利用拓展欧几里得公式求逆元——以RSA算法为例

算法推导

在RSA中，定义公钥为$(e,n)$，密钥为$(d,n)$。

此时选定一个$e$，用 拓展欧几里得(Exgcd) 法求$e$的逆元$d$，也就是密钥。

根据RSA的知识（这里不细讲了），我们选两个素数$p$和$q$，令$n=p\ast q$，同时产生欧拉函数$\phi (n)=(p-1)\ast (q-1)$，根据式子$e\ast d\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}\phi (n))$可以得到密钥中的$d$。

为使用Exgcd，写出如下方程：
$$1=e\ast d-b\ast k,b=\phi (n)$$

对于上式，$e$和$k$是作为未知量来求解的。

接着使用Exgcd进行如下推导：
$$\{\begin{array}{c}gcd(e,b)=e\ast d_1+b\ast k_1\\ gcd(b,e\mathrm{m}\mathrm{o}\mathrm{d}b)=b{d}_2+(e\mathrm{m}\mathrm{o}\mathrm{d}b)k_2\end{array}$$
接着，
$$\begin{array}{l}\because gcd(e,b)=gcd(b,e\mathrm{m}\mathrm{o}\mathrm{d}b)\\ \therefore e{d}_1+b{k}_1=b{d}_2+(e\mathrm{m}\mathrm{o}\mathrm{d}b)k_2\\ \because e\mathrm{m}\mathrm{o}\mathrm{d}b=e-[e/b]\ast b\\ \therefore e{d}_1+b{k}_1=b{d}_2+(e-[e/b]\ast b)k_2\end{array}$$
对齐$e$和$b$，有$e{d}_1+b{k}_1=e{k}_2+b\left(d_2-[e/b]k_2\right)$

由多项式恒等定理可得，$d_1=k_2,k_1=d_2-[e/b]\ast k_2$。可以看出这是递归的式子，由后一组解推导出前一组解，递归基为$d=1,k=0$，反推即可得到乘法逆元$d_1$。需要注意的是$d_1$才是我们要寻找的解，也即密钥中的$d$。

根据上面的推导可知，我们需要先进行递归，直到出现$b=0$的情况才结束递归，这时候初始化递归基，随后程序会自动自底向上地算出$d_1$。

举例

取$n=77,\phi (n)=6\ast 10=60,e=7$

第$i$层递归	$e$和$\phi (n)(b)$	$d_i$和$k_i$	计算过程
1	e = 7, b = 60	[-17, 2]	[-17, 2 - 7/60 * (-17)]
2	e = 60, b = 7	[2, -17]	[2, -1 - 60/7 * 2]
3	e = 7, b = 4	[-1, 2]	[-1, 1 - 7/4 * (-1)]
4	e = 4, b = 3	[1, -1]	[1, 0 - 4/3 * 1]
5	e = 3, b = 1	[0, 1]	[0, 1 - 3/1 * 0 = 1]
6	e = 1, b = 0	[1, 0] (递归基$d$和$k$)	无

密钥中的 $d=-17\mathrm{m}\mathrm{o}\mathrm{d}60=43$

笔算方法总结

在考试笔算的时候，先不要管$d$和$k$，一股脑地往下求出$b=0$的情况，随后初始化递归基。

接着在第$i$层递归处使用公式$d_i=k_{i+1},k_i=d_{i+1}-[e/b]\ast k_{i+1}$解出$d_i$和$k_i$。最后一直自底向上，求到第一层就可以结束了。