现代密码学笔记-Chapter4

最新推荐文章于 2024-06-15 16:20:24 发布

常温柚子茶

最新推荐文章于 2024-06-15 16:20:24 发布

阅读量173

点赞数 1

分类专栏：现代密码学文章标签：信息安全密码学

本文链接：https://blog.csdn.net/weixin_44994956/article/details/115333334

版权

现代密码学专栏收录该内容

4 篇文章 0 订阅

订阅专栏

一、数学基础

1.群环域

1.1 半群

封闭性：运算无溢出
结合律：运算无先后顺序

1.2 群（单元运算）

半群
存在单位元：无运算作用
存在逆元：元素可逆，相乘为单位元

1.3 交换群

群
满足交换律，不分左乘右乘（反例：矩阵乘法运算）

1.4 环（二元运算）

加法支持交换群
乘法支持半群（不要求可逆和交换律）
乘法在加法上可分配（满足分配律，有运算优先级）

1.5 域

环
乘法群是交换群（去0，乘法不满足此单位元）

2. 乘法逆元

Lemma：记 $\mathbb{Z}^*_n=\{a|0<a<n,\textrm{gcd}(a,n)=1\}$ ，则每一元素都存在逆元；
Proof：分为两各方面： $|a\times\mathbb{Z}^*_n |=|\mathbb{Z}^*_n|$ ， $a\times\mathbb{Z}^*_n \subseteq \mathbb{Z}^*_n$ 。当第二个 $\mathbb{Z}^*_n$ 具体化为1时，第一个 $\mathbb{Z}^*_n$ 中对应元素为逆元。

反证法：若 $a\times b\equiv a\times c \textrm{ mod }n$ ，则存在 $ab=k_1n+r,ac=k_n+r$ ，即余数相同。可得 $a(b-c)=(k_1-k_2)n$ ，由于a和n互素，则a是 $k_1-k_2$ 的因子，即 $k_1-k_2=k_3a$ ，立即推 $a(b-c)=k_3an$ ，即 $b-c=k_3n\in(-n,n)$ ，矛盾得证。
$\textrm{gcd}(a,n)=1,\textrm{gcd}(c,n)=1$ ，则 $\textrm{gcd}(ac,n)=1$ ，立即推 $ac\in\mathbb{Z}^*_n\rightarrow \times \mathbb{Z}^*_n \subseteq \mathbb{Z}^*_n$

3. 费马定理

$a^{p-1}\equiv 1 \textrm{ mod }p$
由于 $a\times\mathbb{Z}_p=\mathbb{Z}_p$
则 $a\times 2a\times \cdots (p-1)a=(p-1)!a^{p-1}\equiv [(a\textrm{ mod }p)\times(2a\textrm{ mod }p)\cdots((p-1)a\textrm{ mod }p)]\equiv(p-1)!\textrm{ mod }p$

4. 欧拉函数

$\varphi(n)$ 是小于n且与n互素的正整数的个数

$\varphi(p)=p-1$
若 $n=p_1^{\alpha_1}p_2^{\alpha_2}\cdots p_t^{\alpha_t}$ ， $\varphi(n)=n(1-\frac{1}{p_{1}})\cdots(1-\frac{1}{p_t})$

5. 欧拉定理

若a和n互素，则 $a^{\varphi(n)}\equiv 1 \textrm{ mod} n$

6. 卡米歇尔定理

对满足 $\textrm{gcd}(a,n)=1$ 的所有 $a$ ，使得 $a^m\equiv 1 \textrm{ mod }n$ 同时成立的最小正整数m称为n的卡米歇尔函数，记为 $\lambda(n)$ 。

重点记忆：若a和n互素，则 $a^{\lambda(n)}\equiv 1 \textrm{ mod } n$
若 $n=p_1^{\alpha_1}p_2^{\alpha_2}\cdots p_t^{\alpha_t}$ ， $\lambda(n)=\textrm{lcm}(\lambda(p_1^{\alpha_1}),\cdots,\lambda(p_t^{\alpha_t}))$ ，其中若 $n=p^{\alpha}$ ， $\lambda(n)=\varphi(n)$
- 扩展：在Paillier等加密体制中， $n=pq,\lambda=\textrm{lcm}(p-1,q-1)=\textrm{lcm}(\lambda(p),\lambda(q))$ ，又 $g\in\mathbb{Z}^*_{n^2}$ ，则 $\textrm{gcd}(g,n)=1$ 。立即推， $g^{\lambda}\equiv 1 \textrm{ mod } n,g^{\lambda}=1+kn$ ，后续可按流程解密，不赘叙
- 再扩展：在HRES等体制中， $\lambda(n^2)=\textrm{lcm}(\lambda(p^2),\lambda(q^2))=\textrm{lcm}(p^2-p,q^2-q)=n\textrm{lcm}(p-1,q-1)=n\lambda(n)$

