Informationsteori. Hvorledes man bryder en RSA-kode

Transkript

1 HEb Informationsteori Hvorledes man bryder en RSA-kode Vi kender den offentlige nøgle (e n) og vil nu finde den private nøgle (d n), hvorved koden er brudt. Først gættes primfaktoriseringen af n: n = p q (1.1) Det er heri hemmeligheden ligger, man kan nemlig ikke regne dette ud. Metoden, der skal anvendes, er at prøve tallene fra p n til 1. Derefter beregnes tallet z: z =(p ; 1) (q ; 1) (1.2) Ifølge RSA-algoritmen har vi nu følgende ligning: ed 1 (mod z) (1.3) Vi kender e og z og skal bestemme d, som er den private nøgle. Til dette kan en variant af Euklids algoritme anvendes. Ligning (1.3) betyder: z j (ed ; 1) (1.4) Dette kan omskrives til: ed ; 1 = N z ed ; 1=z N (1.5) 1=ed ; z N I dette udtryk er N et til lejligheden passende heltal. Vi vil nu finde tallene d og N (N skal ikke bruges til noget). Euklids algoritme kan give os svaret på A og B i udtrykket (se programmet side 4): 1=z A ; e B (1.6)

2 2 Dette kan omskrives til: 1=z A + e (z ; B) ; e z = e (z ; B) ; (e ; A) z (1.7) hvor: d =(z ; B) N =(e ; A) = e d ; z N Vi har nu den private nøgle (d n), og vi vil nu være i stand til at dechiffere meddelelser, der er indkodet med den offentlige nøgle. Et eksempel Vi får den offentlige nøgle (e n) = ( ). Vi starter med at gætte fra p = og finder snart: n = p q = (1.8) Derved får vi for z: z =(p ; 1) (q ; 1) = = (1.9) Vi har nu ligningen: ed 1 (mod z) 31d 1 (mod 10600) (1.10) Euklids algoritme giver: : 31 = 341 R =29 31 : 29 = 1 R =2 29:2=14 R =1 Deraf fås ud fra divisionsresterne: 1=29; =31; = ; (1.11)

3 3 Videre fås: 1=29; 14 2 =29; 14 (31 ; 29) =29; 14 (31 ; (10600 ; )) = ; ; 14 (31 ; (10600 ; )) = ; 31 ( ) (1.12) Dernæst fås: = ; = A z ; e B d =(z ; B) =10600; 5129 = 5471 N =(e ; A) =31; 15 = 16 (1.13) Ligningen hedder nu: 1=ed ; zn = ; (1.14) Det ses, at den passer, da: = = (1.15) Vi har nu fundet den private nøgle: (d n) = ( ) (1.16)

4 4 Et program Programmet, der vises her, udfører Den udvidede Euklids algoritme, som jf. ligning (1.6) for tallene a og b beregner størrelserne A og B i udtrykket: SFD(a b) =A a + B b (1.17) Hvis vi fx. indtaster a = og b =31, fås A =15og B = ;5129, hvilket svarer til næstnederste linie i ligning (1.12). Se side 11, hvor Euklids algoritme er omtalt. /* EUKLEX.C Ver. 0.2 (970505) Udvidet Euklids algoritme Finder for to tal a og b strste flles divisor, SFD(a,b) samt tallene A og B i udtrykket: SFD(a,b) = Aa + Bb (A eller B kan vre negativ eller 0) Se Bruce Schneier p. 202 Rettet: EUKLIDEX.C bytes EUKLIDEX.EXE bytes */ #include <conio.h> #include <stdio.h> #include <dos.h> #define Starttekst "Udvidet Euklids algoritme v \n" long int a,b,*sfd, *A, *B, SFDlager, Alager, Blager /* UdvEuklid(a,b,A,B) returnerer SFD(a,b) samt uddata A og B, som opfylder: SFD(a,b)= Aa + Bb */ void UdvEuklid(long int a, long int b, long int *A, long int *B, long int *S- FD) long int a1, a2, b1, b2, Temp a1=1 a2=a b1=0 b2=b while (b2>0) Temp= a1-b1*(a2/b2) a1=b1 b1=temp Temp= a2-b2*(a2/b2) a2=b2 b2=temp } *A= a1 *B= (a2-a1*a)/b

