3: Primzahlen. 111 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen

Transkript

1 3: Primzahlen 111 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen

2 Definition 40 (Teiler, Vielfache, Primzahlen, zusammengesetzte Zahlen) Seien a, b N. a ist ein Teiler von b ( a b ), falls es ein k N gibt mit a k = b. Die trivialen Teiler von b sind 1 und b. Ist a ein Teiler von b, dann ist b ein Vielfaches von a. X N heißt Primzahl, wenn X durch genau zwei natürliche Zahlen teilbar ist, nämlich die trivialen Teiler. Die Zahl X N heißt zusammengesetzt, wenn X durch mehr als zwei natürliche Zahlen teilbar ist. Die 1 ist keine Primzahl. Für alle a, b, c N gilt: a b a bc. Transitivität: a b und b c a c. 112 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen

3 3.1: Wichtige Ergebnisse der Zahlentheorie Chinesischer Restsatz (ohne Beweis) Seien m 1,..., m k : paarweise teilerfremde natürliche Zahlen, m = m 1 m k und a 1,... a k : ganze Zahlen. Für 1 i k gelte M i = m/m i und y i = M 1 i mod m i. Dann gilt für x a i y i M i mod m : 1 i k x a 1 mod m 1, x a 2 mod m 2,..., und x a k mod m k. 113 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.1: Wichtige Ergebnisse

4 Folgerung 41 (Fingerabdrucksatz) Seien p, q teilerfremd, x p Z p, x q Z q. Dann gibt es genau ein x Z pq mit x x p (mod p) und x x q (mod q). (Folgt aus dem Chinesischen Restsatz) Satz 42 (Kleiner Satz von Fermat) Sind p eine Primzahl und a eine natürliche Zahl, dann gilt a p a (mod p). Ist p kein Teiler von a, gilt insbesondere a p 1 1 (mod p). (Ist p a, dann ist a p a 0 (mod p). Sonst zeige a p 1 1 (mod p); betrachte dazu 1a 2a..., (p 1)a = (p 1)! a p 1 : (p 1)! a p 1 = 1a 2a... (1) (p 1)! (mod p) ( (1) : Folgerung aus Satz von Bézout). Weil (p 1)! teilerfremd zu p ist, können wir die Kürzungsregel anwenden: 1 a p 1 (mod p).) 114 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.1: Wichtige Ergebnisse

5 3.2: Anwendung: RSA (Public-Key Kryptographie und Digitale Unterschriften) Briefkasten Schaufenster Schloss mit zwei Schlüsseln In der modernen Kryptographie: Erzeuge Gesamt-Schlüssel, bestehend aus einem öffentlichen und einem geheimen Schlüssel(-teil) Verschicken einer vertraulichen Nachricht: öffentliche Operation zum Verschlüsseln geheime Operation zum Entschlüsseln Digitales Unterschreiben einer Nachricht: geheime Operation zum Erzeugen einer Signatur öffentliche Operation zum Verifizieren der Signatur 115 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.2: RSA

6 PK Kryptographie (Geschichte) ca Ein Mitarbeiter des britischen Geheimdienstes erfindet die non-secret Kryptographie (wurde bis Ende der 90-er Jahre geheim gehalten) 1974 Merkle Puzzles 1976 Diffie und Hellman 1977 Rivest, Shamir, Adleman (RSA) seit 1990 zunehmende kommerzielle Bedeutung der asymmetrischen Kryptographie 116 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.2: RSA

7 Das RSA-Kryptosystem Schlüsselerzeugung: 1. Wähle zufällig große Primzahlen p und q; 2. berechne n = pq und ϕ(n) = (p 1)(q 1); 3. wähle e Z ϕ(n), d.h., ggt(e, ϕ(n)) = 1; berechne d mit ed 1 mod ϕ(n); 4. Schlüssel: Tripel (e, d, n); davon öffentlich: (e, n). Öffentliche Operation E ( encrypt ): (Z.B. Verschlüsseln einer Nachricht: x Z n ) E (e,n) (x) = x e mod n. Geheime Operation D ( decrypt ): D (e,d,n) (y) = y d mod n 117 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.2: RSA

8 Ein Beispiel in kleinen Zahlen Wir wählen p = 13, q = 11 und berechnen n = pq = 143. Es ist ϕ(n) = (p 1)(q 1) = 120. Wir wählen e = 7; insbesondere: ggt(7, 120) = 1. Für d = 103 gilt: ed = 721 = mod 120. (Man kann d mit Hilfe des Erweiterten Euklidischen Algorithmus berechnen.) Verschlüsseln des Klartextes 5: Entschlüsseln von 47: E(5) mod 143. D(47) mod S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.2: RSA

