Ferienakademie 2001: Kryptographie und Sicherheit offener Systeme. Faktorisierung. Stefan Büttcher

Transkript

1 Ferienakademie 2001: Kryptographie und Sicherheit offener Systeme Faktorisierung Stefan Büttcher 1

2 Definition. (RSA-Problem) Gegeben: Ò ÔÕ, ein RSA-Modul mit unbekannten Primfaktoren Ô und Õ, ein dazugehöriger Public Key. Gesucht: der zu passende Private Key : ½ ÑÓ Òµµ. Definition. (Faktorisierungsproblem) Gegeben: eine (zusammengesetzte) Zahl Ò mit unbekannten Primfaktoren Gesucht: Primzahlpotenzen Ô und eine endliche Indexmenge Á: Ô µ Ò Á 2

3 Satz. Das RSA-Problem lässt sich in polynomialer Zeit auf das Faktorisierungsproblem reduzieren: RSA-Problem È Faktorierungsproblem. Begründung: Es sei ein Algorithmus, der die Primfaktorzerlegung in Ô ½ Ô µ, Ç Ò Æ, berechnet. ½ È Òµ Wegen ½ ÑÓ Òµµ lässt sich sich der Private Key mit dem erweiterten Euklidischen Algorithmus Ç Ò in µ berechnen. ¾ µ Wenn das Faktorisierungsproblem effizient lösbar ist, dann ist RSA unsicher! 3

4 Ein erster Versuch: Trial Division Idee: Für alle natürlichen Zahlen Ô Ô Ò teste, ob Ô Ò. Ô Ò: Ô Ò: Teiler gefunden: STOP. Kein Teiler: CONTINUE. Aufwand: Ç Ò ¾ Ô ¾ Ò µ. Division: Ç Ò ¾ µ. Anzahl Schleifendurchläufe (worst case): Ô Ò Ô ¾ Ò. Verbesserung: Teste nur Primzahlen Ô. È Ô Ô Ò Ô Ø ÈÖ ÑÞ Ð. È Gesamtaufwand: Ç Ò Ô ¾ Ò µ. Ò Ô. ÐÒ ÔÒµ 4

5 Number trialdivision(number n) Number s := Ò; boolean isprime[] := new boolean[s]; Ô for (i := 2; i <= s; i++) isprime[i] := true; for (i = 2; i <= ); i++) if (isprime[i]) Ô j := i * i; while (j <= s) isprime[j] := false; j := j + i; for (i = 2; i <= s; i++) if ((isprime[i]) && (n % i == 0)) return i; return -1; 5

6 Methode von Fermat Idee: Finde Zahlen Ü Ý Ò Ü ¾ Ý ¾ Ü Ýµ Ü Ýµ. x := Ò ; y := 0; Ô ¾ do while (x - y > n) y := y + 1; if (x - y < n) x := x + 1; while (x - y n); Entgegengesetzte Laufrichtung: Ô Ò, ( Ô Ò ½),..., ½. Gut geeignet zum Finden von Faktoren in der Nähe von Ô Ò. 6

7 Ý Ý Pollards Rho-Algorithmus Ò Sei zusammengesetzt Ô und ein nicht-trivaler Teiler von Ò. Sei ferner ܵ Ü ¾ ½. Betrachte die Folge Ü ¼ ½ Ü Ü ½ µ ÑÓ Ò ½ Sei nun Ý Ü mod Ô. Wegen Ü Ü ½ µ ÑÓ Òµ folgt dann Ý Ý ½ µ ÑÓ Ôµ Da es nur Ô verschiedene Kongruenzklassen modulo Ô gibt, ergibt sich irgendwann eine Kollision: Ý Ý und somit ein Zyklus: Æ 7

8 Der Namensgeber: y i+1 y i+2 y=y i j y j-1 y 1 y 0 Aus Ý Ý folgt nun: Ü Ü ÑÓ Ôµ µ Ô Ü Ü µ Falls Ü Ü, ist mit Ì Ò Ü Ü µ ein echter Teiler von Ò gefunden. Problem: Wie findet man die Indizes und? Speichern aller Werte bei Weitem zu teuer! 8

