3_Analiz_stoykosti_KS_RShA
.pdfЛекция 3
Криптосистема РША и анализ ее стойкости
1. Принцип построения КС РША 1978г.
Формирование пар открытых/закрытых ключей для КС РША
Каждый пользователь КС РША, допустим А, выполняет следующие операции для формирования пары ключей:
1) генерирует пару простых чисел p и q;
2) |
вычисляет n = p ∙ q и функцию Эйлера |
n p 1 q |
||||||
|
|
|||||||
3) |
генерирует e, где |
1 e |
|
, такое что |
gcd e, |
|
||
|
|
|
|
; |
|
|||
4) |
находит число d e |
1 |
mod |
|
, т. е. решение уравнения |
e |
||
|
||||||||
|
|
|
|
|
|
|
|
|
1 ; 1
d 1mod ;(n)
5) выбирает числа e, n как свой открытый ключ, а d – как свой секретный ключ.
Описанные выше операции могут быть выполнены достаточно быстро даже для чисел n, имеющих 100 и более десятичных разрядов.
Действительно, операции выполняются следующим образом:
1)случайнымгенерированиемчиселитестированиемМиллера– Рабина;
2)обычнымумножением,чтотребует O(log p2 ) битовыхопераций;
3)использованиемалгоритмаЕвклида;
4)припомощирасширенногоалгоритмаЕвклидадлянахождения обратногоэлемента.
Всяпроцедурагенерированияпарключейвыполняетсяодинразна длительноевремядействияэтихключей.
Шифрование в КС РША
Предположим,чтопользовательВ хочетпередатьпользователюА сообщениеM взашифрованномвиде.Дляэтогоонвыполняет следующиешаги:
1)получаетподлинныйоткрытыйключпользователяА (eA , nA );
2)преобразуетсообщениеM впоследовательностьцелыхчисел M1 , M2 , … , Mi , … , непревосходящих(nA – 1);
3)длякаждогочисла Mi ,соответствующегочастисообщения,
формируеткриптограмму сi поправилу отправляетрезультатпользователюА.
c |
i |
|
M |
e |
A |
mod n |
|
|
|
|||
|
|
|
|
|
|
i |
|
|
A |
и
Видно,чтопроцедурашифрованияможетбытьвыполненадостаточно быстроприиспользованииалгоритмабыстроговозведениявстепень помодулю.
Дешифрование в КС РША
ПользовательА длядешифрованияпредназначеннойему криптограммы ci выполняетследующиеоперациисиспользованием своегосекретногоключа dA:
а)дешифрует
M |
|
c |
|
d |
A |
mod n |
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
i |
|
i |
|
|
|
A |
, i = 1,2,…;
б)преобразуетчислоMi всодержательныйвид(форму представленияинформации).
Видно,чтооперациядешифрованиявыполняетсядостаточнобыстро.
Пример системы РША
p=3, q=11 N=33
( N) 20
Генерирование ключей e=7, НОД(7,20)=1 d=7-1(mod20) = 3
Шифрование
m=6 E=(me)modN= 67mod33=(62 62 62 61)mod33= =3*3*3*3*2=30
Расшифрование
EdmodN=(303)mod33=(900*30)mod33=(9*30)mod33=6
Докажем, что представленная выше процедура дешифрования
действительно позволяет получить истинное сообщение M = Mi , которое и было ранее зашифровано. cd mod n (M e )d mod n M
Доказательство. Посколькупоусловиюe d 1 mod ,то существуеттакоечисло«k»,чтоe ∙ d = 1 + k ∙ φ.Предположим сначала,чтоgcd(M, p) = 1,тогдапотеоремеФермаимеем
|
M p-1 = 1 mod p . |
(3.1) |
Возведемобечасти(3.1)встепеньk(q – 1),азатемумножимобечасти наM:
|
M1+k (p – 1)(q – 1) = M mod p . |
(3.2) |
Рассмотримпоказательстепенивлевойчастиравенства(3.2):
|
1 +k(p – 1)(q – 1) = 1 + k ∙ φ = e ∙ d |
Подставляяэтовыражениев(3.2),получимM1+k (p – 1)(q – 1) = M e ∙ d . Из равенства(3.2)получаем,чтоM e ∙ d = M mod p ,но,сдругойстороны, M e = c,следовательно, cd = M mod p ,чтоитребовалосьдоказать.
Еслитеперьотказатьсяотзаданногоранееусловия, то обязательно должно выполняться условие, что
соотношение (3.2) будет тривиально выполняться, так равны0помодулюр.
что gcd |
|
M , p |
|
1, |
||||
|
|
|||||||
gcd |
|
M , p |
|
p |
, и |
|||
|
|
|
|
|
|
|||
как обе его части |
||||||||
В |
итоге |
получаем, |
что во |
всех |
случаях |
c |
d |
|
M
mod
p
. |
Следуя |
аналогичнойтехнике,можнодоказать,что |
c |
d |
||||
|
||||||
|
|
|||||
различные простые числа, и, |
следовательно, |
|||||
китайскойтеоремеобостаткахполучаем,что |
||||||
c |
d |
M mod p q c |
d |
|
||
|
|
|||||
M mod q ,апосколькуp они взаимно простые, то
M mod n .
иq по
Последнееравенстводоказывает,чтоиспользуемаявРШАпроцедура дешифрования,действительно,восстанавливаетисходноесообщение.
2. Анализ стойкости КС РША
Основные атаки на КС РША
1. Атака факторизации n
Для КС РША имеем следующие соотношения, связывающие ключи,
сообщение и криптограмму:
с = M e mod n ; M = cd mod n ;
n = p ∙ q; (3.3) e ∙ d = 1 mod φ ;
φ= (p – 1) ∙ (q – 1).
Из уравнений (3.3) видно, что система РША может быть вскрыта, если удастся найти p и q, т. е. факторизовать n.
Исходяизэтогофактаp иq должнывыбиратьсятакойбольшой разрядности,чтобыфакторизациячислаn потребоваланеобозримо большоговремени,дажесиспользованиемвсехдоступныхи современныхсредстввычислительнойтехники.