5 5 *SFD= a2 } void main(void) printf(starttekst) printf("finder strste flles divisor, SFD(a,b) printf("strrelserne A og B, som opfylder:\n") printf(" SFD(a,b)= Aa+Bb\n") printf("a=0 standser programmet\n") A= &Alager B=&Blager SFD= &SFDlager for ( ) printf("a= ") scanf("%ld",&a) if (a==0)printf("afsluttet\n") exit(0) } printf("b= ",b) scanf("%ld",&b) UdvEuklid(a,b,A,B,SFD) printf("sfd(%ld,%ld)= %ld\n", a,b, *SFD) printf("a=%ld B=%ld \n", *A, *B) }} /* SLUT PA EUKLEX.C */ samt\n") En anden metode Man kan også anvende Eulers totientfunktion, når man vil finde den private nøgle d (se side 14). Hvis SFD(a b) =1, gælder der: a '(b) mod b =1 (1.18) Dette kaldes Fermats lille sætning. Vi kan nu skrive a ;1 mod b som: a ;1 mod b = a ;1 1modb = a ;1 a '(b) mod b = a '(b);1 mod b (1.19) Når vi skal bryde en RSA-kode, ønsker vi at finde d i udtrykket: eller: ed 1 (mod z) (1.20) d = e ;1 mod z (1.21) Vha. Fermats lille sætning fås nu svaret: d = e ;1 mod z = e '(z);1 mod z (1.22)

6 6 Eksempel Vi har p =101, q =107, og dermed n =10807og z = Se eksemplet side 2. For e =31kan vi nu let beregne d: ed 1 (mod z) d = e ;1 mod z d = ;1 mod (1.23) d = mod d =5471 Idet '(10600) = 4160, hvilket fx. kan beregnes med programmet på side 16.

7 7 RSA-programmer Herunder er vist et par C-programmer. Det ene program kan anvendes til beregning af kodeord og dekodning af samme. Det andet program kan kontrollere om givne parametre er lovlige RSA-parametre. /* RSA.C Ver. 0.1 (970507) RSA-indkodning og -dekodning Rettet: RSA.C bytes RSA.EXE bytes */ #include <conio.h> #include <stdio.h> #include <dos.h> #define Starttekst "RSA-indkodning og dekodning v \n" long int n,e,m,c /* Modexp(a,x,n) beregner a i x'te modulus n */ long int Modexp(long int a, long int x, long int n) long int r r=1 while (x>0) if (x % 2 == 1) r= (r*a) % n /* Hvis x er ulige */ a= (a*a) % n x /= 2 } return r } void main(void) printf(starttekst) printf("beregner M^e mod n\n") printf("(eller C^d mod n)\n") printf("m (eller C) skal vre mindre end n\n") printf("m=-1 standser programmet\n") printf("n= ") scanf("%ld",&n) printf("e= ") scanf("%ld",&e) for ( ) printf("m= ") scanf("%ld",&m) if (M==-1)printf("Afsluttet\n") exit(0) } if (M>=n) printf("fejl: M er strre end eller lig n\n") exit(0) } C=Modexp(M,e,n)

8 8 printf("c= %ld\n", C) }} /* SLUT PA RSA.C */ /* RSATEST.C Ver. 0.2 (970511) Tester om RSA-parametre er lovlige Rettet: RSATEST.C bytes RSATEST.EXE bytes */ #include <conio.h> #include <stdio.h> #include <dos.h> #include <math.h> /* Pga. kvadratrod (sqrt) i Totient */ #define Starttekst "RSA-test v \n" long int p,q,e,d,n,z,fejl long int Totient(long int n) long int phi,i,j,k phi=n if (n%2==0) phi /=2 for ( n%2==0 n /=2) } if (n%3==0) phi=(phi*2)/3 for ( n%3==0 n /=3) } i=5 for ( n>=5 ) j=1 for (++j,k=i%j (k!=0)&(j!=(long int)sqrt(i)) ) j++ k= i%j } if ((k!=0)&(n%i==0)) phi= phi - phi/i for ( n%i==0 n/=i) } i +=2 } return phi } /* Primtest(x) returner 0, hvis x er et primtal */ int Primtest(long int x) if (Totient(x)==(x-1)) return 0 else return 1 } long int SFD(long int a, long int b) long int r,c,d

