第5章(RSA公钥密码体制)

中国剩余定理提供了一个非常有用的特性， 即在模M下可将非常大的数x由一组小数 (a1,a2,…,ak)表达。
例4.4 由以下方程组求x。
x 1mod 2 x 2 mod 3 x 3mod 5 x 5 mod 7
解： M=2· 5· 3· 7=210，M1=105，M2=70， M3=42，M4=30,易求e1≡M-11 mod 2≡1,e2≡M1 mod 3≡1,e ≡M-1 mod 5≡3,e ≡M-1 mod 7≡4,所 2 3 3 4 4 以 x mod 210≡(105×1×1+70×1×2+42×3×3+30×4× 5) mod 210≡173，或写成x≡173 mod 210。
x b1 (mod m1 ), x b2 (mod m2 )
有一个共同解的充要条件是
b1 b2 (mod d ), 其中d m1，m2） （
定理5.3 联立同余式
x bi (mod mi ), i 1,2,, n
有一个共同解的充要条件是
(mi , m j ) bi b j , 其中i j , i, j 1,2, , n
于是公钥密码体制的概念是在解决单钥密码 体制中最难解决的两个问题时提出的，这两个 问题是密钥分配和数字签名。
公钥密码体制的原理
公钥密码算法的最大特点是采用两个相关密 钥将加密和解密能力分开，其中一个密钥是公 开的，称为公开密钥，简称公开钥，用于加密； 另一个密钥是为用户专用，因而是保密的，称 为秘密密钥，简称秘密钥，用于解密。因此公 钥密码体制也称为双钥密码体制。算法有以下 重要特性： 已知密码算法和加密密钥，求解 密密钥在计算上是不可行的。
的ei是惟
下面证明对i∈{1,2,…,k}，上述x满足 ai(mod mi)≡x。注意到当j≠i时，mi|Mj，即 Mj≡0(mod mi)。所以 (Mj×ej mod mj) mod mi ≡((Mj mod mi)×((ej mod mj) mod mi)) mod mi ≡0 而(Mi×(ei mod mi)) mod mi≡(Mi×ei) mod mi≡1 所以x(mod mi)≡ai，即ai(mod mi)≡x
5.3.3Wilson定理
Wilson定理给出p是素数的一个 充要条件, 此定理在理论上具有比较重要的价值. 定理(Wilson):p是素数的充要条件是
( p 1)! 1(mod p)
5.3.4欧拉函数
设n是一正整数，小于n且与n互素的正整 数的个数称为n的欧拉函数，记为φ(n)。 例如： φ(6)=2 ，φ(7)=6 ，φ(8)=4。 若n是素数，则显然有φ(n)=n-1。 定义5.1 欧拉函数 (m) 是一个定义在正整 数上的函数, (m)的值等于序列 0,1,2,…,m-1中与m互素的数的个数.
ua 1(mod b), vb 1(mod a)
欧几里得（Euclid）算法是数论中的一个基 本算法，是求两个正整数的最大公因子的简化 过程。而推广的Euclid算法不仅可求两个正整 数的最大公因子，而且当两个正整数互素时， 还可求出其中一个数关于另一个数的乘法逆元。
例 求gcd(1769, 550)。 gcd(1769,550)=1，550-1 mod 1769=550。
注意这里的易于计算和不可行两个概念与计 算复杂性理论中复杂度的概念极为相似，然而 又存在着本质的区别。在复杂性理论中，算法 的复杂度是以算法在最坏情况或平均情况时的 复杂度来度量的。而在此所说的两个概念是指 算法在几乎所有情况下的情形。称一个函数是 陷门单向函数，是指该函数是易于计算的，但 求它的逆是不可行的，除非再已知某些附加信 息。当附加信息给定后，求逆可在多项式时间 完成。
总结为： 陷门单向函数是一族可逆函数fk， 满足 ① Y=fk(X)易于计算（当k和X已知时）。 ② X=f-1k(Y)易于计算（当k和Y已知时）。 ③ X=f-1k(Y)计算上是不可行的（当Y已知但k 未知时）。 因此，研究公钥密码算法就是要找出合适的 陷门单向函数。
5.2计算复杂性理论
计算复杂性理论是分析密码技术的计算要 求和研究破译密码的固有难度的基础. 用于破译密码算法的计算复杂性,决定了该 密码的强度.算法的计算复杂性是用该算 法所需的计算时间(T)和存储空间(S)要 求来度量的.计算时间和存储空间通常理 解为所需输入数据的长度n的函数f(n),表 示用”大O”表示法:
对模M有惟一解:其中ei满足
M ei 1 mod mi mi
i 1,
2, , k
证明：设
Mi M
mi
ml
l 1 l i
k
,i=1,2,…,k，由Mi
的定 义得Mi与mi是互素的，可知Mi在模mi下有惟 一的
乘法逆元，即满足 一的。
M ei 1 mod mi mi
f (n) ( g (n)) ,若存在满足下面要求的常数 c和 n0 , 使得
