何大可 彭代渊 唐小虎 何明星 梅其祥 现代密码学-第4章公钥密码体制-20091110.pptVIP

现代密码学 彭代渊 信息科学与技术学院 dypeng@ 2009.9-2010.1 现代密码学 Modern Cryptography 彭代渊 信息科学与技术学院 dypeng@ 2009年11月 第4章 公钥密码体制 4.1 公钥密码体制概述 4.1 公钥密码体制概述 4.1 公钥密码体制概述 第4章 公钥密码体制 4.2 RSA密码体制 4.2 RSA密码体制 4.2 RSA密码体制 4.2 RSA密码体制 4.2 RSA密码体制 4.2 RSA密码体制 4.2 RSA密码体制 4.2 RSA密码体制 4.2 RSA密码体制 4.2 RSA密码体制 对RSA的攻击 对RSA的攻击 对RSA的攻击 对RSA的攻击 RSA的安全参数 RSA的安全参数 RSA的安全参数 RSA的安全参数 RSA的安全参数 第4章 公钥密码体制 4.3.1 ElGamal密码系统 4.3.1 ElGamal密码系统 4.3.1 ElGamal密码系统 4.3.1 ElGamal密码系统 4.3.1 ElGamal密码系统 4.3.1 ElGamal密码系统 4.3.1 ElGamal密码系统 第4章 公钥密码体制 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 4.3.2 椭圆曲线密码系统 第4章 习 题 P.107: 习题 1, 2, 3, 4, 5. 离散对数问题 设p是一个素数, a是GF(p)的一个本原元, 任给a?GF(p)*,存在k (0?k ? p-2), 使得 b=ak mod p, 把k称为b的以a为底的模p的对数，记为 k=logab. 离散对数问题是困难问题 对于合理选择的素数p，求解离散对数问题尚无多项式时间算法。 离散对数基本算法 设GF(p)中两个元素乘积的时间复杂度为:O(1). 穷举搜索法: 依次计算：a,a2,a3,…,直到ak=b. 时间复杂性为: O(p). 二分搜索法: 计算表(i, ai) i=1,2,3,…,p-1: 时间复杂度为: O(p). 存储空间: O(p). 将表(i, ai)按第二坐标排序 时间复杂度为: O(plogp). 搜索: 时间复杂度为: O(1). 厄格玛尔(ElGamal)密码体制 密钥产生: 选择素数p，整数g, x满足 0g, xp, 计算 y=gx mod p. 公钥: (p, g, y) 私钥: x 加密算法: 设明文为m (0mp), 随机选取k(0kp), 计算 c1=gk mod p, c2=ykm mod p. 密文: c=(c1, c2) 解密算法: 设密文为c=(c1, c2), 则明文为 m=c2?(c1x)-1 mod p. 例4.3.1 ElGamal密码系统的安全性 GF(p)上离散对数的困难性 p应为150位以上的十进制数 p-1应有大的素因子 随机数k必须保密 如果攻击者获得随机数k, 则由c2=ykm mod p, 可得m。 随机数k必须是一次性的 如果用同一个随机数k对m与m’加密, 密文分别为： c=(c1, c2), c’=(c1’, c2’), ? c2 /c2’=ykm/ykm’ =m/m’, 当攻击者获得m后，就能得到m’。 4.1 公钥密码体制概述 4.2 RSA公钥密码体制 4.3 离散对数公钥密码体制 4.3.1 ElGamal密码系统 4.3.2 椭圆曲线密码系统 有限域上的椭圆曲线 设p ?3是素数, Fp= {0,1,…, p-1}是有限域, a, b?Fp, ?=4a3+27b2?0 mod (p), 同余方程 y2=x3+ax+b 在Fp中的全部解, 连同一个特殊元素O 所成的集合 E={