阅读报告

1.归纳文章主要思想与工作

文章认为目前使用的非对称性密码RSA不会因为量子计算机的出现而消亡，但目前版本的RSA在量子算法面前不堪一击，进而提出了一种比现在通行的RSA密码体系更加能够抵抗量子计算机的改进版RSA，该版本在某种意义上可以对抗已知的量子算法，且攻击代价在使用成本上基本上是二次的。文章通过实验和数据分析出，假设已构建了成本低廉且可扩展的量子计算机，现行的RSA公钥增加字长和改善算法，就能迫使量子计算机的恶意攻击因为难以承受的代价而失败告终。同时介绍了一种新的量子分解算法GEECM，该算法可以比任何已知算法更有效地生成大批独立的均匀随机素数，从而一次生成一个素数。

改进版RSA是通过一系列数学技巧（如快速的乘法以及随机生成质数的方法等），在加密解密的计算量都控制在正比于n的前提下，将多个质数相乘使得n非常大，最终使得让破解的计算量远超过加密解密的计算量。即把加密解密的计算量（n）降低到了破解的计算量（n的平方）之下。但面对多项式时间敌手时的渐近安全性的定义下，后量子RSA没有达到安全的标准，但后量子RSA看似确实提供了一个合理水平的具体的安全性。

2.讨论相关技术

2.1标准快速乘法技术

计算xd mod n的经典加速是计算xd mod p和xd mod q，其中p和q是n的主要因数。根据费尔马同一性：xp mod p = x mod p进一步意味着xd mod p = xd mod（p-1）mod p（因为d mod（p-1）≥1）并且类似地xd mod q = xd mod（q-1）mod q值。指数d mod（p - 1）和d mod（q - 1）只有n的一半。该指数xd模n因此被具有半尺寸指数和半尺寸模的两个指数代替。如果n是更多的素数的乘积，例如k≥3个素数，则相同的加速使用（1 / k）大小指数的k次幂指数变得更加有效和（1 / k） - 大小模量。

2.2标准的素数生成技术

生成可能是主要的随机数字后采用拉宾的测试。决定一个给定的数字可能是素数，并产生一个或几个可能是素数的随机整数。

产生一个数字

其中：函数Rabin（n）

{n是一个奇数，n> 1}

在2和n - 2之间随机一致地选择一个整数

如果〜R〜则返回 “素数”

否则返回“复合”。

测试步骤如下：

1、funetiofi GenPrime（l，k）

{I是正整数;k是安全参数}

2、重复n〜随机选取的数字奇数

3、直到重复Rabin（n，k）=“prime”

4、返回

但输出只是一个概率上的素数，存在错误的概率。

3.RSA-KEM算法

RSA-KEM加密过程：OAEP-EME.Encode（M，L，ELEN）

//判断是否| M | >ELEN - 2·HLEN - 1;

If（| M | >ELEN - 2·HLEN - 1）

return false;

//生成长度HLEN的随机字节串R。

byteR[]=new byte[HLen];Random rand=new Random();for(int i=0;i

len=ELen-| M | -2·HLen;

bytepad[]=new byte[len];

x= Hash.eval（L）||pad||M;

s= KDF（r，ELen - HLen）⊕x;

t= KDF（s，HLen）⊕r;

Output E = t||s;

RSA-KEM解密过程：OAEP-EME.Decode（E，L）

1.ELen= | E |;

if(Elen<2·HLen + 1)

Return false;

e= ts;

| T | = HLen;

| S | = ELen- HLen;

r = KDF（s，HLen）⊕t。

x = KDF（r，ELen - HLen）⊕s。

If(x! = Hash.eval（L）||pad||M)

return fasle;

Output M.

4.未来的研究方向、及未解决的难题

4.1、RSA的所有用户（包括传统的前量子RSA的用户）都应该将他们的密钥生成计算委托给NIST或其他可信的第三方。难题是证明批量生成与一次一个用户的RSA密钥生成相比，可以更有效地执行安全的多用户RSA密钥生成。

4.2、后续工作的另一个自然方向是将后量子RSA集成到标准互联网协议（如TLS）中。这种集成概念简单明了，但需要解决许多系统级的挑战，例如对加密库允许的RSA密钥大小的各种限制。

Post-quantum RSA