7. 扩展欧几里得算法

始终保持： $aY_1+bY_2\equiv 1$ ，得到 $Y_1\equiv a^{-1}\textrm{ mod }b,Y_2\equiv b^{-1}\textrm{ mod }a$

循环次数	Q	X_1	X_2	X_3	Y_1	Y_2	Y_3
初值	-	1	0	a	0	1	b
1	$r_1$	0	1	b	1-0* $r_1$	0-1* $r_1$	a-b* $r_1$
t	$r_t$	$Y_1(旧)$	$Y_2(旧)$	$Y_3(旧)$	$a^{-1}$	$b^{-1}$	1

注意 $\textrm{gcd}(a,b)=1$

8. 中国剩余定理CRT

设 $m_1,m_2,\cdots,m_k$ 是两两互素的正整数， $M=\prod_{i=1}^km_i$ ，则一次同余方程组：
$\begin{cases}a_1(\textrm{ mod }m_1)\equiv x \\ a_2(\textrm{ mod }m_2)\equiv x\\ \vdots\\a_k(\textrm{ mod }m_k)\equiv x \end{cases}$
有模 $M$ 下的唯一解： $x\equiv ( \frac{M}{m_1}e_1a_1+\cdots+\frac{M}{m_k}e_ka_k)(\textrm{mod }M)$ ，其中 $e_i$ 是逆元，满足 $\frac{M}{m_i}\cdot e_i\equiv1 \textrm{ mod } m_i (i=1,2,\cdots,k)$

9. 平方剩余

对满足 $\textrm{gcd}(a,n)=1$ ， $x^2\equiv a \textrm{ mod }n$ 有解

若p是素数，则a恰有两个平方根，一个在 $0\sim p-1$ ，一个在 $(p-1)/2+1\sim p-1$

9.1 Legendre符号

$(\frac{a}{p})\equiv a^{\frac{p-1}{2}} \textrm{ mod } p$
$(\frac{a}{p})=\begin{cases}0,\quad 如果a被p整除 \\-1，如果a是模p的平方剩余\\1，如果a是模p的非平方剩余 \end{cases}$
$(\frac{ab}{p})=(\frac{a}{p})(\frac{b}{p})$

9.2 Jacobi符号

若 $n=p_1^{\alpha_1}p_2^{\alpha_2}\cdots p_t^{\alpha_t}$ ，则 $(\frac{a}{n})=(\frac{a}{p_1})^{\alpha_1}(\frac{a}{p_2})^{\alpha_2}\cdots(\frac{a}{p_t})^{\alpha_t}$

注意：当m、n是大于2 的奇数时， $(\frac{m}{n})=(-1)^{(\frac{(m-1)(n-1)}{4})}(\frac{n}{m})$
特别的， $m\equiv n\equiv 3 \textrm{ mod }4$ ， $(\frac{m}{n})=-(\frac{n}{m})$ ；否则， $(\frac{m}{n})=(\frac{n}{m})$

定理： $p\equiv q\equiv 3 \textrm{ mod }4$ 时，求解方程 $x^2\equiv a \textrm{ mod }n$ 与分解 $n$ 是等价的

分解 $n = p q$ 后，根据Rabin密码体制可快速求四个不同的解，并利用中国剩余定理得到 $x$
已知 $\textrm{ mod }n$ 后，根据两个不同的平方根 $u$ 和 $w$ ，且 $u\leq w \textrm{ mod }n$ 。由于 $u^2\equiv w^2 \textrm{ mod }n$ ，则 $\textrm{ mod }n$ ，可推出 $p ∣ (u + w), q ∣ (u - w)$ 或 $p ∣ (u - w), q ∣ (u + w)$ ，由欧几里得算求最大公因子即可求出 $\textrm{gcd}(n,u+w)=p,\textrm{gcd}(n,u-w)=q$ (第二种亦然)。

