转载自:https://blog.csdn.net/mrpre/article/details/79671263
RSA的中国剩余定理(CRT)和多素数(multi-prime)
写了个代码,方便计算大数运算:
git@github.com:mrpre/bn_tool.git
本片中的运算都可以使用这个工具进行计算。
传统方式计算RSA公钥私钥
RSA公钥私钥生成
两个大素数p,q,计算n = p*q
计算phi(n),因为p,q是素数,所以phi(n) = (p-1)*(q-1)
随机取与phi(n)互素的数e,计算其对于phi(n)的逆元。既,求d,使得d满足
d*e = 1 mod (phi(n))。
(n,e)为公钥,(n,d)为私钥
使用公钥加密和使用私钥解密流程(传统方式):
计算
使用公钥加密:
若要加密明文m1,则需要计算c = m1^e mod n,c为密文。
使用私钥解密:
若要解密密文c,则需要计算 m2 = c ^d mod n,m2为明文,既,m2=m1
简介中国剩余定理:
p和q是互相独立的大素数,n为p*q,对于任意(m1, m2), (0<=m1< p, 0<=m2< p)
必然存在一个唯一的m ,0<=m< n
使得
m1 = m mod p
m2 = m mod q
所以换句话说,给定一个(m1,m2),其满足上述等式的m必定唯一存在。
所以解密rsa的流程c^d mod n,可以分解为 m1=c^d mod p以及m2=c^d mod q方程组,然后再计算m( m的计算方法见后面 )。
但是等式c^d mod p 或者 c^d mod q ,模数虽然从n降为p或q了,但是这个指数d还是较大,运算还是比较消耗性能。我们需要降低指数。
仔细看等式c^d mod p
令
d = k(p-1) + r
则
c^d mod p
=c^(k(p-1) + r) mod p
=c^r * c^(k(p-1)) mod p
因为 c^(p-1) mod p = 1 (欧拉定理)
=c^r mod p
1
2
3
4
5
6
7
8
r是c除p-1的余数,即 r = d mod (p-1)
所以 c^d mod p可以降阶为 c^(d mod p-1) mod p
同理,c^d mod q可以降阶为 c^(d mod q-1) mod q
其中 dp = d mod p-1 和 dq = d mod q-1 可以提前计算。
但是计算dp和dq可以更简单,就是分别计算e对p-1和q-1的逆。
这个(证明比较复杂,要是不懂的话,直接使用d mod p-1和d mod q-1就行了)
使用公钥加密和使用私钥解密流程(中国剩余定理):
准备
首先,我们需要在在生成私钥公钥时,多生成几个数:
我们的d是e对phi(n)的逆元,我们现在需要另外2个逆元(分别是对(p-1)和(q-1)的),既
1:计算dp,使得dp*e = 1 mod(p-1)
2:计算dq,使得dq*e = 1 mod(q-1)
此外需要第三个元素,既q对p的逆元
3:计算qInv,使得qInv * q = 1 mod p ,即qInv = q ^ -1 mod p
1 2 3 都作为私钥的一部分。
计算
使用公钥加密:
若要加密明文m,则需要计算c = m^e mod n,c为密文。
使用私钥解密:
1:m1=c^dp mod p
2:m2=c^dq mod q
3:h= (qInv*((m1 - m2)mod p)) mod p
4:m = m2 + h*q
m就是明文。
举例子:
p=137
q=131
n = 137*131=17947
计算phi(n) = 136*130=17680
取e=3,计算e对于phi(n)的逆 ,d = 11787
可以使用我的工具执行如下命令
./a.out mod_inv "03" "2E0B"
1
2
我这里使用了欧几里得算法求逆元,大家感兴趣可以细究
3*d = 1 mod 17680
3*d - 17680*x = 1
-17680 = -5893*3 - 1
解1 d=-5893, x=-1
解2 d=11787, x=2
1
2
3
4
5
6
若要加密明文 513
使用公钥加密和使用私钥解密流程(传统方式):
密文为 513 ^ 3 mod 17947 = 8363
(可以使用命令 ./a.out mod_exp "0201" "03" "461B")
若要解密密文8363,则需要计算8363^11787 mod 17947 = 513 ,解密成功。
(可以使用命令 ./a.out mod_exp "20AB" "2E0B" "461B")
使用公钥加密和使用私钥解密流程(中国剩余定理):
预先计算
dp = 91
dq = 87
qInv = 114
则解密c=8363,执行如下计算即可:
m1 = c^dp mod p = 102
m2 = c^dq mod q = 120
h = (qInv*((m1 - m2)modp))mod p
= (114*(-18 mod 137)) mod 137
= 114*119 mod 137
= 3
m = m2 + h*q = 120 + 3*131 = 513
1
2
3
4
5
6
7
多素数
为了强调多素数这个特性,我们把上面举例的RSA证书称之为单素数证书(实际上没有这个称呼)。
公钥生成
p=137
q=131
r=127
计算n=p*q*r=2279269
计算phi(n)=136*130*126=2227680
取e=19,计算e对phi(n)的逆元。既,求d,使得d满足d*19= 1 mod phi(n)
d=351739
(可以使用命令 ./a.out mod_inv "13" "21FDE0")
公钥(2279269, 19)
私钥(2279269, 351739)
使用公钥加密和使用私钥解密(传统方式):
若要加密513,
513^19 mod 2279269 = 768924
(可以使用命令 ./a.out mod_exp "0201" "13" "22C765")
若要解密 768924,
768924^351739 mod 2279269 = 513
(可以使用命令 ./a.out mod_exp "0BBB9C" "055DFB" "22C765")
这样的计算和单素数证书一样。但是比较愚蠢,有多素数可以用,为什么不用呢?
使用公钥加密和使用私钥解密(多素数下中国剩余定理):
预先计算:
dp = 19^-1 mod 137-1 = 43
dq = 19^-1 mod 131-1 = 89
dr = 19^-1 mod 127-1 = 73
若要解密密文 768924,则先计算
1:m1=768924^43 mod 137 = 102
2:m2=768924^89 mod 131 = 120
3:m3=768924^73 mod 127 = 5
等式1与等式2连列方程组计算:
qInv = 114(预先算好)
h = (qInv*((m1 - m2)mod p)) mod p
= (114*(-18 mod 137) mod 137 ) mod 137
= 3
m12 = m2 + h*q = 120 + 3*131 = 513
1
2
3
4
5
1与2的通用解为
513+k1*(131*137)
等式1和2合并后, 算上等式3,则问题转化为:
m1=513 p=17947
m2=5 q=127
1
2
计算q对p的逆 qInv = 10316
h = (10316*((513 - 5)mod 17947)) mod 17947
= 4
m = 5 + 4*127 = 513
1
2
3
多素数证书的好处
为了达到相同长度的n,n可以被分解为多个小的素数;小的素数越多,p,q,r,….rn就的值就越小。使用中国剩余定理就越快速。
多素数证书
私钥是多素数的证书,就是多素数证书。。。。。