9 Die Korrektheit des RSA-Kryptosystems Wenn ich eine Nachricht verschlüssele und dann wieder entschlüssele, erwarte ich, dass ich wieder die gleiche Nachricht erhalte. Signieren analog: Sei S = D(M) die Unterschrift unter eine Nachricht M. Wir verifizieren eine unterschriebene Nachricht (M, S), indem wir E(S) = M überprüfen. Satz 43 (Korrektheit von RSA) Für alle x Z n gilt: D (e,d,n) (E (e,n) (x)) = x und E (e,n) (D (e,d,n) (x)) = x. (Mit Hilfe des kleinen Satzes von Fermat.) 119 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.2: RSA

10 Effizienz und Sicherheit von RSA Sicherheit: Man kennt keinen effizienten Algorithmus, um geeignet gewählte große zusammengesetzte Zahlen zu faktorisieren. Effizienz: Man kennt effiziente Algorithmen, um zufällig große Primzahlen zu erzeugen. 120 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.2: RSA

11 3.3: Faktorisieren & Primzahlen finden Primzahl testen: Gegeben eine Zahl n. Ist n prim? Primzahlen finden: Gegeben Werte a und B mit a < B 1. Finde eine zufällige Primzahl p mit p a und p < B. (Typisch: a = 2 n, B = 2a = 2 n+1.) Faktorisieren: Gegeben eine Zahl n, die nicht prim ist. Finde einen Teiler a n, 1 < a < n. Vollständiges Faktorisieren: Gegeben eine Zahl n. Finde alle Primteiler von n. 121 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

12 Faktorisierung großer ganzer Zahlen Das Faktorisieren großer ganzer Zahlen gilt als extrem schwierig. Dies überrascht, da die Multiplikation und sogar der Primzahltest vergleichsweise einfach sind. Anekdote: Frank Cole widerlegt 1903 eine fast 200 Jahre alte Vermutung von Mersenne: Obwohl er die Sonntage dreier Jahre benötigte, um die Faktoren von zu finden, konnte er innerhalb weniger Minuten, ohne weitere Worte darüber zu verlieren, ein großes Publikum davon überzeugen, dass diese Zahl keine Primzahl war, indem er einfach die Arithmetik der Berechnungen aufschrieb: = Stand der Forschung: Ist n das Produkt zweier zufälliger 1000-bit Primzahlen, kennt man keinen Algorithmus, um n innerhalb einiger Jahrhunderte zu faktorisieren. 122 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

13 Primzahlen finden Aufgabe: Gegeben Werte a und B mit a < B 1. Finde eine zufällige Primzahl p mit p a und p < B. (Typisch: a = 2 n, B = 2a = 2 n+1.) Lösung: Wiederhole: 1. wähle eine Zufallszahl z {a,... B 1}, 2. teste, ob z prim ist oder zusammengesetzt, bis z eine Primzahl ist. Gib z aus. Frage: Wie effizient ist dieses Verfahren? Wie oft wird die Schleife durchlaufen? (Häufigkeit der Primzahlen) Kann man effizient testen, ob z eine Primzahl ist? 123 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

14 Wie viele Primzahlen gibt es? Satz Es gibt unendlich viele Primzahlen. (Haben wir bereits bewiesen!) Das reicht uns nicht! Wir wollen das genauer wissen! Wir schreiben π(x) für die Anzahl der Primzahlen x. Bsp.: π(1) = 0, π(3) = 2 = π(4) = 2,..., π(124) = S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

15 Wie viele Primzahlen gibt es? (Genauer) Satz 44 (Primzahlsatz (Ohne Beweis)) Sei π(x) die Anzahl Primzahlen x. Für alle x 17 gilt: x ln x <π(x)< x ln x. Für Informatiker, die gerne zur Basis 2 logarithmieren, folgt 0.69 x log 2 x <π(x)<0.88 x log 2 x. 125 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

16 Primzahlen testen Schön, dass es genug Primzahlen gibt. Aber wenn wir nicht effizient faktorisieren können, wie können wir dann effizient feststellen, ob eine Zahl prim ist? Es gibt effiziente probabilistische Primzahltests (z.b. Miller-Rabin ), die wir in dieser Vorlesung aber nicht genauer analysieren werden. Das Grundidee können wir aber einem alten Bekannten abschauen, dem kleinen Satz von Fermat. 126 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

