密码算法与应用基础04.pptVIP

Euclid算法 gcd(a,b)=gcd(b, a+kb) a,b,k为任意整数 ?gcd(a,b)=gcd(b, a mod b) a?0,b0 Eclid(d,f): 求最大共约数,假定d?f ? X?f, Y?d ? if Y = 0 then return X ? X ? X mod Y ? X?Y ? goto ? 上述的循环最多进行多少次? 2?log2(max(f,d)) 扩展Euclid算法 ExtEclid(d,f):求最大共约数或模逆, 假定d?f ? (X1,X2,X3)?(1,0,f), (Y1,Y2,Y3)?(0,1,d) ? if Y3 = 0 then return X3, no inverse ? if Y3 = 1 then return 1, inverse is Y2 ? Q ?(X3/Y3)的整数部分 ? (X1,X2,X3)?(X1-QY1, X2-QY2, X3-QY3) ? (X1,X2,X3) ? (Y1,Y2,Y3) ? goto ? fX1+dX2=X3, fY1+dY2=Y3 若Y3=1,则 fY1+dY2=1 ?dY2=(-Y1)f+1 ? dY2 ? 1 mod f ?Y2 = d-1 mod f ? ? 素数模的平方剩余解 直接判断一个整数是否为素数是困难的 命题: 如果p是素数,则方程 x2 ? 1 mod p 只有平凡解x ? ?1 mod p. 证明: x2 ? 1 mod p ?p|(x2-1) ?p|(x+1)(x-1) ?p|(x+1),或者p|(x-1) ?x+1=kp,或者x-1=jp, k,j是整数 ?x=kp-1,或者x=jp+1 ?x ? 1 mod p, 或者x ? -1 mod p Miller-Rabin素数测试算法 Miller-Rabin算法用来测试一个整数是否是素数 WITNESS(a,n) ? 设bkbk-1…b0是(n-1)的二进制表示 ? d?1 ? for i?k downto 0 ? do x?d ? d?(d?d) mod n //?x2 ?1 mod n ? if(d=1 x?1x?n-1) return TRUE ? if(bi=1) then d?(d?a) //d=an-1 ? if(d?1) return TRUE //Fermat定理 ? else return FALSE Miller-Rabin是概率测试(一次概率约0.5) ? 素数生成 素数生成过程: ?随机选择一个奇数n(如通过伪随机数发生器) ?随机选择a, 使an ?进行素数测试(例如用Miller-Rabin算法),若n没有通过测试,抛弃n,转到? ?如果通过了足够次数的测试,认为n是素数,否则转到?. 素数定理: ?(N)~N/ln(N), ?(N)为不超过N的素数个数. ?随机整数N是素数的概率是1/ln(N) ? ? 基于数学的攻击 公钥: KU={e,n}, 私钥: KR={d,n}, n=pq 分解n=pq ? ?(n)=(p-1)(q-1) ? d=e-1 mod ?(n) 不求出p,q,直接求?(n) ? d=e-1 mod ?(n) 不求出?(n),直接计算d 已知的方法至少跟因子分解一样难度 尚未发现多项式时间的因子分解算法 因子分解的算法已经取得了长足进步 ? 如果en并且dn?,则d容易被得到.目前已知最好的结果是?=0.292 措施: 选择足够大的n(1024位以上),并且使得e,d之间相差不太大,也不太小 ? 同模攻击 如果A,B使用同样模n的RSA算法(e1,d1,n),(e2,d2,n),C把信息M用A,B的公钥分别加密并传给它们: Y1 = Md1: A Y2 = Md2: B 假如gcd(d1,d2)=1,则窃听者能获得明文.做法是: 找到整数a1,a2,使得: a1?d1+a2?d2=1 (∵gcd(d1,d2)=1) 不妨假定a10,a20,那么: M = (Y1–1)-a1?Y2a2 mod n (Y1–1)-a1?Y2a2= ((Md1)–1)-a1?(Md2)a2 =Md1?a1+a2?d2 措施: 避免在不同用户之间共享模. 其他攻击 RSA的同态性质: EK(m1?m2)=EK(m1)?EK(m2) 措施: 加密前对信息处理,如通过hash或者单向函数 如果(p-1)或者(q-1)只有小的素数因子,则n容易被分解,n被分解的计算量与(p-1)或者(q-1)的最大素因子成某种正比. 措施: 找