9 Ü Ü Ü ½¾ Ü Ü ½ Ü Ü ½ Ü Ü ½ Und deren Produkte, z.b. Ñ Ü Ü µ Ü ¾ Ausweg: Verfahren von Brent oder Floyd s Cycle Trick Floyd s Cycle Trick Konstruiere eine Ü Folge Ý µ Ü µ Ý µµµ: Ü ½ Ü ¾ µ Ü ¾ Ü µ Ü Ü µ Ü Ü µ Ist ein Paar Ü Ýµ mit Ì Ò Ü Ýµ gefunden: STOP. Verfahren von Brent Betrachte die Differenzen Ü ½ Ü Ü Ü ¾ Ü µ. Ist ein Produkt Ñ Ü Ì Ò Ñµ mit gefunden: STOP. Ì Ò Ñµ Ò (Bei evtl. Backtracking.) 9

10 B-potenzglatt, falls für alle Primpotenzen Ô Pollards (p-1) - Algorithmus Definition. Sei eine natürliche Zahl. Eine ganze Zahl heiße B-glatt, falls für alle Primfaktoren Ô gilt: Ô, gilt: Ô. Pollards Idee Sei Ò eine zusammengesetzte Zahl und ein Ô Primfaktor. Sei beliebig, so dass Ô ½µ. Wegen Ô ½ ½ ÑÓ Ôµ Ð Ò Ö ÖÑ Ø Ö Ë ØÞµ ist auch ½ ÑÓ Ôµ Ð Ò Ö ÖÑ Ø Ö Ë ØÞµ µ Ô ½µ 10

11 Wenn Ò ½µ, dann ist wie beim Rho-Verfahren Ì Ò ½µ ein echter Teiler von Ò. Problem: Wie findet man ein geeignetes? Ô ½µ Sei -potenzglatt. Dann ist Vielfaches Ô von ½. for (j := 2; j <= B; j++) { a := aˆj mod n; if (j % 5 == 0) { g := gcd(a - 1, n); if (g > 1) return g; } } Platzbedarf: Ç Ç Ò µ. Zeitbedarf: µ. Ò ÐÒ µ 11

12 Fermats Idee: Finde Ü, Ý, so dass Ü ¾ Ý ¾ Ò Variation: (von Kraitchik oder Legendre) Ü ¾ Ý ¾ ÑÓ Òµ µ Ò Ü ¾ Ý ¾ µ µ Ò Ü Ýµ Ü Ýµ Wenn nun Ò Ü Ýµ, dann ist mit Ì Ò Ü Ýµ ein nicht-trivialer Faktor gefunden. Problem: Wie findet man Paare Ü Ýµ Ü ¾ Ý ¾ ÑÓ Òµ? 12

13 Methode von Dixon Sei µ ÑÓ Ò und eine Menge von Primzahlen (,,Faktorbasis ). Suche Paare µµ, so µ dass µ und über der Faktorbasis zerlegbar ist: Bilde Produkte Ô Ø ÔÖ Ñ µ Ô µ µ Ô µ Ë ¼ ½ Ë ¼ ¼ µ ½ µ µ so dass alle Primfaktorpotenzen von Ë ¼ geraden Exponenten haben. Es gilt ¾ µ ÑÓ Òµ Á µ Ë ¾ Ë ¼ ÑÓ Òµ Die gesuchte Form ist erreicht: Ô ¼ Ë Ü Ë Ý 13

14 Beispiel. Sei Ò ½ ein RSA-Modul und ½ die Faktorbasis. Es seien bereits folgende Kongruenzen gefunden: ¾ ¾ ½ ÑÓ Òµ ¾ ¾ ÑÓ Òµ ¾ ¾ ½ ÑÓ Òµ Dann folgt: ¾ ¾ ¾ µ ¾ ½µ ¾ ÑÓ Òµ ½½ ¾ ½ ¾ ÑÓ Òµ µ Ì ½½ ½ ½ µ ½½ ist ein Teiler von Ò. Ist die Größe der Faktorbasis, dann müssen höchstens ½ Kongruenzen gefunden werden, damit die quadratische Form hergestellt werden kann. 14

15 Herstellen der quadratischen Form durch Gauß sche Elimination. Beispiel. Ò ½ Sei ¾ ½½ ½ und ½. Folgende Kongruenzen sind bereits gefunden: ¾¼ ¾ ¾ ½ ¾¾ ¾ ¾ ½½ ¾ ¾ ½ ¾ ¾ ¾ ¾ ¾ ¾ ¾ ¾ ¾ ¾ ¾ ¾ ½ ÙÒ ¾ ¾ ½½ Es resultiert die Matrix:

