106 Гл. 3. Факторизация целых чисел с субэкспоненциальной сложностью

числа n вида n = re − s, следуя [159]. Выбираем небольшое d N (обычно d = 3, 5, 7) и затем полагаем k равным наименьшему натуральному числу, для которого kd e. Пусть t = s · rkd−e; t — небольшое целое число. Положим

Дальнейшая работа алгоритма проводится в кольце Z [ ] ZK . В нашем распоряжении также имеется кольцевой гомоморфизм ,(1) ≡ 1 (mod n), ( ) ≡ m (mod n). В случае, когда Z [ ] = ZK и поле K — одноклассное (как это было для n = F9/p7), алгоритмы решета числового поля работают более эффективно.

На этом мы заканчиваем схематичное описание алгоритмов решета числового поля для факторизации целых чисел.

§ 3.7. Заключение

Подведем итоги. Если мы хотим факторизовать натуральное число n, то сначала перебором p = 2, 3, 5, 7, . . . до некоторой границы следует отделить маленькие простые делители нашего числа. Затем следует проверить, является ли наше число, которое мы хотим факторизовать, составным. Для этого лучше всего использовать вероятностный тест Миллера—Рабина из гл. 1. Если наше число — вероятно простое, то нужно попробовать доказать его простоту с помощью алгоритма Ленстры—Коена из гл. 1. Если наше число — составное, то можно попытаться получить его разложение на множители с помощью (P − 1)-метода Полларда и -метода Полларда из гл. 2, а также с помощью метода эллиптических кривых Ленстры (из гл. 4). После этого для факторизации следует применить метод квадратичного решета, если наше число n не превосходит 10110. Для чисел большей величины следует использовать алгоритмы решета числового поля.

Применительно к криптографии с открытым ключом мы видим, что RSA-модули n, равные произведению двух простых чисел, не являются безопасными для шифрования при условии n ≈ 2512. Согласно [74] RSA-модули n ≈ 21024 будут оставаться безопасными еще по крайней мере 15 лет с момента написания [74], если только не будут найдены принципиально новые алгоритмы факторизации или не будет создан эффективный квантовый компьютер.

Глава 4. Применение эллиптических кривых для проверки простоты и факторизации целых чисел

§4.1. Введение. Эллиптические кривые

иих свойства

Уже более пятнадцати лет эллиптические кривые активно используются в различных криптосистемах, а также в теоретико-числовых алгоритмах проверки простоты и факторизации целых чисел. В данной главе мы опишем некоторые основные свойства эллиптических кривых и их алгоритмические приложения в теории чисел. Подробное изложение теории эллиптических кривых можно найти в книгах [30; 256; 257]. Применение эллиптических кривых в криптографии описано в книге [65], а также в работах [188; 181; 145; 146; 179].

Пусть K — поле, char K =/ 2, 3. Эллиптическая кривая над K задается уравнением

y2 = x3 + ax + b, где a, b K, 4a3 + 27b2 =/ 0.

Она обозначается символом E или Ea,b. Если K1 — поле, содержащее K, то мы обозначаем множество точек кривой через

Ea,b (K1) = E(K1) = {(x, y) K21 : y2 = x3 + ax + b} {O}.

Здесь O — «ноль» кривой, или «бесконечно удаленная точка». Это формальная точка, не имеющая координат. Она становится обычной точкой, только если мы перейдем в проективное пространство. Положим x = X/Z, y = Y/Z в уравнении кривой; тогда Y2Z = X3 + aXZ2 + bZ3. Мы получаем точки (X : Y : Z) в проективном пространстве над полем K (или над K1 K), удовлетворяющие этому однородному уравнению. Точки, у которых Z =/ 0 (можно считать тогда, что Z = 1), соответствуют точкам (X/Z, Y/Z) аффинной кривой Ea,b (K) (или Ea,b (K1)). Если же Z = 0, то из уравнения находим, что и X = 0. Тогда Y =/ 0 и можно считать, что Y = 1. Эта точка (0 : 1 : 0) в проективном пространстве соответствует бесконечно удаленной точке O аффинной кривой.

108 Гл. 4. Применение кривых для проверки простоты и факторизации

На эллиптической кривой над полем K можно определить операцию сложения , относительно которой множества Ea,b (K1) для полей K1 K становятся абелевыми группами. Правила, по которым осуществляется сложение, таковы.

1.(x, y) O = (x, y), O O = O.

