Лабораторная работа № 6 КВАДРАТИЧНЫЕ ВЫЧЕТЫ. КРИПТОСИСТЕМА РАБИНА

Цель работы: изучение квадратичных вычетов и шифрования с помощью криптосистемы Рабина.

n (quadratic nonresidue modulo n).

Множество квадратичных вычетов по модулю n обозначается как QRn , а

невычетов – как QNRn .

Пример 6.1. Вычислим QR11 – множество всех квадратичных вычетов по модулю 11.

QR11 = {12 , 22 , 32 , 42 , 52 , 62 , 72 , 82 , 92 , 102 }(mod11) = {1, 3, 4, 5, 9}.

Но на самом деле достаточно возвести в квадрат по модулю 11 лишь

67

2. Существует ровно p − 1 квадратичных вычетов по модулю p , т. е. 2

Z pZ * разбивается на два подмножества QRp и QNRp , состоящих из одинакового количества элементов.

Следствие 6.1. Пусть p – простое число. Тогда любое число a QRp имеет ровно два квадратных корня по модулю p . Обозначим один из них буквой x ,

тогда второй корень равен

− x = p − x .

Теорема 6.2 (Критерий Эйлера). Пусть p – простое число. Для любого числа x Z pZ * условие x QRp выполняется тогда и только тогда, когда

p−1

x2 º1(mod p).

Вычисление квадратичных корней по простому модулю

Случай p ≡ 3,7(mod 8).

Для a QRp его квадратным корнем по модулю p будет

Вычисление квадратных корней по составному модулю

Если n = p × q , где p и q – простые числа, отношение

x2 º y(mod n)

выполняется тогда и только тогда, когда оно справедливо как по модулю p , так и по модулю q .

68

Число y QRn имеет в ZnZ * ровно четыре квадратных корня, которые вычисляются так:

x (mod p) x1 = p ( ) ,

xq mod q

Теорема 6.4. Пусть n = p × q , где p и q – разные нечетные простые числа и y QRn . Тогда четыре корня числа y обладают следующими свойствами:

1)все они отличаются друг от друга;

2)x1 + x4 = x2 + x3 = n .

Криптосистема Рабина

Криптосистема, разработанная Рабином (Rabin), основана на сложности вычисления квадратного корня по модулю составного числа.

Стойкость этой криптосистемы эквивалентна неразрешимости задачи разложения целых чисел на множители. Алгоритм шифрования чрезвычайно эффективен и пригоден для многих практических приложений, например, для шифрования с помощью портативных устройств.

69

Выбираем два простых числа p и q , удовлетворяющих условию p ≈ q ,

n = p × q .

Выбираем число b ZnZ *.

Используем пару (n, b) в качестве параметров открытого ключа и запоминаем пару (p, q) в качестве параметров закрытого ключа.

Шифрование

Для того, чтобы послать секретное сообщение m ZnZ *, создаем зашифрованный текст

c ≡ m(m + b)(mod n).

Расшифровка

Для того чтобы расшифровать текст c , нужно решить квадратное уравнение m2 + bm − c ≡ 0 (mod n), где m < n .

Общее решение квадратного уравнения имеет вид:

m2 + bm − c ≡ 0(mod n) имеет решения в ZnZ *. Одним из этих решений является число m . Отсюда следует, что число c должно быть квадратичным вычетом по модулю n , т. е. элементом группы QRn .

Вычисления, связанные с расшифровкой, содержат операцию извлечения квадратного корня по модулю n . Для каждого зашифрованного текста существует

70

избыточную информацию (redundant information), позволяющую отличить правильные тексты от неправильных.

p =11 º 3(mod8) ,

1+11

x11 = 42 4 (mod11) º 3(mod11) ,

q =19 º 3(mod8) ,

1+19

x19 = 42 4 (mod19) º17(mod19) .

Найдем один из корней:

71

11−1 (mod19) ≡ 7 .

Далее воспользуемся формулой Гарнера:

x1 = (14 ×7(mod19)) ×11 + 3 = 36 .

Приступим к отысканию следующего корня:

q − xq = 19 −17 = 2,

x2 = 3(mod11)x2 = 2(mod19),

x2 = (((2 - 3)(11−1 mod19))mod19)×11+ 3 =12 ×11+ 3 =135 .

Остальные корни находим по теореме 6.4:

36 + x4 = 135 + x3 = 209 .

