08.04.09.Печать_edit

В теореме 4 установлено, что классы a, a2, ..., ak образуют различные решения сравнения x k 1 mod n. Поскольку p есть простой модуль, то это сравнение не может иметь больше чем k решений (теорема 1), т. е. классы a, a2 , ..., ak исчерпывают все решения.

Теорема 6

Количество классов, относящихся к какому-либо показателю по модулю n, равно функции Эйлера (n) от модуля:

( ) (n).

| (n)

Доказательство

Доказательство непосредственно следует из того, что каждый из взаимно простых с модулем классов относится к какому-либо показателю.

Теорема 7

По простому модулю p для любого целого 1имеет место неравенст-

во

( ) ( ).

Доказательство

Если для данного значения показателя не существует классов, относящихся к нему, то ( ) = 0, т. е. ( ) < ( ). Если существует хоть один такой

P(a i) = P(a), 1 i тогда и только тогда, когда НОД(P(a), i) = 1. Число таких степеней i равно ( ). Если имеется какой-либо класс, показатель которого по модулю p равен , то он также должен удовлетворять сравнению x 1mod p. Поэтому класс должен находиться среди ( ) классов, предста-

вителями которых являются числа a, a2 mod p, a3 mod p, …, a mod p. Отсюда следует, что ( ) = ( p), если ( ) 0. Учитывая случай ( ) = 0, имеем

( ) ( ).

22

Теорема 8

По простому модулю p при |p 1 имеет место равенство ( ) = ( ).

Теорема 9

По любому простому модулю p существует (p 1) первообразных кор-

ней.

Доказательство

Доказательство вытекает непосредственно из теоремы 8 при = p 1.

Теорема 10

Первообразные корни по модулю n существуют тогда и только тогда,

когда либо 1) n = p или n = 2p , где p — любое нечетное простое число, —

любое целое положительное число либо 2) n = 2 , где 0 2.

Пояснение. Если n имеет хотя бы два нечетных простых делителя p1 и p2, то числа p1 1 и p2 1 не являются взаимно простыми, поэтому L(n) < (n). Из обобщенной теоремы Эйлера следует, что для любого a, взаимно простого с n, имеем P(a) L(n) < (n), т. е. первообразных корней не существует.

1.7. Китайская теорема об остатках

Эта теорема является одним из весьма полезных и часто используемых в криптографии результатов теории чисел. Она фактически утверждает, что любое значение из множества минимальных положительных представителей

(Z/N) классов вычетов по модулю N = n1n2…ng, где i, j {1, 2, …, g}

НОД(ni, nj) = 1, может быть представлено в виде набора остатков от деления этого значения на каждый из сомножителей ni; т. е. имеется взаимно однозначное соответствие

R (r1, r2, …, rg), где R Z/N, r1 Z/n1, r2 Z/n2, …, rg Z/ng.

Китайская теорема об остатках гласит следующее.

Теорема 11

23

Пусть n1, n2, …, ng — набор попарно взаимно простых чисел,

N = n1n2…ng; числа c1, c2, …, cg удовлетворяют условиям c1N/n1 1 mod n1, c2N/n2 1 mod n2, …, cgN/ng 1 mod ng. Тогда решение системы

имеет вид R r1c1N/n1 + r2c2N/n2 + … + rgcgN/ng (mod N).

= (riciN/ni) mod ni. То есть R riciN/ni ri (mod ni) для i = 1, 2, …, g.

Минимальное положительное число R из класса вычетов по модулю N, представляющего собой решение системы сравнений, и является тем элементом кольца Z/N, который ставится в соответствие набору значений

r1, r2, …, rg. Подобрать необходимые значения ciN/ni 1 mod ni достаточно просто. Их можно вычислить по формуле ci = N/ni[(ni /N) mod ni]. Если дано некоторое R Z/N, то, выполнив деление R на каждое из чисел ni, определим однозначно набор остатков, который ставится в соответствие заданному числу R. Фактически китайская теорема об остатках указывает способ решения сравнений указанного типа.

В дальнейшем будет использована также следующая теорема:

Теорема 12

Если a b (mod n1), a b (mod n2),…, a b (mod ng), то a b (mod N), где N = НОК[n1, n2, …, ng].

