 = a+1 + 2a+1 = 2;

(a+ 2)² = a² + 4a+4 = (a+ 1) + 4a+4 = 2a+2; (2a)² = 4a² = (a+ 1);

(2a + 1)² = 4a² + 4a + 1 = a+ 1 + 4a + 1 = 2a + 2; (2a + 2)² = 4a² + 8a + 4 = a² + 2a + 1 = 2.

Таким образом элементы 1, 2, a = 1 и 2a + 2 являются квадратичными вычетами, а остальные элементы a, a + 2, 2a и 2a + 1- квадратичными невычетами.

Упражнения.

Найдите квадратичные вычеты и квадратичные невычеты в полях Галуа:

F(3³), F(5²).

Пусть теперь h = 1. Рассмотрим поле F(p) с элементами 0,1,2,...,p-1. Если исключить элемент 0, то для остальных элементов поля можно также определить, являются они квадратичными вычетами или невычетами. Ясно, что элемент a, 1 £ a £ p-1 будет квадратичным вычетом по модулю p тогда и только тогда, когда выполняется сравнение:

x² º a mod p, где x - также является элементом поля F(p).

Рассмотрим пример. Пусть p = 7. Тогда

1² º 1 mod 7; 2² º 4 mod 7; 3² º 2 mod 7; 4² º 2 mod 7; 5² º 4 mod 7; 6² º 1 mod 7. Таким образом, квадратичными вычетами являются числа: 1,2,4. А квадратичными невычетами числа: 3,5,6.

Если a - квадратичный вычет по модулю p, полученный возведением в квадрат числа x, то это же число будет получено возведением в квадрат числа

-x º p - x mod p. Поэтому все квадратичные вычеты по модулю p можно найти возведением в квадрат чисел 1,2,3,...,(p-1)/2. Таким образом для любого p имеется ровно (p-1)/2 квадратичных вычетов и столько же квадратичных невычетов.

Упражнения.

a) Найдите квадратичные вычеты и квадратичные невычеты по простым модулям p = 11,13,17,19,23.

Символ Лежандра для целого a и простого p > 2 определяется следующим образом:

0, если p делит a.

= í 1, если a - квадратичный вычет по модулю p

-1, если a - квадратичный невычет по модулю p.

Понятно, что a можно заменить любым целым числом, сравнимым с a

по модулю p, при этом символ Лежандра не изменится. Вычисление символа Лежандра удобно производить по формуле:

= a^(p-1)/2 mod p. Действительно, = 8² º -1 mod 5.

Упражнения.

Вычислите следующие символы Лежандра:

, , , , , .

Символ Якоби является обобщением символа Лежандра на случай произвольного нечетного модуля n > 2. Пусть число n представлено в канонической форме: n = p₁^s1p₂^s2...p_k^sk. Тогда символ Якоби определяется как произведение символов Лежандра:

= ^{s1 s2}... ^sk

Например, пусть n = 363825=3³5²7²11¹. Найдем символ Якоби для числа a = 863. Сначала найдем наименьший положительный вычет числа 863 по модулям p = 3,5,7 и 11.

863 º 2 mod 3; 863 º 3 mod 5; 863 º 2 mod 7; 863 º 5 mod 11.

Тогда символ Якоби можно вычислить следующим образом:

= ^{3 2 2 1} = ^{3 2 2 1} =

(2^1º -1 mod 3)³ (3² º -1 mod 5)² (2³ º 1 mod 7)² (5⁵ º 1 mod 11)¹ =

(-1)(1)(1)(1) = -1. Т.е. число 863 является квадратичным невычетом по модулю 363825.

Для произведения чисел выполняется свойство мультипликативности:

=

Тогда

= = .

Для некоторых значений a символ Якоби вычисляется без перевода n в каноническую форму следующим образом:

= 1; = (-1)^(n-1)/2; = (-1) ^(n2-1)/8. Квадрат!

При вычислении символа Якоби основное сведение выполняется на основе закона взаимности:

= (-1) ^(m-1)(n-1)/4 , где m и n - нечетные числа большие 2.

Если не выполняется сравнение m º n º 3 mod 4, то

= .

Если же это сравнение выполняется, то

= - .

Пример.

Определить, является ли число a = 369 квадратичным вычетом или квадратичным невычетом по модулю 247 ?

369 º 1 mod 4, поэтому можно вычислить:

= = = = = = -1.

Т.е. 369 является квадратичным невычетом по модулю 247.

Упражнения.

Определить символы Якоби в следующих случаях:

1. b) c) .

Для криптографических систем представляет интерес случай, когда n является произведением двух простых чисел p и q, т.е. n = pq. Требуется определить, является ли некоторое число a квадратичным вычетом или квадратичным невычетом по модулю n? Т.е. существует ли такое x, что выполняется сравнение:

x² º a mod n.

Некоторое число a будет квадратичным вычетом по модулю n = pq если и только если оно будет квадратичным вычетом как по модулю p, так и по модулю q. Если рассмотреть множество чисел: 1,2,3,..., n-1 и исключить из него все числа, кратные p и (или) q, то в точности половина из оставшихся чисел будет удовлетворять условию: = 1, а вторая половина будет удовлетворять условию: = -1. Более того, из чисел a, удовлетворяющих условию = 1 половина будет квадратичными вычетами, а именно такие числа a, для которых = = 1. Другая половина, для которых = = - 1, будет квадратичными невычетами.

Пример. Пусть p = 3, q = 5, тогда n = 15. Квадратичными вычетами по модулю 15 будут числа a = 1 и 4. Квадратичными невычетами будут числа a = 2 и 8.

Если известно, что некоторое a является квадратичным вычетом по модулю n = pq, но простые числа p и q неизвестны, то решение сравнения (нахождение x из сравнения): x² º a mod n является важной, но очень сложной задачей в криптографии с открытым ключом.