16 Die Matrix wird modulo 2 reduziert und dann mit Gauß transformiert:

17 Es ergibt sich, dass Ì ½½ ½ ½ µ ½½ ÙÒ Ì ¾ ½ µ ½½ Frage: Wie viele Kongruenzen müssen faktorisiert werden? Annahmen: Die Zeilen µ-matrix sind linear unabhängig. Ist ein perfektes Quadrat gefunden, gilt in 50% aller Fälle: Ü Ý ÑÓ Òµ µ Ü Ý Òµ Ò Dann ist die Wahrscheinlichkeit, einen nicht-trivialen Teiler zu finden È ½ ¾ 17

18 Optimale Wahl der Faktorbasis Welche Primzahlen sollten aufgenommen werden? Gesucht ist nach Primzahlen Ô, so dass Ô Ö Ö Òµ µ Ò Ö ¾ ÑÓ Òµ also Ò quadratischer Rest modulo Ô ist. µ das Legendre-Symbol Ò Ôµ muss +1 sein. Reduktion der Faktorbasis um ungefähr die Hälfte! 18

19 Das Quadratische Sieb Wenn Ò quadratischer Rest modulo Ô ist, also Ò ¾ ÑÓ Ôµ Ó Ö Ò µ ¾ ÑÓ Ôµ gilt, dann ist wegen Ôµ ¾ ¾ ¾ Ô ¾ Ô ¾ auch Ò Ö ¾ ÑÓ Ôµ Ö ÑÓ Ôµ Das heißt: Wenn es muss für jedes Ô nur einmal der Wert von berechnet werden. Danach steht genau fest, welche Öµ durch ein bestimmtes Ô teilbar sind. Es fallen keine erfolglosen Probedivisionen mehr an! 19

20 Ò ¾µ ½ ½ ¾ Ò ÑÓ ¾µ Ò µ ½ ½ ¾ ¾ ¾ Ò ÑÓ µ Ò µ ½ ½ ¾ ¾ Ò ÑÓ µ Ò ½ µ ½ ½ ¾ ½¾ ¾ Ò ÑÓ ½ µ ½ ¾ ½ ½ ¾ ½¼¾ ½ ¾ ½ ¾ ½¼ ¾¼ ¾ ½ ¾½ ¾ ¼ ¾¾ ¾ ¾ ¾ ½ ¾ ¾ ½ Beispiel. Sei Ò ½. Aufbau einer Faktorbasis mit : Ò µ ½ Ò ½½µ ½ Aufbau des Siebintervalls: Ohne Probedivision ist sofort erkennbar: ½ µ, ½ µ, ¾½µ und ¾ µ sind durch ¾ teilbar, ½ µ, ½ µ, ¾½µ und ¾ µ sind durch teilbar. 20

21 Ô Dividieren ohne Division Angenommen, eine Zahl Ñ könne komplett üeber der Basis zerlegt werden: Ô Ô ½ Ô ¾ Ô µ Ñ ½ µ ÐÓ Ñµ ÐÓ Ô µ ½ Beim Sieben sind keine Divisionen mehr nötig! Zusammenfassung: Quadratisches Sieb Aufbau einer Faktorbasis mit Primzahlen Ô Ò Ôµ ½, Lösen der Kongruenzen Ø ¾ Ò ÑÓ Ôµ, Finden von genügend vielen zerlegbaren Kongruenzen, Konstruktion der quadratischen Form. 21

22 Continued Fractions (CFRAC) Selbes Prinzip wie beim Quadratischen Sieb, aber Geschwindigkeit nicht durch Siebverfahren, sondern durch spezielle Reihenentwicklung, so dass ¾ Ò. Ô Öµ Asymptotische Laufzeiten Continued Fractions: Ç ¾ ÔÐÒ Òµ ÐÒ ÐÒ Òµµ µ, Quadratic Sieve: Ç ½ Ó ½µµ ÔÐÒ Òµ ÐÒ ÐÒ Òµµ µ, Elliptic Curve Method: Ç ½ Ó ½µµ Ô¾ ÐÒ Ôµ ÐÒ ÐÒ Ôµµ µ, Number Field Sieve: Ç ½ ¾ Ó ½µµ ÐÒ Òµµ½ ÐÒ ÐÒ Òµµµ ¾ µ. 22