Доказательство

24

Из условия непосредственно следует, что n1|a b, n2|a b, …, ng|a b,

откуда получаем N|a b. Последнее означает, что выполняется a b (mod N).

1.8. Алгоритм возведения в степень по модулю

Пусть требуется вычислить значение S = aW mod n, где числа W, n и a достаточно большие. Если модуль может быть разложен на сравнительно небольшие простые делители, т. е. n = p1p2…pg, то возведение в степень по такому модулю может быть сильно упрощено, если использовать китайскую теорему об остатках. Сначала вычисляются вычеты aW mod pi по каждому из простых делителей pi, i = 1, 2, …, g. Используя теорему Ферма, эти вычисления можно сделать достаточно быстрыми. В результате получим следующую систему сравнений:

Полагая x = aW и решая по китайской теореме об остатках систему сравнений, приведенную выше, найдем значение R Z/n, удовлетворяющее

системе. Поскольку aW также удовлетворяет рассматриваемой системе срав-

нений и все ее решения сравнимы между собой по модулю n, то

R aW mod n, т. е. S = R.

Однако в криптографических задачах возведение в степень обычно осуществляется по простому модулю или по модулю, представляющему собой произведение двух больших простых чисел, поэтому рассмотренный выше

способ редко применяется. Кроме того, даже для сомножителей pi сравнительно малого размера (например 32-битовых чисел в двоичном представле-

нии) прямолинейное вычисление значения aW mod pi 1 mod pi путем пере-

множения W mod (pi 1) одинаковых сомножителей, имеющих значение a, окажется достаточно трудоемким. Обычно используется следующий способ быстрого возведения в большую степень по большому модулю с произволь-

25

ной структурой. Однако комбинирование первого способа с последним позволяет обеспечить дополнительное снижение сложности возведения в степень в случае составного модуля.

Алгоритм быстрого возведения в степень по модулю

Пусть требуется вычислить значение S = aW mod n. Представим степень W в виде разложения по степеням числа 2:

W = wg 12g 1 + wg 22g 2 + … + w222 + w121 + w0,

где wi есть цифра 0 или 1.

Преобразуем S = aW mod n следующим образом:

Из последней формулы нетрудно вывести следующий псевдокод, описывающий алгоритм быстрого возведения в степень:

ВХОД: a, W и n.

1.S :=1 и c :=a {Присвоить начальные значения переменным S и c}

2.For i := 0 to g 1 do {Основной цикл}

2.1.If wi = 1, then S := Sc mod n. Otherwise go to step 2.2.

2.2.c := c2 mod n.

ВЫХОД: S = aW mod n.

В более понятном и удобном для программирования виде алгоритм быстрого возведения в степень записывается следующим образом.

ВХОД: Целочисленные значения n, a > 0 и W 0.

26

1.Инициализируем переменные S := 1; V := W и c := a.

2.Если V = 0, то СТОП .

3.Если V mod 2 = 1 (т. е. текущее значение V является нечетным), то присваиваем новые значения переменным S := Sc mod n и V := (V 1)/2 и переходим к шагу 5. В противном случае переходим к шагу 4.

4.Выполняем операцию присваивания V := V/2.

5.Выполняем операцию присваивания c := c2 mod n.

6.Переходим к шагу 2.

ВЫХОД: Значение S = aW mod n.

Нетрудно подсчитать, что средняя сложность данного алгоритма составляет 1,5g операций умножения двух g-битовых чисел плюс 1,5g операций деления 2g-битовых чисел на g-битовое число. Для 1000-битовых и более длинных чисел данный алгоритм выполняется на ЭВМ достаточно быстро.

1.9. Нахождение чисел, относящихся к заданному простому показателю

Нахождение первообразных корней

Для любого числа a, взаимно простого с модулем m, существуют числа

, такие что a = 1 mod m. Минимальное из чисел , т. е. число = min{ }, называется показателем числа a. Если a по модулю m принадлежит показателю

, то числа a0, a1, …, a –1 по модулю m несравнимы. Показателями могут быть только делители функции Эйлера от модуля, т. е. делители числа φ(m), которое является наибольшим возможным показателем по модулю m. Если модуль является простым числом p, то число ( ) чисел, относящихся к показателю , равно функции Эйлера от числа , т. е. ( ) = ( ). Чем меньше показатель, тем меньше существует чисел, относящихся к нему. Наибольшее число чисел относится к показателю p 1, т. е. имеется достаточно большое число первообразных корней и при случайном выборе чисел мы с большой вероятностью попадаем на них. Как можно проверить, что выбранное число действительно является первообразным корнем по модулю p?

