第4章 公钥密码.ppt

The end! Thanks 证明，当p≡q≡3 mod 4，两个方程 x2≡c mod p, x2≡c mod q 的平方根都可容易地求出。 由p≡3 mod 4得，p+1=4k，即1/4(p+1)是一整数。因c是模p的平方剩余，故 所以 和 是方程x2≡c mod p的两个 根。 同理 和 是方程x2≡c mod q的两个 根。 由4.1.8节知，求解方程x2≡a mod n与分解n是等价的，所以破译Rabin密码体制的困难程度等价于大整数n的分解。 经过组合可得4个同余方程组 由中国剩余定理可解出每一方程组的解，共有4个，即每一密文对应的明文不惟一。为了有效地确定明文, 可在m中加入某些信息, 如发送者的身份号、接收者的身份号、日期、时间等。 4.6 椭圆曲线密码体制 为保证RSA算法的安全性，它的密钥长度需一再增大，使得它的运算负担越来越大。 相比之下，椭圆曲线密码体制ECC（Elliptic Curve Cryptography）可用短得多的密钥获得同样的安全性，因此具有广泛的应用前景。 ECC已被IEEE公钥密码标准P1363采用。 4.6.1 椭圆曲线 椭圆曲线并非椭圆，之所以称为椭圆曲线是因为它的曲线方程与计算椭圆周长的方程类似。一般来讲，椭圆曲线是以下形式的三次方程： y2+axy+by=x3+cx2+dx+e (4.1) y2=x3+ax+b[标准形式] 其中a，b，c，d，e是满足某些简单条件的实数。定义中包括一个称为无穷点的元素，记为O。 图4.4 椭圆曲线的两个例子 显然，椭圆曲线关于x轴对称。其上的加法运算定义： 如果其上的3个点位于同一直线上，那么它们的和为O。加法法则如下： ① O为加法单位元，即对椭圆曲线上任一点P，有 P+O=P。 ② 设P1 = (x, y) 是椭圆曲线上的一点, 它的加法逆元定义为P2 = -P1 = (x, -y)。 因为P1、P2的连线延长到无穷远时，得到椭圆曲线上的另一点O，即椭圆曲线上的3点P1、P2，O共线，所以P1 + P2 + O = O，P1 + P2 = O，即P2 = -P1。 由O + O = O，还可得O = -O ③ 设Q和R是椭圆曲线上x坐标不同的两点，Q+R的定义如下： 画一条通过Q、R的直线与椭圆曲线交于P1（这一交点是惟一的，除非所做的直线是Q点或R点的切线，此时分别取P1=Q和P1=R）。由Q+R+P1=O得Q+R=-P1。 ④ 点Q的倍数定义如下： 在Q点做椭圆曲线的一条切线，设切线与椭圆曲线交于点S，定义2Q=Q+Q=-S。类似地可定义3Q=Q+Q+Q+, …，等。 以上定义的加法具有加法运算的一般性质，如交换律、结合律等。 4.6.2 有限域上的椭圆曲线 密码中普遍采用的是有限域上的椭圆曲线，有限域上的椭圆曲线是指曲线方程定义式(4.1)中，所有系数都是某一有限域GF(p)中的元素（其中p为一大素数）。其中最为常用的是由方程 y2≡x3+ax+b (mod p) (a, b∈GF(p), 4a3+27b2(mod p)≠0) (4.2) 定义的曲线。 例4.12 p=23，a=b=1，4a3+27b2(mod 23)≡8≠0 ，方程(4.2)为 y2≡x3+x+1，其图形是连续曲线，由图4.4(b)所示。 我们感兴趣的是曲线在第一象限中的整数点。设Ep(a, b)表示方程(4.2)所定义的椭圆曲线上的点集{(x, y)|0≤xp, 0≤yp，且x, y均为整数}并上无穷远点O。本例中E23(1, 1)由表4.8给出，表中未给出O 一般来说，Ep(a, b)由以下方式产生： 对每一x(0≤xp且x为整数），计算x3+ax+b(mod p); ② 决定①中求得的值在模p下是否有平方根，如果没有，则曲线上没有与这一x相对应的点；如果有，则求出两个平方根（y=0 时只有一个平方根）。 Ep(a, b)上的加法定义如下： 设P，Q∈Ep(a, b)，则 ① P + O = P。 ② 如果P = (x, y)，那么(x, y)+(x, -y)=O，即 (x, -y)是P的加法逆元，表示为-P。 由Ep(a, b)的产生方式知，-P也是Ep(a, b)中的点。如上例，P=(13, 7)∈E23(1, 1)，-P=(13, -7