f (n) c g (n) ,当n n0
例:设f(n)=8n+10,那么f(n)=O(n),因为 8n+10≤9n,当n≥10. 一般地,若f(n)是下面形式的余定理） 设m1,m2,…,mk是 k 两两互素的正整数，M mi ，则一次同余方 i 1 程组
a1 mod m1 x a2 mod m2 x a mod m x k k M M M x e1a1 e2 a2 ek ak mod M m2 mk m1
第5章 RSA公钥密码体制
开课学院：数学学院 主讲教师：朱文余
Email:zhuwenyus@
第5章 RSA公钥密码体制
5.1 概论 5.2 计算复杂性理论 5.3 必备的数论知识 5.4 RSA 公钥系统 5.5 RSA 公钥系统的一种改进方案 5.6 大素数的产生 5.7因数分解 5.8对RSA 体制中小指数的攻击 5.9 Rabin密码体制 5.10 RSA 在有限域Fp上多项式上的推广
公钥密码算法应满足的要求
公钥密码算法应满足以下要求: ① 接收方B产生密钥对（公开钥Keb和秘密钥 Kdb）在计算上是容易的。 ② 发方A用收方的公开钥对消息m加密以产 生密文c，即 c=E[m, Keb] 在计算上是容易的。 ③ 收方B用自己的秘密钥对c解密，即m=D[c, Kdb]在计算上是容易的。
图5.1是公钥体制加密的框图，加密过程有以下几步： ① 要求接收消息的一方，产生一对用来加密和解密 的密钥，如图中的接收者B，产生一对密钥Keb，Kdb ，其中Keb是公开钥，Kdb是秘密钥。 ② 接收方B将加密密钥（Keb）予以公开。另一密 钥则被保密（Kdb）。 ③ A要想向B发送消息m，则使用B的公开钥加密m ，表示为c=E[m, Keb],其中c是密文，E是加密算法。 ④ B收到密文c后，用自己的秘密钥Kdb解密，表示 为m=D[c, Kdb]，其中D是解密算法。
t
t 1
a1n a0
t
式中t为常数,那么有 f (n) O(n )
即忽略全部常数和低阶项. 通常,算法按其时间和空间的复杂性进行分类,如 果一个算法的复杂性是不依赖于n:O(1),常数级的; 多项式时间算法:
f (n) O(n )
t
指数时间算法: O (t ) ,式中t为常数,f(n) 是n的函数.任何密码算法的一个基本要求是: 加解密只需要多项式时间的代价,破译需要指 数时间的代价.书上表5-1给出了不同的算法 簇的运行时间.
中国剩余定理
中国剩余定理是数论中最有用的一个工具， 定理说如果已知某个数关于一些两两互素的数 的同余类集，就可重构这个数。 例如：Z10中每个数都可从这个数关于2和5 （10的两个互素的因子）的同余类重构。比如 已知x关于2和5的同余类分别是[0]和[3]，即x mod 2≡0，x mod 5≡3。可知是偶数且被5除后 余数是3，所以可得8是满足这一关系的惟一的 x。
f (n )
5.2.2问题复杂性和NP完全
P-问题:可利用确定性算法在多项式时间 内可解决. NP问题(整数分解):可利用非确定性算法 在多项式时间内可解决,或者给定一个解 ,判断这个解是否正确可在多项式时间内 可解决. NP完全问题(背包问题): NP问题中最困 难的问题.--------矩阵覆盖问题.
④ 敌手由B的公开钥Keb求秘密钥Kdb在计算 上是不可行的。 ⑤ 敌手由密文c和B的公开钥Keb恢复明文m 在计算上是不可行的。 ⑥ 加、解密次序可换，即 Ekeb[Dkdb(m)]=Dkdb[Ekeb(m)]
其中最后一条虽然非常有用，但不是对所有 的算法都作要求。
以上要求的本质之处在于要求一个陷门单向 函数。单向函数是两个集合X、Y之间的一个 映射，使得Y中每一元素y都有惟一的一个原 像x∈X，且由x易于计算它的像y，由y计算它 的原像x是不可行的。这里所说的易于计算是 指函数值能在其输入长度的多项式时间内求出， 即如果输入长n比特，则求函数值的计算时间 是na的某个倍数，其中a是一固定的常数。这 时称求函数值的算法属于多项式类P，否则就 是不可行的。例如，函数的输入是n比特，如 果求函数值所用的时间是2n的某个倍数，则认 为求函数值是不可行的。
5.1概论
1.传统密码在密钥分配及管理上是极其困 难的; 2.在商业上有时不可能作到通信双方事先 预约使用相同的密钥.
单钥密码体制在进行密钥分配时，要求通信 双方或者已经有一个共享的密钥，或者可借助 于一个密钥分配中心。对第一个要求，常常可 用人工方式传送双方最初共享的密钥，这种方 法成本很高，而且还完全依赖信使的可靠性。 第二个要求则完全依赖于密钥分配中心的可靠 性。第二个问题数字签名考虑的是如何为数字 化的消息或文件提供一种类似于为书面文件手 书签字的方法。 1976年W.Diffie和M.Hellman对解决上述两个 问题有了突破，从而提出了公钥密码体制。