М26. Эффективность возведения в степень методом последовательного возведения в квадрат

Если задано число X, которое мы хотим возвести в n-ю степень, то мы могли бы вычислить Xⁿ, просто умножив X на себя n-1 раз. Если n невелико, то так и следует поступить, но в случае большого n этот способ неэффективен. Пусть число k таково, что

2^k<n<2^k+1;

тогда k=[log₂n], где [z] обозначает, как принято в математике, целую часть числа z.

При вычислении значений X², X⁴, X⁸,... методом последовательного возведения в квадрат для возведения числа в степень 2^k необходимо выполнить k операций возведения в квадрат, то есть k умножений. Двоичное представление числа n содержит не более (k+1) единицы, поэтому для вычисления величины Xⁿ надо перемножить между собой не более k+1 чисел из множества X, X², X⁴,... . Это означает, что понадобится выполнить не более k дополнительных операций. В итоге получаем, что общее число умножений не превосходит 2k.

Поскольку k<(log₂n+1), то отсюда следует, что для вычисления Xⁿ методом последовательного возведения в квадрат требуется не более 2(log₂n+1) умножений, в то время как при вычислении "в лоб" их потребуется n-1. Для малых значений n разница не так уж велика. Например, для n=7 при вычислении "в лоб" нужно 6 умножений, а для метода последовательного возведения в квадрат их потребуется 4. Однако с ростом n разница очень быстро становится существенной. Например, для n=127 для вычислений "в лоб" нужно выполнить 126 умножений, а при последовательном возведении в квадрат - только 12. Для действительно больших значений порядков, которые чаще всего и применяются в методе зашифрования-расшифрования RSA, вместо астрономического числа умножений нужно выполнить всего несколько сотен.

М27. Число ложных ответов при дешифровании des-алгоритма методом "встречного поиска "

При зашифровании текста на 2⁵⁶ различных ключах мы получим 2⁵⁶ различных шифрованных текстов. Поскольку общее количество различных 64-разрядных двоичных векторов равно 2⁶⁴, то в списке шифрованных текстов окажется примерно лишь каждый 256-й вектор (256=2⁸). То же самое будет справедливо при расшифровании текста на 2⁵⁶ различных ключах. Если теперь сравнить оба списка, то вероятность того, что какой-либо вектор из списка зашифрования будет содержаться также и в списке расшифрования, составляет 1 шанс из 256.

Всего в списке зашифрования 2⁵⁶ векторов, и из них примерно каждый 256-й должен встретиться в списке расшифрования. Таким образом, всего таких совпадений должно быть 2⁴⁸. Все эти ответы, кроме одного, будут ложными, и для нахождения истинного решения понадобится проводить еще одну или несколько проверок.

М28. Криптография эллиптической кривой

Несмотря на свое название, рассматриваемые кривые не являются эллипсами, а относятся к типу

Y² = X³ + aX + b,

где a и b - целые числа. Нас интересуют пары (X,Y), также являющиеся целыми числами. Все вычисления модульные, и выполняются относительно некоторого (очень большого) модуля p. Кривые этого типа могут быть параметризованы с помощью эллиптических функций Вейерштрасса, откуда и происходит данное название.

Так, например, точки (1,5) являются целочисленными точками, лежащими на кривой

Y² = X³ + 2X + 3 (mod 19).

По любой точке (или паре точек) на кривой можно построить новую точку на кривой с использованием касательной (для случая одной точки) или хорды (соединяющей пару точек). Касательная или хорда пересекает кривую в третьей точке, которая должна иметь рациональные координаты. Эти координаты преобразуются в целые числа над GF(p), полем Галуа по модулю p. Так, например, для приведенной выше кривой и p=19 уравнение касательной в точке (1,5) составляет

2Y = X + 9.

Мы находим, что эта касательная снова пересекается с кривой в точке X=-7/4. Это число можно преобразовать в целое число над полем GF(19): поскольку знаменатель этой дроби равен 4, то нам нужно найти такое целое число n, что

4n1(mod 19).

Отсюда мы получаем, что n=5, поскольку 20=119+1; поэтому ‑7/4(‑7)5=‑353(mod 19), и поэтому дробь -7/4 эквивалентна целому значению 3 над полем GF(19). В качестве целого значения X получаем 3, а соответствующее значение Y, получаемое из приведенного выше уравнения касательной, равно 6. Так как

Y²=36, а X³+2X+3=27+6+3=36,

то мы убедились в том, что точки (3,6) действительно лежат на вышеупомянутой кривой. (Нам необходимо только показать, что они лежат на этой кривой над GF(19); на самом деле они лежат на этой кривой (mod p) для всех значений p, но это чистая случайность; обычно это вовсе не так).

Итак, мы нашли на кривой еще одну целочисленную точку. Поскольку все вычисления выполняются по модулю p, то существует лишь конечное число возможных точек (X,Y) с целочисленными координатами. Отсюда вытекает, что данный метод построения новых точек должен в конце концов исчерпать себя. Если начать с некоторой (целочисленной) точки Q(X,Y) на кривой, то можно построить конечное множество точек <Q>, элементы которого мы обозначим через 2Q, 3Q, 4Q,... и т.д. (не следует смешивать их с точками типа (2X,2Y) и т.д.). Например, начиная с точки Q(1,5) на вышеупомянутой кривой, мы с помощью касательной в точке Q только что вычислили следующую точку, 2Q. Продолжая вычисления таким же образом, получим следующие точки:

2Q=(3,6), 4Q=(10,4), 8Q=(12,8), и так далее

(другой пример можно найти в [13.9]).

Допустим, задана точка R(X',Y'), и от нас требуется выяснить, существует ли целое n, такое что R=nQ для некоторой точки из множества <Q>. В этом случае (если только значение простого модуля p не является маленьким) перед нами стоит очень трудная задача. Если R не принадлежит множеству <Q>, то такого значения n не существует. Применяемые значения p обычно превосходят 10⁵⁰, а число опробований, которые необходимо выполнить (за исключением нескольких редких случаев), имеет порядок квадратного корня из p. Благодаря этому данная вычислительная задача становится не по силам даже самому мощному компьютеру.

Метод использования Q, R и n для выработки подписи к сообщению довольно сложный, и поэтому здесь не описан. Сжатое и понятное описание можно найти в [13.9].

Любой, кто желает подробнее изучить эти аспекты теории Галуа, может обратиться к книгам по теории конечных полей. Сам Галуа был в 1832 году убит на дуэли в возрасте 20 лет. Будучи уверенным в том, что его почти наверняка убьют, он в ночь перед дуэлью не спал и написал работу, в которой изложил свои идеи, в надежде, что ее опубликуют. В конце концов эта работа действительно была опубликована в 1848 году. Подробности его жизни и научной работы можно найти в книгах по истории математики, например [13.13].