5. ПРОСТЫЕ ЧИСЛА. ГЕНЕРАЦИЯ ПРОСТЫХ ЧИСЕЛ

Асимметричная система шифрования широко использует простые числа большого порядка (>150 десятичных цифр). Если числа p и q оказались составными, то теорема Эйлера, положенная в основу системы шифрования RSA,

amodϕ (n)n = 1,

выполняется. Поясним этот факт на простом примере. Пусть выбраны

два числа p=2, q=4. Ошибочно было принято, что q=4 – простое

число. По этим двум числам найдены n=2×4=8, φ(n)=(p-1)(q-1)=3. Выберем открытый ключ k0 = 2 и зашифруем сообщение

m = 6 c = mmodk0 n = 62mod8 = 36mod8 = 4.

Вычислим секретный ключ (k0 ×kc )modϕ (n) = 1.

Очевидно, что kc = 2 . Попытаемся расшифровать сообщение:

m1 = cmodkc n = 4mod82 = 16mod8 = 0.

Алгоритм не сработал, т. к. m1 ¹ m.

Два математика Мерсенна и Ферма попытались получить

формулы, которые могли бы генерировать простые числа:

Mp = 2p −1 − формула Мерсенна:

M2 = 22 −1 = 3;

M3 = 23 −1 = 7;

24

M4 = 24 −1 = 15 − составное число;

M5 = 25 −1 = 31;

M6 = 26 −1 = 63 – составное число;

M7 = 27 −1 = 127 .

Fp = 22p +1

– формула Ферма:

F0 = 220 +1 = 3;

F1 = 22 +1 = 5;

F2 = 24 +1 = 17 ;

F3 = 28 +1 = 257 ;

F4 = 216 +1 = 65537 ;

F5 = 223 +1 = 4294967297 = 64 ×6700417 – составное число.

Если эти формулы не гарантируют, что полученные числа простые, то как можно генерировать большие простые числа? Одним из способов решения этой проблемы является выбор случайного большого числа (например, по тем же формулам), а затем проведение некоторых испытаний, чтобы убедиться в том, что выбранное число простое.

Испытание простоты числа. Различают детерминированные и вероятностные алгоритмы испытания простоты чисел. Детерминированные алгоритмы дают правильный ответ.

25

Вероятностные алгоритмы дают правильный ответ в большинстве случаев, но не во всех. Хотя детерминированный алгоритм идеален, он обычно менее эффективен, чем вероятностный. Простейшим примером детерминированного алгоритма является алгоритм теории делимости. В качестве делителей числа n используют числа от 3 до

n . Если хотя бы одно из этих чисел делит n нацело, то n – составное число.

Недостатком этого алгоритма являются большие затраты времени. Другим примером детерминированного алгоритма является алгоритм AKS. Он использует тот факт, что для простых чисел n

выполняется равенство

( x − a) nmod n = ( xn − a)mod n .

Поясним работу этого алгоритма на примере. Выберем сначала n=3 – простое число и для x=4, a=2 проверим выполнимость этого равенства:

( x − a) nmod n = ( 4 − 2) 3mod3 = 8mod3 = 2,

с другой стороны,

( xn − a) mod n = ( 43 − 2)mod3 = 62mod3 = 2;

n = 3 − простое число.

Возьмем теперь n=4 – составное число и вычислим:

( x − a) nmod n = ( 4 − 2) 4mod 4 = 24mod 4 = 16mod 4 = 0,

26

( xn − a) mod n = ( 44 − 2)mod 4 = 254mod 4 = 2.

Алгоритм не сработал, поэтому n=4 – составное число. Рассмотрим работу вероятностных алгоритмов. Эти алгоритмы

не гарантируют правильность результатов, но на их основе можно получить вероятность ошибки настолько маленькую, что это почти дает гарантию правильного ответа. Самым простым из вероятностных алгоритмов является тест Ферма: если n – простое число, то

an−1mod n = 1.

Если n – составное число, то такое равенство маловероятно. Составные числа, для которых выполняется тест Ферма, называют числами Кармайкла. Одним из них является число n=561=33×17. Выберем а=2 и вычислим

a561−1mod561 = 1.

Вероятность выбора простого числа n этим алгоритмом может быть повышена, если его производить на нескольких основаниях a1,a2 ,a3... .

