密码学数论

整理一下常用的密码学数论知识，不定期更新完善校正……

同余性质

性质一：如果$a\equiv b(modm)$，$c\equiv d(modm)$，则$a+c\equiv b+d(modm)$
于是，对k个$a\equiv b(modm)$，有$ka\equiv kb(modm)$

性质二：如果$a\equiv b(modm)$，$c\equiv d(modm)$，则$ac\equiv bd(modm)$
于是，对k个$a\equiv b(modm)$，有$a^k\equiv b^k(modm)$

性质三：如果$ac\equiv bc(modm)$，且c和m互素，则$a\equiv b(modm)$

素数

任意整数$a>1$都可以唯一地因子分解为$a=p_1^{{\alpha }_1}\times p_2^{{\alpha }_2}\times \dots \times p_t^{{\alpha }_t}$，其中$p_1,p_2,\dots ,p_t$均是素数，$p_1<p_2<\dots <p_t$，且所有的$a_i$都是正整数。

费马小定理

若p是素数，a是正整数且不能被p整除，则$a^{p-1}\equiv 1(modp)$

若p是素数，a是任意正整数，则$a^p\equiv a(modp)$

欧拉定理

欧拉函数

欧拉函数$\varphi (n)$表示小于n且与n互素的正整数的个数，习惯上，$\varphi (1)=1$

对素数p有$\varphi (p)=p-1$

假设有两个素数p和q，$p\ne q$，那么对$n=pq$，$\varphi (n)=\varphi (pq)=\varphi (p)\times \varphi (q)=(p-1)\times (q-1)$

欧拉定理

对任意互素的a和n，有$a^{\varphi (n)}\equiv 1(modn)$

对任意的a和n，有$a^{\varphi (n)+1}\equiv a(modn)$

素性检验

Fermat素性检验

费马素性检验就是把费马小定理反过来用：
由费马小定理，对任意素数$p$和与其互质的整数$a$，$a^{p-1}\equiv 1(modp)$
合理推测，任意选取一个小于$p$的整数$a$，若$a^{p-1}\equiv 1(modp)$，则试图认为$p$是素数。
但实际上这个推测并不靠谱。

费马伪素数：对$p^{\prime }$和一个与其互素的整数$a$，如果$p^{\prime }$整除$a^{p^{\prime }-1}-1$，且$p^{\prime }$是一个非偶数的合数，则称$p^{\prime }$是关于整数$a$的费马伪素数。最小的费马伪素数是341，341是关于整数2的费马伪素数（341本身是一个合数：341=11×31）。

卡迈克尔数：如果$p^{\prime }$关于任何与其互素的整数都是费马伪素数，则称$p^{\prime }$是绝对伪素数（或卡迈克尔数），最小的绝对伪素数是561。

即便如此，大部分情况下适当多选择几个a，可以在一定概率下认为$p^{\prime }$是一个素数。

Miller Rabin素性检验

二次探测定理：对于素数$p$，若$x^2\equiv 1(modp)$，则小于$p$的解只有$1$和$p-1$

证明：
由$x^2\equiv 1(modp)$
则$x^2-1\equiv 0(modp)\Rightarrow (x+1)(x-1)\equiv 0(modp)$
即$p|(x+1)(x-1)$，又因为$p$为素数，则得$(x+1)(x-1)=0$或$(x+1)(x-1)=kp$
前式解得$x=1$，后式解得$x=p-1$

Miller Rabin素性检验原理分析
由费马小定理，对任意素数$p$和与其互质的整数$a$，有$a^{p-1}\equiv 1(modp)$，由于素数$p$首先应该是个奇数（如果$p$是个偶数就不用素性检验了，肉眼检验也是该是个合数），那么$p-1$就应该是个偶数。

那么就可以类比二次探测定理$x^2\equiv 1(modp)$，改写$a^{p-1}\equiv 1(modp)$为$(a^{\frac{p-1}{2}}{)}^2\equiv 1(modp)$，即令$x=a^{\frac{p-1}{2}}$,就可以用二次检测定理来判断p是否为素数。

前面在二次探测定理中说“小于$p$的解只有$1$和$p-1$”，考虑$x=a^{\frac{p-1}{2}}$可能大于$p$，那么需要先将$a^{\frac{p-1}{2}}$进行$modp$运算，得到的结果判断是否为$1$或者$p-1$，如果不是，那么$p$就不是素数。

如果$a^{\frac{p-1}{2}}\equiv 1(modp)$，且$a^{\frac{p-1}{2}}$不为奇数，那就可以再进行一轮检验，即令$x=a^{\frac{p-1}{4}}$，继续判断$a^{\frac{p-1}{4}}$的$modp$运算结果……直到$a^{\frac{p-1}{n}}$变成奇数。

也就是说，我们可以将$p-1=2^{t}u$（u为奇数），对 $a^u,a^{2u},a^{2^{2}u}...a^{2^{t}u}$这一系列数进行$modp$运算，得到的结果要么全是1，要么在经过很多不为1的数之后出现的$p-1$后全是1，否则就不是素数。$p-1$也不能出现在最后一个数，否则就意味着$a^{p-1}\equiv p-1(modp)$，不满足费马小定理。

Miller Rabin素性检验过程

先筛掉3以下的数与偶数（肉眼素性检验法）。

对待检验数 $p^{\prime }$，将$p^{\prime }-1$化为$2^{t}u$。

选取多个底数，分别对$a^u,a^{2u},a^{2^{2}u}...$进行检验，判断其解是否全为1，或在经过很多不为1的数之后出现的$p-1$后全是1 。

如果都满足，认为这个数是素数。

Miller Rabin素性检验和费马素性检验一样，并不能100%保证通过检测的一定是素数。大部分情况下适当多选择几个a，可以在一定概率下认为$p^{\prime }$是一个素数。

中国剩余定理

设$m_1,...,m_k$是$k$个两两互素的正整数，则对任意的整数$b_1,...,b_k$，同余式组
$$\{\begin{array}{l}x\equiv b_1(mod{m}_1)\\ ...\\ x\equiv b_k(mod{m}_k)\end{array}$$
$x$一定有解，且解唯一

令$$\begin{gathered} m=m_1...m_k \\ m=m_i\cdot M_{i}i=1,...,k \\ {M}_i^{\prime }\cdot M_i\equiv 1(mod{m}_i)i=1,...,k \end{gathered}$$则解为$$x\equiv b_1\cdot M_1^{\prime }\cdot M_1+b_2\cdot M_2^{\prime }\cdot M_2+...+b_k\cdot M_k^{\prime }\cdot M_k(modm)$$

离散对数

对方程：$$y\equiv g^{x}modp$$对给定的g、x和p，可直接计算出y，在最坏情况下需执行x次乘法；但是给定y、g和p，计算x一般非常困难(即求离散对数)。