9 9 r=a%b c=a d=b for ( r>0 )c=d d=r r=c%d } return d } void main(void) printf(starttekst) printf("tester om RSA-parametre er lovlige\n") printf("p= ") scanf("%ld",&p) printf("q= ") scanf("%ld",&q) printf("e= ") scanf("%ld",&e) printf("d= ") scanf("%ld",&d) n=p*q z=(p-1)*(q-1) Fejl=0 printf("n= pq = %ld\n",n) printf("z=(p-1)(q-1)= %ld\n", z) if (Primtest(p)) printf("fejl: p er ikke et primtal\n") Fejl=1 } if (Primtest(q)) printf("fejl: q er ikke et primtal\n") Fejl=1 } if (SFD(z,e)!=1) printf("fejl: z og e er ikke primiske\n") Fejl=1 } if (SFD(z,d)!=1) printf("fejl: z og d er ikke primiske\n") Fejl=1 } if (((e*d)%z)!=1) printf("fejl: e og d er ikke hinandens inverse mod z\n") Fejl=1 } if (e >= z) printf("fejl: e er strre end z\n") Fejl=1 } if (d >= z) printf("fejl: d er strre end z\n") Fejl=1 } if (Fejl==0) printf("parametrene er OK!\n") } /* SLUT PA RSATEST.C */

10 10 Lidt matematik Kongruens modulo et heltal To heltal x og y er kongruente modulo d hvis og kun hvis x og y tilhører samme restklasse modulo d, hvor d er et heltal. Dette noteres: x y (mod d) (1.24) Denne relation er en ækvivalensrelation. I Pascal ville man udtrykke det: x = y mod d (1.25) I sproget C ville vi skrive: x = y % d (1.26) To heltal x og y er kongruente modulo d, hvis og kun hvis d kan dividere (x ; y) uden rest: x y (mod d) ) d j (x ; y) (1.27) Symbolet j læses går op i. Alternativt kan (1.27) også udtrykkes: d j (x ; y) x ; y = N d Nd+ y = x (1.28) hvor N er kvotienten. Største fælles divisor Det største heltal, der går op i en mængde af tal, kaldes mængdens største fælles divisor eller største fællesnævner, SFD (På engelsk Greatest Common Divisor, GCD). I værste tilfælde er SFD lig med 1, og i bedste tilfælde er SFD mængdens mindste tal.