Значит x3 = 74 и x4 = 173.

Теперь ищем четыре варианта зашифрованного сообщения:

Один из вариантов – наше сообщение 31!

Задания для аудиторной работы

Задание 1. Зашифровать в системе Рабина слово «Ор». Решение. Цифровым аналогом этого слова будет число m = 1618 .

72

Возьмем два числа Блюма p = 43 и q = 47 , n = p × q = 43 × 47 = 2021.

Проверим, что 1618 Î Z2021Z * .

Выбираем b = 15 , принадлежащее Z2021Z * .

Тогда отправляемое сообщение

c = m × (m + b) =1618(1618 +15) = 2642194 (mod 2021) º 747 .

Передаваемое сообщение (747, 2021, 15).

Задание 2. Расшифровать сообщение (747, 2021, 15).

Решение. Найдем Dc = b2 + 4c = 3213 (mod 2021) º1192 , x43 = 1192(mod 43) ,

x47 = 1192(mod 47) ,

43+1

x43 =1192 4 (mod 43) =119211 (mod 43).

11 = 8 + 2 + 1,

73

x1 = (((17 - 8)(47−1 mod 43)mod 43))× 47 + 8 = (9 ×11mod 43)× 47 + 8 =13 × 47 + 8 = 619,

x2 = (((17 - 39)(47−1 mod 43))mod 43)× 47 + 39 = ((- 22 ×11)mod 43)× 47 + 39 = =16 × 47 + 39 = 791,

619 + x4 = 791 + x3 = 2021, x4 = 1402, x3 = 1230.

Таким образом, мы нашли четыре квадратных корня числа 1192 по модулю

2021.

Приступим к следующему этапу расшифровки и найдем четыре варианта зашифрованного сообщения:

«Ор».

74

Индивидуальные задания

Расшифровать сообщение (криптосистема Рабина).

Вариант 15

c = 1829 , n = 4757 , b = 26 .

75

Лабораторная работа № 7

CRIPTOSYSTEM EL GAMAL

Цель работы: изучение шифрования с помощью криптосистемы El Gamal.

Необходимые теоретические сведения

Криптосистема Эль Гамаля

Криптосистема Эль Гамаля создана американским специалистом по криптографии в 1985 году после появления криптосистемы RSA. Она послужила основой для целого ряда систем цифровой подписи, в том числе российской и белорусской.

Криптосистема Эль Гамаля строится на основе большого простого числа p ≈ 2q , где 512 ≤ q ≤ 1024, то есть имеющее 150–300 десятичных знаков. Кольцо классов вычетов Z pZ = (0, 1, 2, ..., p − 1} в силу простоты числа p обладает тем свойством, что все ненулевые классы в нем обратимы относительно умножения. В дальнейшем нам понадобится следующая теорема.

подгруппа < g > совпадает со всей группой: < g >= {g, g 2 , ..., g p−1 = 1}= Z pZ .

В дальнейшем g рассматриваем как обычное натуральное число g < p.

Фиксируем два секретных ключа x и k как элементы Z pZ *. При этом x знают пользователи на обоих концах криптосистемы, а k − это сеансовый ключ,

выбираемый отправителем на короткий промежуток работы системы – один или

76

Передаваемая информация в криптосистеме Эль Гамаля, как и в криптосистеме RSA, предварительно преобразуется в десятичное число –

сообщение ш = с × K (mod p) = c × y k (mod p). При этом адресату идет расширенное

обратной прогонкой алгоритма Евклида с учетом соотношения НОД(K , p) = 1.

Теперь сообщение легко восстанавливается: ш × K −1 (mod p) = c.

Проблема взлома данной криптосистемы подкупающе проста: надо найти x − степень числа g по модулю p, равную y. Это так называемая проблема дискретного логарифма. Приемлемых решений этой проблемы, кроме прямого последовательного перебора степеней g по модулю p до искомой на сегодняшний день не существует.

Пример 7.1. Пусть p = 23. Вычисления показывают, что в качестве g

можно взять число 5. Положим в качестве секретного ключа число х = 7. Тогда стандартными вычислениями находим третий открытый ключ у :

у= g x (mod p) = 57 (mod 23) º 52 × 52 × 52 × 5(mod 23) º

º2 × 2 × 2 × 5(mod 23) º 40(mod 23) º17.

Вкачестве секретного сеансового ключа возьмем K = 3. В таком случае можно вычислить K = уk (mod p) =173 (mod 23) º 289 ×17(mod 23) º13 ×17(mod 23) º14.