2.(x, y) (x, −y) = O.

3.Пусть P = (x1, y1), Q = (x2, y2) и x1 =/ x2. Проведем «прямую» через P и Q:

(y1 + (x − x1))2 = x3 + ax + b.

По теореме Виета

x1 + x2 + x3 = 2, x3 = −x1 − x2 + 2.

Тогда y3 = y1 + (x3 − x1). Мы полагаем по определению сумму P Q точек P и Q равной

PQ = (x3, −y3).

4.Пусть P = (x0, y1), Q = (x0, y2), где y1 =/ −y2. Тогда из уравнения кривой следует, что y1 = y2 =/ 0. Обозначим y0 = y1 = y2. Тогда удвоение точки P = (x0, y0), т. е. точка 2P = P P, определяется с помощью «касательной». Из уравнения кривой находим, что 2y dy = (3x2 + a) dx. Касательная к кривой в точке P имеет вид

Подставляя уравнение касательной в уравнение кривой, получим уравнение

(y0 + (x − x0))2 = x3 + ax + b;

x0 — его корень кратности два. Поэтому по теореме Виета третий корень равен x3 = −2x0 + 2. Отсюда y3 = y0 + (x3 − x0). По определению полагаем 2P = P P = (x3, −y3).

Можно показать, что относительно введенной операции сложения множество Ea,b (K1) образует абелеву группу. Если поле K1 конечно, то это конечная абелева группа.

Теорема 4.1 (Теорема Хассе). Пусть p — простое число, p > 3,

Ea,b — эллиптическая кривая над полем Z/pZ. Тогда

||Ea,b (Z/pZ)| − (p + 1)| < 2√p.

Величину |Ea,b (Z/pZ)| можно найти по следующей очевидной формуле

В § 4.3 мы опишем алгоритмы нахождения порядка группы точек эллиптической кривой над конечным простым полем.

Определение 4.2. j-инвариантом эллиптической кривой называется величина

j = j(E) = 1728 · 4a3 .

4a3 + 27b2

§4.2. Алгоритм Ленстры для факторизации целых чисел с помощью эллиптических кривых

Вероятностный алгоритм Ленстры [167; 166] для факторизации целых чисел с помощью эллиптических кривых имеет среднюю оценку

сложности

e((2+o(1)) log p log log p)1/2 log2 n

для количества выполняемых арифметических операций; здесь p — минимальный простой делитель n. Если мы заменим p на n1/2, то получим субэкспоненциальную оценку сложности Ln [1/2; 1]. Метод был усовершенствован в работе [192], см. также [57; 72; 89, гл. 10; 106; 260].

110 Гл. 4. Применение кривых для проверки простоты и факторизации

С помощью этого метода в 1995 г. было разложено на множители число Ферма F10 = 21024 + 1 (см. [73]). Разложение имеет вид

F10 = p8 · p10 · p40 · p252,

где pj обозначает простое число, записываемое j десятичными знаками. Факторизация заняла приблизительно 240 mips-years.

Заметим, что поскольку приведенная выше оценка сложности алгоритма Ленстры зависит от величины минимального простого делителя факторизуемого числа, этот метод может быть эффективно использован для отделения небольших простых делителей. Преимуществом метода является также использование лишь небольшого объема памяти компьютера. Получение оценки сложности алгоритма Ленстры требует довольно глубоких знаний в области теории эллиптических кривых и модулярных форм. Однако сам алгоритм описывается достаточно просто и так же просто реализуется на компьютере. Описание алгоритма Ленстры, кроме указанных выше работ, можно найти в книге [144].

Для описания алгоритма Ленстры нам потребуются эллиптические кривые уже не над полем, а над кольцом Z/nZ, где n — нечетное не делящееся на 3 составное число, которое мы хотим разложить на множители. Рассмотрим тройки чисел (x, y, z) (Z/nZ)3, такие, что идеал, порожденный x, y и z, совпадает с Z/nZ. Это выполняется, например, при НОД(x, n) = 1. Орбитой такого элемента (x, y, z) (Z/nZ)3 называется множество

{(ux, uy, uz) | u (Z/nZ) };

оно обозначается через (x : y : z). Множество всех орбит мы обозначим P2 (Z/nZ) — это аналог проективного пространства над полем.