二、密码算法

1. RSA

1.1 基本流程

$n=pq,\varphi(n)=(p-1)(q-1)$ 是欧拉函数，同样是卡米歇尔函数
$1<e<\varphi(n),\textrm{gcd}(\varphi(n),e)=1,d\cdot e\equiv 1 \textrm{ mod }n$
$c\equiv m^e \textrm{ mod }n$
$m\equiv c^d \textrm{ mod }n$

正确性： $m\equiv c^d \textrm{ mod }n\equiv m^{ed} \textrm{ mod }n\equiv m^{k\varphi(n)+1} \textrm{ mod }n$
- m与n互素时，由欧拉定理 $m^{\varphi(n)} \equiv 1 \textrm{ mod }n$ 得证
- 不互素时，则 $p ∣ m$ 或 $q ∣ m$ ,由欧拉定理 $m^{\varphi(p)} \equiv 1 \textrm{ mod }p\rightarrow m^{k\varphi(n)} \equiv 1 \textrm{ mod p}$ 得证

1.2 共模攻击

满足公开钥 $\textrm{gcd}(e_1,e_2)=1$
$\begin{cases}c_1\equiv m^{e_1} \textrm{ mod }n \\c_2\equiv m^{e_2} \textrm{ mod }n\end{cases}$
由扩展欧几里得算法求出 $re_1+se_2=1$ ，其中两个值一正一负 $r < 0, s > 0$ 。实质上可以求 $r$ 在 $\varphi(n)$ 的加法逆元来保持正值。
可解得 $m\equiv (c_1^{-1})^{-r}c_2^{s}\textrm{ mod }n$

1.3 低指数攻击

模数 $n_1,n_2,n_3$ 两两互素，否则可根据欧几里得算法最大公因子进而分解模数
$\begin{cases}c_1\equiv m^{3} \textrm{ mod }n_1 \\c_2\equiv m^{3} \textrm{ mod }n_2\\c_3\equiv m^{3} \textrm{ mod }n_3\end{cases}$
由中国剩余定理可解得 $m^3 \textrm{ mod }n_1n_2n_3$ ，并开立方根。

2. Rabin

同一密文对应两个以上的明文（最多四个）
破解难度等价于大整数分解

2.1 基本流程

$p\equiv q\equiv 3 \bmod{4},n=pq,e=2$
$c\equiv m^2 \bmod{n}$
求解 $c$ 模 $n$ 的平方根。
3.1 计算 $c$ 模 $p$ 和 $q$ 的平方根
$\begin{cases}m_p\equiv c^{\frac{p+1}{4}} \bmod{p} \\m_q\equiv c^{\frac{q+1}{4}} \bmod{q}\\\end{cases}$
3.2 用扩展欧几里得算法求解逆元 $y_p ,y_q$ 满足： $y_p \cdot p + y_q \cdot q = 1$
3.3 用中国剩余定理找出四个拼平方根（当 $m_p$ （即 $\equiv 0 \bmod{p}$ ）或 $m_q$ 为0时只有两个值）
$\begin{cases}r_1\equiv \left( y_p \cdot p \cdot m_q + y_q \cdot q \cdot m_p \right) \bmod{n} \\ r_2\equiv n - r_1 \\ r_3\equiv \left( y_p \cdot p \cdot m_q - y_q \cdot q \cdot m_p \right) \bmod{n} \\ r_4\equiv n - r_3 \\ \end{cases}$

2.2 正确性

证明1：模n同余等价于模p模q同余

若 $a\equiv b \bmod{p}$ ，则 $p ∣ (a - b)$ ，同理 $q ∣ (a - b)$ ，立即推 $n ∣ (a - b)$ ，即 $a\equiv b \bmod{n}\equiv b \bmod{pq}$
若 $a\equiv b \bmod{n}$ ，则 $n ∣ (a - b)$ ，又 $p ∣ n, q ∣ n$ ，立即推 $p ∣ (a - b), q ∣ (a - b)$ ，即 $a\equiv b \bmod{p},a\equiv b \bmod{q}$

证明2： $p\equiv q\equiv 3 \bmod{4}$ 易求解 $m_p^2 \equiv c \bmod{p}$

由平方剩余知 $(\frac{c}{p})\equiv c^{\frac{p-1}{2}} \equiv1 \bmod{p}$
由 $p\equiv 3 \textrm{ mod }4$ 知 $p + 1 = 4 k$ ，即 $\frac{p+1}{4}$ 是整数
则 $m_p^2 \equiv c^{\frac{p+1}{2}} \equiv c\cdot c^{\frac{1}{2}(p-1)} \equiv c \cdot 1 \bmod{p}$

