расшифрование сообщений можно производить с помощью ключа D .

12.2. Атаки на RSA, использующие факторизацию модуля

Задача разложения числа n = pq на сомножители является нерешенной проблемой. По этой причине не полностью ясны условия, которым должны соответствовать сомножители p и q .

С другой стороны, имеется ряд частных случаев и соответствующих алгоритмов, когда такое разложение возможно. Упомянутые алгоритмы могут быть различной степени сложности: от элементарных, до использующих тонкие теоретико-числовые свойства.

Рассмотрим некоторые элементарные случаи.

уравнений, позволяющей получить разложение n .

Пусть скажем, q − p < c . Если разности, вплоть до c , можно перебрать,

то можно решить систему и найти сомножители. Отсюда следует, что p и q

не должны быть близки.

Алгоритм факторизации Диксона 157

Более того, даже относительная величина разности не может быть

Следующий пример. Пусть порядки чисел по (неизвестному) модулю p

невелики. Тогда, испытывая числа a и h перебором, можно оказаться в ситуации, когда ah =1(p) и в то же время ah ≠1(pq).

В этом случае НОД (ah −1, pq)= p . Поэтому порядки чисел по модулю p должны быть большими. Но порядки вычетов должны делить функцию Эйлера от модуля: p −1 =0(h), таким образом, приходим к требованию,

что числа p −1 и q −1должны обладать большими простыми делителями.

12.2.1. Алгоритм факторизации Диксона

Рассмотрим теперь более общий пример атаки на RSA, непосредственно направленной на факторизацию модуля [15,16,21].

В целом ряде алгоритмов факторизации нечетного числа n используется идея Лежандра, состоящая в поиске пар чисел x, y , удовлетворяющих

соотношению

Наибольший общий делитель (x − y) и n найти легко. Если он равен единице или совпадает с n, то необходимо искать следующее соотношение, иначе, упомянутый делитель равен некоторому делителю числа n.

сомножителей, скажем (x − y), имеет с n нетривиальный общий делитель.

В алгоритме факторизации Диксона для поиска нетривиальных соотношений используется заранее выбранная совокупность относительно небольших простых чисел, не превышающих некоторой границы M.

Множество указанных чисел называется факторной базой (или фактор-

базой): B ={p1,Kph}, max pi ≤ M . Граница выбирается, исходя из наличия вычислительных ресурсов. Часто в факторную базу вводят число –1.

Это делается для того, чтобы уменьшить абсолютные величины чисел, участвующих в вычислениях. Мы также будем считать, что –1 входит в B.

Будем говорить, что натуральное число b является B - числом, если после приведения по модулю n число b2 разлагается в произведение степеней

простых из факторной базы, иными словами, если b2 mod n = ∏pu p (b) .

p B

Заметим, что когда b2 < n , то все показатели в правой части последнего равенства четные, т.е. отличий от случая разложения квадрата натурального числа нет.

Если же b2 велико, то после приведения по модулю n разложение его вычета может содержать как четные, так и нечетные степени простых чисел.

Так что, с одной стороны, b2 modn сравнимо с произведением квадратов, а с другой стороны – его можно записать иначе: в виде произведения как четных так и нечетных степеней простых чисел.

Это возможно потому, что разложение вычетов на степени простых сомножителей не является однозначным, вследствие приведения по модулю n .

Алгоритм факторизации Диксона 159

Подобная ситуация в натуральных числах не имеет места, в силу основной теоремы арифметики.

Далее. Если мы найдем несколько B-чисел, то перемножив

соответствующие части сравнений вида b2 mod n = ∏pu p (b) , получим в его

p B

левой части квадратичный вычет, корень из которого нам известен.

Метод поиска второго корня, дающего нетривиальное соотношение, в общем случае не найден.

Однако, зная показатели в правой части для каждого b2 , мы в состоянии обнаружить случай, когда все показатели при простых сомножителях в произведении указанных правых частей окажутся четными. Тогда мы сможем найти второй корень, уменьшая показатели вдвое.

Таким образом, алгоритм Диксона направлен на увеличение вероятности получения нетривиальных соотношений.

Схему алгоритма рассмотрим на примере.

Пусть необходимо факторизовать число n =1829. В качестве факторной базы B выберем множество простых чисел, меньших 15, к которому добавим

(−1): B ={−1,2,3,5,7,11,13}.

Начнем с поиска B-чисел. Такие числа bi мы будем искать среди чисел вида [ 1829k ]и [ 1829k ]+1, k =1,2.K, пока не наберем их достаточно для возникновения нужной ситуации.

Числа bi характеризуются условием разложения по элементам нашей

базы: bi2 mod n = ∏pujij .

j

Итак, для k =1 рассмотрим два числа: [ 1829k ]= 42 и 43.

Поскольку p0 = 2302 +59 47 = 5075 , то 42 является B -числом.

Действительно, 422 = (−1)151131(1829). Аналогично, 432 = 2251(1829).

160 Глава12. НЕКОТОРЫЕСЛУЧАИОСЛАБЛЕНИЯКРИПТОСИСТЕМЫRSA

Заметим, что каждому B-числу b удобно поставить в соответствие вектор a(b) показателей разложения b2 mod n по элементам базы.

Отсутствующим в разложении элементам базы, как обычно, соответствует показатель равный нулю.

Таким образом, a(42)= (1001001), a(43)=(0201000).

Кроме вектора a(b), введем вектор , поскольку в ходе

алгоритма возникает необходимость вычислений сумм векторов с точностью до четности компонент, что соответствует операциям над векторами по модулю два. Таким образом, e(42)= (1001001), e(43)= (0001000).

Нашей целью является получить столько B-чисел, чтобы из них можно было выбрать подмножество, для которого сумма векторов вида a(b) состояла из четных координат.

Это эквивалентно линейной зависимости соответствующих векторов вида над GF(2). Теперь ясно, что необходимое количество B-чисел не

превышает увеличенной на 1 размерности векторов

Можно убедиться, что числа 42,43,61,74,85,86 являются B -числами.

Выпишем таблицу соответствующих векторов вида

Таблица 5. Разложение квадратов B -чисел по фактор-базе

Алгоритм факторизации Диксона 161

Очевидно, e(43) e(86)= (0000000), т.е. в этом случае наличие

нетривиального соотношения не исключено. Перемножим квадраты соответствующих B-чисел по модулю n.

Приравняем результат к произведению разложений квадратов

получили тривиальное соотношение. Необходимо продолжить поиск линейно зависимых векторов вида e(b).

Заметим, что e(42) e(43) e(61) e(85)= (0000000).

Выпишем сравнение 422 432 612 852 = 22325272132 (mod1829), что

дает соотношение 14592 = 9012 (mod1829) и 1459 ≠ ±901(mod1829).

Поэтому число НОД (1459 +901,1829)=59 является делителем 1829.