Эллиптическая кривая E = Ea,b над кольцом Z/nZ задается уравнением

y2 = x3 + ax + b,

где a, b Z/nZ, 6(4a3 + 27b2) (Z/nZ) . Обозначим множество точек кривой через

E = Ea,b (Z/nZ) = {(x : y : z) P2 (Z/nZ) | y2z = x3 + axz2 + bz3}.

Это множество имеет естественный закон сложения, относительно которого оно является конечной абелевой группой. Однако мы будем использовать такие же групповые операции, как для конечного про-

стого поля (см. § 4.1). Именно, мы обозначим

O = (0 : 1 : 0) P2 (Z/nZ),

Vn = {(x : y : 1) | x, y Z/nZ} {O}.

Для P Vn и для любого простого числа p, делящего n, мы обозначаем через Pp точку из P2 (Z/pZ), полученную приведением координат точки P по модулю p. Очевидно, что Pp = Op тогда и только тогда, когда

P = O.

Сложение точек P, Q Vn мы будем проводить следующим образом (считаем, что a задано). При вычислении суммы P Q мы либо найдем делитель d числа n (и тогда наша цель факторизации n будет достигнута), либо найдем точку R Vn, для которой выполнено следующее условие:

если p | n, a¯ ≡ a (mod p), и если для p найдется b˜ Z/pZ такое,

что 6(4a¯3 + 27b˜ 2) =/ 0 в Z/pZ и при этом Pp, Qp Ea¯,b˜ (Z/pZ), то тогда Rp = Pp Qp в Ea¯,b˜ (Z/pZ); здесь сумма вычисляется по правилам для

эллиптической кривой над полем, которые были описаны в § 4.1. Замечание 4.3. Если у нас есть точка P = (x : y : 1), есть p и a,

то y2 ≡ x3 + ax + b (mod n). Отсюда b ≡ y2 − x3 − ax (mod n) определяется по модулю n однозначно. Тогда однозначно определяется и значение b˜ ≡ b (mod p). Если для каждого p | n редуцированная точка Qp попадет на кривую y2 ≡ x3 + ax + b˜ (mod p) над полем Z/pZ, то мы можем складывать Pp и Qp на кривой над Z/pZ и вычислять сумму P Q над Z/nZ. Если же для некоторого p точка Qp не попадет на кривую y2 ≡ x3 + ax + b˜ (mod p), то складывать точки P и Q нельзя.

Сложение точек P и Q из множества Vn осуществляется следующим образом. Если P = O, то R = Q; если Q = O, то R = P. Пусть далее P, Q =/ O, P = (x1 : y1 : 1), Q = (x2 : y2 : 1). Найдем d = НОД(x1 − x2, n) с помощью алгоритма Евклида. Если 1 < d < n, то мы нашли делитель n, и алгоритм останавливается. Если d = 1, то x1 ≡ x2 (mod n),

Тогда по определению сумма P и Q равна R = P Q = (x3 : y3 : 1). Заметим, что в случае d = 1 сумму P Q мы находим по формуле

секущей из § 4.1.

112 Гл. 4. Применение кривых для проверки простоты и факторизации

Теперь рассмотрим случай d = НОД(x1 − x2, n) = n. Тогда x1 ≡ ≡ x2 (mod n), и сложение надо проводить по формуле касательной. Найдем d1 = НОД(y1 + y2, n). Если 1 < d1 < n, то мы нашли делитель n, и алгоритм останавливается. Если d1 = n, т. е. y1 ≡ −y2 (mod n), то положим R = P Q = O. Если d1 = 1, то находим

и полагаем R = P Q = (x3 : y3 : 1).

Итак, мы определили сложение точек Vn. Теперь определим умножение точек P Vn на натуральные числа k. В результате этого умножения мы либо находим делитель d числа n, 1 < d < n, либо получаем

числяется по правилам сложения для эллиптической кривой над полем, описанным в § 4.1.

Замечание 4.4. Вычисление R = kP Vn проводится аналогично описанному выше вычислению R = P Q Vn. При этом бинарный

i

мы рассматриваем разложение k = k1 . . . kt в произведение небольших натуральных чисел ki, k1 > k2 > . . . > kt. Именно такие k будут рассматриваться далее в алгоритме факторизации. Точку kP мы представляем в виде k1 (k2 (. . . (ktP) . . .)) и вычисляем ее последовательными умножениями на ki, i = t, . . . , 1; здесь уже допустим´ бинарный метод вычислений.

Алгоритм факторизации с одной эллиптической кривой.