11 11 Eksempler: SFD(3 4) = 1 SFD(10 20) = 10 [0] Man kan finde SFD(a, b) vha. Euklids algoritme. To tal a og b, hvor der gælder SFD(a,b)=1, kaldes indbyrdes primiske, man siger også, at a og b er relative primtal eller a er primisk med b. Eksempelvis er 8 og 9 indbyrdes primiske, selv om ingen af tallene er primtal. Mindste fælles mangefold Det mindste heltal, som en mængde af tal går op i, kaldes mængdens mindste fælles mangefold, MFM (På engelsk Least Common Multiple, LCM). I værste tilfælde er MFM lig med produktet af mængdens tal, og i bedste tilfælde er MFM mængdens største tal. Eksempler: MFM(5 7) = 35 MFM(6 24) = 24 [0] Der gælder at: MFM(a b) = a b SFD(a b) (1.29) Programmet på side 13 beregner MFM(a,b) og SFD(a,b) for to tal a og b. Euklids algoritme Denne algoritme er beskrevet af grækeren Euklid i bogen Elementa omkring år 300 fvt. Euklid hittede vist ikke selv på algoritmen; den menes at stamme tilbage fra år 500 fvt. Algoritmen beskrives her aldeles umatematisk via nogle små taleksempler. Euklids algoritme anvendes til at bestemme den største fælles divisor SFD for to tal. Først et par generelle bemærkninger: 1. Hvis a kan dividere b (eller a går op i b, skrevet a j b), og der findes et tal, der går op i a, vil det også gå op i b. Eksempelvis har vi 70 : 10 = 7. Tallet 5 går op i 10, derfor går 5 også op i Hvis vi har to tal, a og b, hvor a går op i b, er den største fælles divisor lig med a. Eksempelvis har vi tallene 70 og 10. Da 10 går op i 70, er SFD(70,10)= Hvis a ikke går op i b, men der fås en rest R, hvor der findes et tal, der går op i både a og R, vil dette tal være SFD for a og b. Eksempel: a =10og b =75. Divisionen giver: 75 : 10 = 7, rest 5 Da 5 går op i både 10 og 5, er SFD lig med 5: SFD(75,10)= 5

12 12 Euklids rekursive algoritme siger nu, at vi skal dividere det største tal med det mindste, b : a. Hvis det går op, er SFD(a,b)=a. I modsat fald undersøges nu a og divisionsresten, R sammen. Tallet a vil altid være større end R. Hvis det går op, er SFD(a, b)= R. I modsat fald fortsættes på samme måde. Proceduren gentages indtil R =0. Største fælles divisor vil være lig med den sidste divisions dividend. Efter lidt overvejelse vil man se, at det er ligegyldigt, om vi starter med at dividere b med a eller omvendt. Opskrevet mere systematisk lyder algoritmen: 1. Vi skal finde SFD(a, b) 2. Udfør heltalsdivisionen b, resten kaldes R a 1 3. Udfør heltalsdivisionen a R 1, resten kaldes R 2 4. Udfør heltalsdivisionen R 1 R 2, resten kaldes R 3 5. Gentag punkt 4 med voksende index på R, indtil R n;1 Rn 6. SFD er nu lig med R n går op I sproget C kan algoritmen skrives som: r=a%b c=a d=b for ( r>0 )c=d d=r r=c%d } SFD=d Eksempel 1 Vi har a =42og b =49, og finder nu SFD(49,42) vha. Euklids algoritme. 49 : 42 = 1 R =7 42:7=6 R =0 Dette betyder, at SFD(49,47)= 7 Hvis vi starter omvendt, fås: 42 : 49 = 0 R =42 49 : 42 = 1 R =7 42:7=6 R =0

13 13 Eksempel 2 Vi har a =31og b =3480, og finder nu SFD(31,3480) vha. Euklids algoritme : 31 = 112 R =8 31:8=3 R =7 8:7=1 R =1 7:1=7 R =0 Dette betyder, at SFD(31, 3480)= 1, eller med andre ord, at 31 og 3480 er relative primtal. Eksempel 3 Vi har a =54og b =12726, og finder nu SFD(54,12726) vha. Euklids algoritme : 54 = 235 R =36 54 : 36 = 1 R =18 36 : 18 = 2 R =0 Dette betyder, at SFD(54, 12726)= 18. Mindste fælles mangefold bliver: MFM( ) = = (1.30) SFD( ) Det efterfølgende program beregner SFD og MFM for to tal vha. Euklids algoritme. /* EUKLID.C Ver. 0.1 (960124) Finder strste flles divisor (SFD) og mindste flles mangefold (MFM) for to tal, a og b. Anvender Euklids algoritme Rettet: EUKLID.C bytes EUKLID.EXE bytes */ #include <conio.h> #include <stdio.h> #include <dos.h> #define Starttekst "Euklids algoritme v \n" static unsigned long int a,b,c,d,r void main(void)