Другим вероятностным алгоритмом является испытание квадратным корнем. Если n − простое, то уравнение

x2modn = 1 (или 1mod n = ±1)

имеет только два решения x = ±1. Докажем это утверждение. Имеем (x2 −1)modn = 0 или (x −1)(x +1)modn = 0. Последнее равенство говорит о том, что n является делителем или x +1, или x −1, или того и другого

27

одновременно. Предположим, что n делит x +1 и x −1 одновременно. В этом случае

где k, l – целые числа.

Тогда x +1 = k ×n, x −1 = l ×n . Вычитая из первого равенства

число, а k − j должно быть целым, поэтому n не может делить x +1 и

Решениями этого уравнения являются только x = ±1, хотя n=6 –

(воспользовались свойством цикличности). Имеем только два решения x = ±1. Если же взять n=8 – составное число, то имеем еще и другие решения: x = 1, x = −1, x = 3,

Сформулированное выше утверждение лучше использовать

в форме: если существуют решения уравнения x2mod n =1, отличные от

±1, то n – составное число.

28

Более эффективным вероятностным тестом является тест Миллера – Рабина, который объединяет тесты Ферма и квадратного корня. Этот тест проверяет число n на простоту с большой вероятностью. Пусть n – простое число, тогда число n-1 – четное и его можно представить в виде

Преимущество данного теста состоит в том, что испытание

квадратным корнем для первоначального значения x = am может быть выполнено на каждом шаге по k = 1,2,3... . В начале выберем

Если T = ±1, то n – простое число и проверка останавливается, так как возводя это значение Т в квадрат k раз, мы в итоге получим

пройден, но тест испытания квадратным корнем не выполняется, так как на предыдущем шаге T ¹ ±1. Вывод: n – составное число. При

T 2 = -1 оба теста проходят: n – простое число. При T 2 = ±1 испытание на простоту продолжается: если существует такое S:

(am )2mod n = −1, то n – простое число, иначе n – составное.

29

Замечание: при проверке теста Миллера – Рабина необходимо использовать несколько оснований а. Рассмотрим реализацию этого теста на простейших примерах. Выберем n =11 – простое число и

1mod n = -1. Испытание квадратным корнем проходит. Вывод: n – простое число.

Выберем заведомо составное число n = 15 и проверим работу теста. Вычислим n −1 = 14 = 7 ×2. T = 27mod15 = 7 ¹ ±1.

Тест продолжается. Находим amodn−1 n = Tmod112 = 72mod11 = 5 ¹ 1. Тест Ферма не проходит. Вывод: n – составное число.

Разложение на простые сомножители числа n = p × q.

Разложение на множители (задача факторизации) играет важную роль в безопасности некоторых асимметричных криптосистем. Ранее на примере криптосистемы RSA было показано, что разложив на простые множители общедоступное число n, можно определить

значение функции Эйлера ϕ(n) , а затем, используя расширенный алгоритм Евклида, зная открытый ключ k0 , вычислить секретный

ключ kc . Существует несколько алгоритмов, которые позволяют разложить число n на множители, но ни один из этих методов не

30

способен провести разложение достаточно больших чисел (больше

10100 ) в разумное время. Этот факт и используется в современной криптографии.

Рассмотрим несколько методов.

Метод проверки делением. Самый простой и наименее эффективный метод. Исходное число n делится на целые числа

больше 1030 , то потребуется несколько лет машинного времени. Метод Ферма. Идея метода состоит в попытке найти такие

n = x2 - y2 = (x - y)(x + y) = p ´q .

Найти такое разложение можно по следующему алгоритму. Поскольку больший из сомножителей n больше, чем n , то начинаем

проверяется, не является ли число z квадратом натурального числа. Если да и z = m2 , то y = m, тогда p = x − y,q = x + y .

Иначе осуществляется итерационный процесс по следующей

сомножитель числа n. Выберем случайным образом целые числа a, b

такие, что amod p = bmod p , т. е. имеют одинаковые остатки от деления на p, но тогда число p является делителем разности a − b. В самом деле, a = t ×p + r , b = s ×p + r , где t,S − целые числа, r – остаток от деления.

31

к задаче определения чисел a, b. Это всегда удается сделать, если

Следующая теорема позволяет сократить количество таких сравнений.

Докажем эту теорему для a = 1. Будем считать, что xk > xj , а

в качестве xk+1, xj+1 возьмем

x + = a xm + a xm−1 + K + a ;

k 1 0 k 1 k mmod n

32

Вычитая из первого равенства второе, получим

Аналогичными рассуждениями можно доказать теорему для любого а. Из этой теоремы следует, что для разложения числа n на

она является циклической, образуя нечто в виде буквы ρ (рис. 5.1).

33