17 Primzahl-Test mit dem Kleinen Fermat Fermat-Zeugen und -Lügner Sei ein ungerader Primzahlkandidat n gegeben. Wir bezeichnen eine natürliche Zahl a < n als Zeugen dafür, dass n nicht prim ist, wenn die folgende Ungleichung gilt: a n 1 1 (mod n) Ist n zusammengesetzt und gilt trotzdem a n 1 1 (mod n), dann nennen wir a einen Fermat-Lügner. Ist n > 1, dann sind 1 und n 1 triviale Fermat-Lügner. (1 ist klar aber warum eigentlich lügt n 1?) 127 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

18 Der Fermat-Test Fermat-Test mit k Wiederholungen Eingabe n > wähle zufällig a 1,... a k {2,... n 2} 2. und berechne b i := a n 1 i mod n. Ist eines der b i 1, dann gib ganz sicher zusammengesetzt aus. Sonst gib vermutlich prim aus. 128 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

19 Teilerfremdheit und Fermat-Zeugen Ist a n 1 1 (mod n), dann ist a a n 2 1, also ist a n 2 das multiplikative Inverse von a mod n. Folgerung: Wenn a < n gilt, und a und n nicht teilerfremd sind, dann 1. ist n nicht prim und 2. kann a kein Fermat-Lügner sein. Anders ausgedrückt: Es gibt Kronzeugen a < n mit ggt(a, n) > 1. Alle Kronzeugen sind Fermat-Zeugen. Aber wenn man einen Kronzeugen hat, kann man n auch ohne Fermat-Test als zusammengesetzt entlarven.... Die Berechnung des ggt reicht vollkommen... Definition 45 Sei n eine zusammengesetzte Zahl. Wir nennen einen Zeugen a < n normal, wenn ggt(a, n) = 1 gilt. 129 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

20 Erfolgswahrscheinlichkeit Satz 46 (Ohne Beweis) Ist n 3 ungerade und zusammengesetzt, und gibt es mindestens einen normalen Fermat-Zeugen für n, dann sind mehr als die Hälfte aller Zahlen in {2,..., n 2} Fermat-Zeugen. (Der Beweis ist nicht schwierig, braucht aber doch mehr mathematische Werkzeuge, als wir im Moment kennen.) Folgerung 47 Ist n 3 ungerade und zusammengesetzt, und gibt es mindestens einen normalen Fermat-Zeugen für n, dann ist die Wahrscheinlichkeit, dass der Fermat-Test mit k Wiederholungen fälschlich vermutlich prim ausgibt, < 1/2 k. 130 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

21 Beispiele (k = 2, a 1 = 2 und a 2 = 3) Es ist (mod 15), also ist 15 keine Primzahl. Es ist (mod 13). Und es ist (mod 13). Vermutlich ist 13 prim. Es ist (mod 1105). Und es ist (mod 1105). Vermutlich ist 1105 prim. Falsch! Die Zahl ist nicht prim: 1105 = S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

22 Gibt es perfekte Verbrecher? Gibt es ungerade zusammengesetzte Zahlen, für die keine normalen Fermat-Zeugen existieren? Leider ja: Definition 48 Eine Carmichael-Zahl ist eine zusammengesetzte natürliche Zahl c, wenn für alle zu c teilerfremden a < c gilt: a c 1 1 (mod c). Die kleinste Carmichael-Zahl ist 561 = (Sie wurde 1910 von R. D. Carmichael gefunden.) Es gibt unendlich viele Carmichael-Zahlen. (Das wurde lange vermutet, aber erst nach 1990 bewiesen.) 132 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

23 Primzahlsuche in der Praxis Statt des Fermat-Tests verwendet man meistens eine Weiterentwicklung, den Primzahltest von Miller und Rabin. Ein Durchlauf des Miller-Rabin-Tests kann jede zusammengesetzte Zahl n mit mindestens der Wahrscheinlichkeit 3/4 entlarven selbst wenn n eine Carmichael-Zahl sein sollte. Um die Primzahl-Suche effizienter zu gestalten: Teste zuerst Teilbarkeit durch kleine Primzahlen (z.b., durch alle Primzahlen < 1000). Wende den eigentlichen Primzahltest nur auf die übriggebliebenen Primzahlkandidaten an. 133 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co

24 Eine besondere Klasse von Algorithmen Ein randomisierter Algorithmus (auch stochastischer oder probabilistischer Algorithmus) verwendet im Gegensatz zu einem deterministischen Algorithmus Zufallsbits um seinen Ablauf zu steuern. Es wird nicht verlangt, dass ein randomisierter Algorithmus immer effizient eine richtige Lösung findet. Randomisierte Algorithmen sind in vielen Fällen einfacher zu verstehen, einfacher zu implementieren und effizienter als deterministische Algorithmen für dasselbe Problem. 134 S. Lucks Diskr Strukt. (WS 18/19) 3: Primzahlen 3.3: Faktorisieren & Co