14 14 printf(starttekst) printf("finder strste flles divisor, SFD(a,b) samt\n") printf("mindste flles mangefold, MFM(a,b)\n") printf("a=0 standser programmet\n") for ( ) printf("a= ") scanf("%ld",&a) if (a==0)printf("afsluttet\n") exit(0) } printf("b= ",b) scanf("%ld",&b) r=a%b c=a d=b for ( r>0 )c=d d=r r=c%d } % Euklids algoritme pa kort form printf("sfd(%ld,%ld)= %ld\n", a,b,d) printf("mfm(%ld,%ld)= %ld\n", a,b,(a*b)/d) }} Eulers totientfunktion Funktionen '(n), som kaldes Eulers totientfunktion, har som funktionsværdi antallet af tal mindre end n, der er indbyrdes primiske med n: '(n) =# fm j m<n ^ SFD(m n) =1g (1.31) hvor: # står for mængdens kardinalitet Udtrykt mere uformelt: Totientfunktionen er lig medén større end antallet af tal, der ikke går op i n. Herunder er vist nogle eksempler, idét mængden af tal, der er primiske med n, er vist ved siden af: '(3) = 2 '(4) = 2 '(5) = 4 '(7) = 6 '(8) = 4 f1 2g f1 3g f g f g f g (1.32) Der gælder følgende, idét p og q betegner to forskellige primtal, og a et positivt heltal: '(p) =p ; 1 '(p a )=(p ; 1) p a;1 (1.33) '(p q) ='(p) '(q)

15 15 Eksempel: 63 = '(63) = (3 ; 1) 3 1 '(7) (1.34) =2 3 6=36 Funktionen kan beregnes Y ved: '(n) =n 1 ; 1 p pjn (1.35) Man skal tage produkter for alle de primtal mindre end n, som går op i n. Eksempler: 255 = '(255) = ; 1 17 = = 128 '(63) = 63 1 ; ; 1 1 ; ; 1 7 (1.36) = =36 (1.37) Det efterfølgende program kan beregne Eulers totientfunktion. (En test af programmet skal give '(198000) = 48000, '(23279) = og '(65993) = 65992) Programmet kan anvendes til at afgøre om et tal m er et primtal, idét '(m) =m ; 1 hvis og kun hvis m er et primtal.

16 16 /* TOTIENT.C Ver. 0.7 (970512) Finder Eulers totientfunktion (Grimaldi p. 196) Rettet 10/5 97 sa STORE tal kan klares. Programmet burde nu kunne klare tal op til (2^32-1) Store primtal, der kan testes: 101, 3.391, , og Testen af det sidstnvnte tal varer s pa en MHz-maskine. Rettet: ,970508,970510,970511, TOTIENT.C bytes TOTIENT.EXE bytes */ #include <conio.h> #include <stdio.h> #include <dos.h> #include <math.h> // #include <time.h> #define Starttekst "Eulers totientfunktion v \n" unsigned long int n // time_t T1,T2 unsigned long int Totient(unsigned long int n) unsigned long int phi,i,j,k phi=n if (n%2ul==0ul) /* UL star for unsigned long int */ phi /=2UL for ( n%2ul==0ul n /=2UL) } if (n%3ul==0ul) phi=(phi*2ul)/3ul for ( n%3ul==0ul n /=3UL) } i=5ul for ( n>=5ul ) j=1ul for (++j,k=i%j (k!=0ul)&(j!=(unsigned long int)sqrt(i)) ) j++ k= i%j } if ((k!=0ul)&(n%i==0ul)) phi= phi - phi/i /* Rettet 10/ */ for ( n%i==0ul n/=i) } i +=2UL } return phi } void main(void)

17 17 printf(starttekst) printf("n ma hjst vre \n") printf("n=0 standser programmet\n") for ( ) printf("\nn= ") scanf("%lu",&n) if (n==0)printf("afsluttet\n") exit(0) } // T1=time(NULL) printf("phi(%lu)= %lu\n", n, Totient(n)) // T2=time(NULL) // printf("tidsforbrug: %lu sekunder\n", (unsigned long int)difftime(t2,t1)) } } /* SLUT PA TOTIENT.C */