77

Тогда ОСК = g k (mod p) = 53 (mod 23) º10. Криптосистема Эль Гамаля полностью подготовлена к работе.

Предположим, что передается сообщение с = 20. Тогда шифровка ш = с × K (mod p) = 20 ×14(mod 23) = 4. Следовательно, адресат получает сообщение

(ш, ОСК ) = (4, 10). Напомним, что у него в распоряжении имеется тройка открытых ключей (p, g, y) = (23, 5, 17) и секретный ключ x = 7.

Для этого ему придется последовательно перебирать степени g до тех пор, пока

группы < g = 5 > = {5, 2, 10, 4, 20, 8, 17 = y}. Отсюда следует, что x = 7 . Конечно, в

реальной ситуации x столь малым не будет: в его вычислении и содержится, как уже отмечалось, вся криптостойкость системы Эль Гамаля. Вычислив x , взломщик сможет без особого труда повторить операции получателя по расшифровке сообщения.

Задания для аудиторной работы

Задание 7.1. Зашифруйте по схеме Эль Гамаля слово «ау».

Решение неоднозначно. Естественно, переход от слова к числу осуществим, как и в схеме RSA: a « 01, y « 21. Поэтому ay «121. Итак сообщение c =121.

Ближайшее большее простое число – 127. Это четвертое из списка знаменитых простых чисел Мерсена: 127 = 27 − 1. Известно, что здесь в качестве g можно

78

компьютера под рукой, проведем эти вычисления вручную:

g 2 = 9, g 4 = 92 = 81,

g 8 = 812 = 6561 º 84(mod127),

g16 = 842 = 7056 º 71(mod127). g 32 = 712 = 5041 º 88(mod127).

Следовательно, g 37 = g 32+4+1 º 88 × 81× 3(mod127) º 810(mod127) = 48(mod127).

Таким образом, y = 48 .

Теперь вычислим шифрующий множитель K = y k (mod p). Для этого вновь необходимо найти серию степеней: y 2 = 2304 º18(mod127), y 4 º 70(mod127),

y8 º 74(mod127). Поэтому

y14 º 74 × 70 ×18(mod127) º100 ×18(mod127) º 22(mod127).

Таким образом, K = 22 .

ш = c × K (mod p) =121× 22(mod127) º122(mod127). Итак, ш = 122 .

Осталось вычислить открытый сеансовый ключ

OCK = g k (mod p) = 314 (mod127). Учитывая проведенные выше утверждения, имеем

OCK = 84 × 81× 9(mod127) º 22(mod127). Итак, OCK = 22 .

Зашифрованное по схеме Эль Гамаля сообщение построено:

(p, g, y,ш,OCK ) = (127, 3, 48, 122, 22).

Задание 7.2. Находясь в роли получателя, расшифруйте сообщение (p, g, y, ш, OCK ) = (127, 3, 48, 122, 22), зашифрованное по схеме Эль Гамаля. Вам известен также секретный ключ x = 37 .

по модулю 127.

79

Теперь вычислим K −1 в кольце Z127Z с помощью расширенного алгоритма Евклида.

127 = 22 × 5 + 17 . 22 =17 ×1 + 5 . 17 = 5 × 3 + 2 . 5 = 2 × 2 +1. НОД(127, 22) =1.

Построим соотношение Безу для чисел 127 и 22.

1 = 5 + 2 × (- 2) = 5 + (- 2)× [17 + 5 × (- 3)]= 5 × 7 +17 × (- 2) = 7 × [22 +17 × (-1)]+ 17 × (- 2) = = 22 × 7 + 17 × (- 9) = 22 × 7 + (- 9)× [127 + 22 × (- 5)]= 22 × 52 + 127 × (- 9) =1.

Из построенного соотношения Безу следует, что K −1 = 52 . Расшифровка состоит в вычислении произведения ш × K −1 (mod p) =122 × 52(mod127) =121. Таким образом, принято сообщение «Ау».

Задание 7.3. В роли несанкционированного пользователя, не зная

Индивидуальные задания

Расшифровать перехваченную криптосистему Эль Гамаля.

Вариант 1

80

Вариант 3

Вариант 4

81

Вариант 10

Вариант 14

б) ш = 214671795; OCK = 1209262383; y = 528288046; p = 1216150609; g = 13.

82