3. ECC

短密钥（RSA-1024对应ECC-60）
存在单位元、逆元，关于x轴对称

3.1 基本概念

定义在 $F_{p^m}$ 上的椭圆曲线方程为： $y^2 = x^3 + ax + b，a,b\in F_{p^m}$ ，且 $4a^3 + 27b^2\ne0$ 。
椭圆曲线 $E(F_{p^m})$ 定义为： $E(F_{p^m}) = \{(x, y)| x, y\in F_{p^m}$ 且满足方程 ${O\}$ ，其中 $O$ 是无穷远点。
椭圆曲线 $E(F_{p^m}) (m\ge 1)$ 上的点满足加法运算规则构成交换群：

$O + O = O$ ；
$\forall P = (x, y)\in E(F_{p^m})\setminus\{O\}，P + O = O + P = P$ ；
$\forall P = (x, y)\in E(F_{p^m})\setminus\{O\}$ ， $P$ 的逆元素 $- P = (x, - y) ， P + (- P) = O$ ；
两个非互逆的不同点相加的规则：
设 $P_1 = (x_1, y_1)\in E(F_{p^m})\setminus\{O\}，P_2 = (x_2, y_2)\in E(F_{p^m})\setminus\{O\}$ ，且 $x_1\ne x_2$ ，
令 $P_3=(x_3, y_3) =P_1+P_2$ ，则 $\begin{cases}x_3=\lambda^2-x_1-x_2, \\y_3=\lambda(x_1-x_3)-y_1,\\\end{cases}$
其中 $\lambda = \frac{y_2-y_1}{x_2-x_1}$ ；
倍点规则：
设 $P_1 = (x_1, y_1)\in E(F_{p^m})\setminus\{O\}$ ，且 $y_1\ne 0$ ，
令 $P_3 = (x_3, y_3) = P_1+ P_1$ ，则 $\begin{cases}x_3=\lambda^2-2x_1, \\y_3=\lambda(x_1-x_3)-y_1,\\\end{cases}$
其中 $\lambda = \frac{3x_1^2+a}{2y_1}$ 。

3.2 应用

有限域上离散对数问题(DLP)
有限域 $F_{q^m}$ ( $q$ 为奇素数， $m\ge1$ )的全体非零元素构成一个乘法循环群，记为 $F_{q^m}^*$ 。 $F_{q^m}^*$ 中存在元素 $g$ ，使得 $F_{q^m}^*=\{g^i | =0\le i \le q^m-2\}$ ，称 $g$ 为生成元。 $F_{q^m}^*$ 中元素 $a$ 的阶是满足 $a^t=1$ 的最小正整数 $t$ 。群 $F_{q^m}^*$ 的阶为 $q^m-1$ ，因此 $t | q^m-1$ 。
设乘法循环群 $F_{q^m}^*$ 的生成元为 $g$ ， $y\in F_{q^m}^*$ ，有限域上离散对数问题是指确定整数 $x\in [0,q^m-2]$ ，使得
$y = g^x$ 在 $F_{q^m}^*$ 上成立。
椭圆曲线离散对数问题(ECDLP)
已知椭圆曲线 $E(F_{p^m}) (m\ge 1)$ ，阶为 $n$ 的点 $P\in E(F_{p^m})$ 及 $Q\in<P>$ ，椭圆曲线离散对数问题是指确定整数 $k\in [0, n-1]$ ，使得 $Q = [k] P$ 成立。

Diffie-Hellman密钥交换
ElGamal密码体制

常温柚子茶

关注

1
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
现代密码学笔记-Chapter4

现代密码学笔记-Chapter4一、数学基础1.群环域1.1 半群1.2 群（单元运算）1.3 交换群1.4 环（二元运算）1.5 域2. 乘法逆元3. 费马定理4. 欧拉函数5. 欧拉定理6. 扩展欧几里得算法一、数学基础1.群环域1.1 半群封闭性：运算无溢出结合律：运算无先后顺序1.2 群（单元运算）半群存在单位元：无运算作用存在逆元：元素可逆，相乘为单位元1.3 交换群群满足交换律，不分左乘右乘（反例：矩阵乘法运算）1.4 环（二元运算）加法支持交换群乘法
复制链接

扫一扫