蒙哥马利大数模乘与RSA加密算法简介

在网上看了一圈蒙哥马利模乘相关的博客，没有看到讲得比较清晰的，趁最近闲下来自己写一篇。

---

首选明确三个问题：
1、蒙哥马利模乘是什么？
蒙哥马利模乘是一种数学家蒙哥马利（Montgomery）提出的一种快速计算$A\ast B\mathrm{m}\mathrm{o}\mathrm{d}N$的方法，其中$A,B,N$均为几千位的大整数。

2、为什么要使用蒙哥马利模乘？
因为绝大多数编译器只能支持到64位的整数运算，而几千位的大整数运算如果用高精度算法编程计算，其速度非常慢，尤其是高精度除法和取模。因此需要借助蒙哥马利模乘才能更快地计算$A\ast B\mathrm{m}\mathrm{o}\mathrm{d}N$。

3、蒙哥马利模乘实现的大概思路是什么？
将$A\ast B\mathrm{m}\mathrm{o}\mathrm{d}N$转化为求解$A^{\prime }\ast B^{\prime }\mathrm{m}\mathrm{o}\mathrm{d}M$，其中一般取$M=r^n$，这样就将耗时的除法和取模操作转化为了简单的移位操作。为了在计算机或者电路中移位方便，我们一般取$r=2$。当然，如果你想手算体验一下计算过程，也可以取$r=10$，方便手算的移位操作。

---

那么有人可能会问，为什么要计算这么大数字的$A\ast B\mathrm{m}\mathrm{o}\mathrm{d}N$？
这就要提到老生常谈的RSA加密算法了。

RSA加密算法简单来说，就是选取两个大质数$p$和$q$，相乘得到一个大整数$N=pq$，把$N$公开。然后有个同样公开的公钥$a$，当甲要给乙发送明文$x$的时候（每次发送的明文$x$长度比$N$小），就用公钥$a$来对$x$进行加密得到密文$y$。乙手里有个保密不公开的私钥$b$，对密文$y$进行解密得到明文$x$。

具体的加密解密过程是：
甲用公钥$a$来对$x$进行加密得到密文$y$:
$$x^a\equiv y(\mathrm{m}\mathrm{o}\mathrm{d}N)$$
乙用私钥$b$对密文$y$进行解密得到明文$x$：
$$y^b\equiv x(\mathrm{m}\mathrm{o}\mathrm{d}N)$$
显然，为了实现这一功能，$a,b,N$之间必须要满足一定的条件。
前人给出的条件是：
$a\in [2,\phi (N)-1]$且$(a,\phi (N))=1$，同时$ab\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}\phi (N))$。

上式中$\phi (N)$是欧拉函数，即$[1,N-1]$中与N互质的数的个数。
因为$N=pq$且$p,q$均为质数，所以$\phi (N)=\phi (p)\phi (q)=(p-1)(q-1)$。

---

如何保证一定能找到$b$使得$ab\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}\phi (N))$？
因为$(a,\phi (N))=1$，所以直接构造出$b$证明存在性。
只要令$b=a^{\phi (\phi (N))-1}$，则由欧拉定理得$ab=a^{\phi (\phi (N))}\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}\phi (N))$
注：但是实际操作的时候更多的是通过扩展欧几里得算法去求解$ab\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}\phi (N))$，而非直接计算$b=a^{\phi (\phi (N))-1}$

于是我们只需要证明$$y^b=x^{ab}\equiv x(\mathrm{m}\mathrm{o}\mathrm{d}N)$$
分两种情况进行证明
1、若$(x,N)=1$，
由于$ab\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}\phi (N))$即$ab=k\phi (N)+1$，由欧拉定理得$x^{\phi (N)}\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}N)$，则有
$$x^{ab}=x^{k\phi (N)+1}\equiv [x^{\phi (N)}{]}^k\cdot x\equiv x(\mathrm{m}\mathrm{o}\mathrm{d}N)$$
2、若$(x,N)\ne 1$，
则必有$p|x$或$q|x$，不妨设$p|x$，则$x=mp<N=pq$，$m<q$，又$q$是质数，所以有$(m,q)=1$，$(x,q)=1$。由费马小定理，$x^{q-1}\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}q)$。此时有$$x^{ab}=x^{k\phi (N)+1}=[x^{q-1}{]}^{k(p-1)}\cdot x\equiv x(\mathrm{m}\mathrm{o}\mathrm{d}q)$$
那么可知$$x^{ab}=tq+x\Rightarrow (mp{)}^{ab}=tq+mp$$
$$p|(mp{)}^{ab}\Rightarrow p|(tq+mp)\Rightarrow p|tq\Rightarrow p|t$$
令$t=t_{0}p$，则
$$x^{ab}=(mp{)}^{ab}=t_{0}pq+mp=t_{0}pq+x=t_{0}N+x$$
即$$x^{ab}\equiv x(\mathrm{m}\mathrm{o}\mathrm{d}N)$$
从而得证。

RSA加密算法的安全性主要是依赖于大整数$N$分解为大质数$p$和$q$的难度巨大，因为想从公开的$N$和$a$得到私钥$b$，分解$N$是唯一的办法，但是实际中$N$通常是1024位或者2048位的大数，几乎是不可能分解的。

从对RSA加密算法的介绍中可以看出，在加密解密过程中主要涉及到了幂模运算$A^B\mathrm{m}\mathrm{o}\mathrm{d}N$，通过快速幂或者矩阵快速幂算法，我们可以将其转化为$\lceil {\log }_{2}B\rceil$次模乘运算$A\ast C\mathrm{m}\mathrm{o}\mathrm{d}N$得到结果。

一般地，快速地求解模乘运算$A\ast B\mathrm{m}\mathrm{o}\mathrm{d}N$便是蒙哥马利模乘要解决的问题。
（未完待续）