27

Пусть имеем разложение p 1 d1 1 d2 2 ... dh h . Если для каждого про-

p 1

стого делителя di числа p – 1 выполняется условие di 1 mod p , то число

является первообразным корнем (примитивным элементом) по модулю p.

Доказательство

Допустим, что не является первообразным корнем и относится к показателю < p – 1. Поскольку p – 1, то k = (p – 1)/ есть простой или состав-

ной делитель числа p – 1, т. е., по крайней мере, для одного из делителей di

Нахождение чисел, относящихся к заданному простому показателю

Если длина простого делителя (случай составного делителя будет рассмотрен отдельно) существенно меньше длины простого модуля, то нахождение чисел, относящихся к как к показателю, путем случайного выбора

чисел a и проверки соотношения a = 1 mod p является вычислительно неэффективным. В реальных системах ЭЦП с сокращенной длиной подписи простой модуль p имеет размер 1024 или 2048 бит, а размер показателя составляет около 160 256 бит. Для нахождения числа , относящегося к простому показателю , используется следующий вычислительно эффективный способ.

1.Выбирается число a, превосходящее 1 и меньшее числа p.

2.Вычисляется значение = (p 1)/ и число g = a mod p.

3.Если g 1, то в качестве числа взять число g. В противном случае повторить шаги 1–3.

Действительно, для полученного числа 1 имеем = a (p 1)/ mod p.

Следовательно, согласно теореме Ферма, имеем = a (p 1) = 1 mod p, т. е. число относится к показателю . Действительно, мы рассматриваем про-

28

стое число , поэтому оно не имеет делителей, значение которых меньше его самого, а при выполнении условия = 1 mod p показатель делит .

Нахождение чисел, относящихся к заданному составному показателю

Если требуется найти число , относящееся к составному показателю , каноническое разложение которого имеет вид q1 1q2 2 ... qz z , то можно воспользоваться следующим алгоритмом:

1.Выбирается случайное число b, превосходящее 1 и меньшее числа p.

2.Вычисляется значение = (p 1)/ и число g = b mod p.

3.Если g = 1, то перейти к шагу 1.

4.Если для каждого простого делителя qi числа выполняется условие

g qi 1 mod p , то в качестве числа взять число g. В противном случае повторить шаги 1–4.

Докажем, что этот алгоритм действительно находит число, относящееся к показателю . Для полученного числа 1 имеем = b(p 1)/ mod p. Со-

гласно теореме Ферма, имеем = a(p 1) = 1 mod p. Допустим, что отно-

сится к показателю < . Тогда и k = / есть простой или составной де-

литель числа , т. е., по крайней мере, для одного из делителей qi имеем qi | k.

вию, проверяемому на шаге 4 алгоритма поиска числа .

1.10. Теоремы о числе решений степенных сравнений

Вначале рассмотрим несколько утверждений, используемых далее при доказательстве теорем о числе решений степенных сравнений.

Утверждение 13

29

Для произвольных натуральных чисел k и m из выполнимости сравнения a b (mod m) следует сравнимость чисел ka и kb по модулю km, т. е. ka kb (mod km).

Утверждение 14

Для произвольных натуральных чисел k и m из выполнимости сравнения ka kb (mod km) следует сравнимость чисел a и b по модулю m, т. е. a b (mod m).

Утверждение 15

Если обе части сравнения f(x) g(x) (mod m) и модуль умножим на одно и то же число k > 0, то получим сравнение kf(x) kg(x) (mod km), эквивалентное первоначальному.

гласно утверждению 14, имеем f(x0) g(x0) (mod m).

Утверждение 16

Если НОД(a, m) = d и d |/ b, то сравнение ax b (mod m) не имеет реше-

ний.

Доказательство

Допустим, что существует число x0, такое что ax0 b (mod m), т. е. ax0 = Qm + b, где Q есть некоторое целое число. Поскольку d | ax0 и d | m, то

30