公钥密码 5.2 RSA安全性分析.pptVIP

密码学 第五章 公钥密码 5.2 RSA安全性分析 由N和e求d的难度分析 2 不动点攻击 3 大合数分解进展 1 共模RSA体制的分析 4 5.2 RSA安全性分析 选取 e , gcd(e, ?(N)) = 1, 求 d 使得 选取 e , gcd(e, ?(N)) = 1, 求 d 使得 保密 通信 参数 选取 选取两个大素数 p , q，计算 N = pq , ed ?1 mod?(N) 保密参数：p, q, d 公开参数：N , e 加密： 脱密： N 回顾RSA密码体制 RSA的安全性基础：大合数分解的困难性 目前分解大合数的最好算法是数域筛法，其计算复杂性是亚指数时间： 例: 分解2048位大合数的复杂性为：2117 . 一个 1 GHz的CPU需工作 594 万亿年. 一、大合数分解进展 RSA 模数分解纪录 640 576 512 465 428 Size(bit) F. Bahr J. Franke Montgomery Montgomery Atkins Who RSA-193 RSA-174 RSA-155 RSA-140 RSA-129 Number 2005 1998 2003 1999 1992 Year 分解RSA-193使用了80 个 2.2 GHz的CPU 用时 5 个月 一、大合数分解进展 4×1014 万亿年 2157 4096 bit 594 万亿年 2117 2048 bit 4026 年 277 768 bit 4620 亿年 2104 1536 bit 462 万年 287 1024 bit 66 年 271 640 bit 分解时间 (1 GHz的CPU) 计算复杂性 合数规模 合数规模与分解难度的关系 一、大合数分解进展 故可得到 的一个倍数 ed - 1。 假设能够由 N 和 e 求出d , 则由 结论:求 d 的难度 求 倍数的难度 二、由N和e求d的难度分析 下面我们将证明 定理1 如果已知 的一个倍数 R ，则 就可以在概率多项式时间内分解大合数 N。 求 倍数的难度 分解大合数 N 的难度 二、由N和e求d的难度分析 则利用 a 可以分解 N . 可以分解 N 引理1 若 a 为小于 N 的自然数, 且 证明: 证毕 二、由N和e求d的难度分析 则利用 x, y 可以分解 N . 可以分解 N 引理2 设自然数 x, y 满足 证明: 证毕 二、由N和e求d的难度分析 证明: 不妨设 为奇数 则对任意的非零 可以分解 N 定理1 如果已知 的一个倍数 R ，则就可以在概率多项式时间内分解大合数N。 二、由N和e求d的难度分析 二、由N和e求d的难度分析 ………… 对?(N)的一个倍数R=2s r , 任取w∈{1, 2, …, N-1} 可以分解 N 对于t = s-1,…,1,0, 只要有一个满足 可以分解 N 可以分解 N 就可以分解 N . 二、由N和e求d的难度分析 在{1, 2, …, N-1}中, 随机选取 1 个 w , 能够分解N的概率 随机选取 k 个 w 都不能分解N 的概率 在{1, 2, …, N-1}中随机选取 1 个 w , 不能分解N的概率 二、由N和e求d的难度分析 ≥0.999999999 反之, 随机选取 k 个 w , 能够分解 N 的概率 证毕 已知?(N)的一个倍数 R ，就可以在概率多项式时间内分解N。 例: k = 30，则利用欧几里德算法以 的概率分解 N 例: k = 30 二、由N和e求d的难度分析 分解 N 分解 N 的难度 求 d 的难度 d d 分解 N ?(N) 的倍数 ?(N) 的倍数 d 分解 N 二、由N和e求d的难度分析 定义 如果 则称 m 为RSA的一个不动点。 特点： (1) 密文就是明文，因而直接暴露了明文。 三、不动点攻击 (2) 利用一个非零不动点可以超过1/2的概率分解N gcd(w, N)≠1 gcd(w, N) = 1 可以分解N 对于任一非零不动点 w 可以超过1/2的概率分解 N 三、不动点攻击 RSA不动点的个数 的解的个数为 的解的个数为 即同余方程 的解的个数 三、不动点攻击 这就是RSA体制的不动点的个数。 的解的个数就是 三、不动点攻击 RSA体制的不动点的个数 均为偶数 三、不动点