7 RSA密码体制

RSA引言

  RSA密码方案有时也称为Rivest-Shamir-Adleman 算法,它是目前使用最广泛的一种非对称密码方案。RSA在USA(但其他国家除外)的专利期限持续到2000年。

RSA应用广泛，但在实际中却常用于:

• 数据小片段的加密，尤其用于密钥传输
• 数字签名，比如Internet上的数字证书。

  注意 ：RSA加密的本意并不是为了取代对称密码，而且它比诸如 AES的密码要慢很多。这主要是因为RSA(或其他公钥算法)执行中涉及到很多计算。因此，加密特征的主要用途就是安全地交换对称密码的密钥(即密钥传输)。实际上，RSA通常与类似AES的对称密码一起使用，其中真正用来加密大量数据的是对称密码。

RSA底层的单向函数就是整数因式分解问题: 两个大素数相乘在计算上是非常简单的(人们使用笔和纸就能完成)，但是对其乘积结果进行因式分解却是非常困难的。

加密与解密

  RSA加密和解密都是在整数环$Z_n$内完成的，模计算在其中发挥了核心作用。
  假设使用RSA 加密明文$x$，而表示$x$的位字符串则是$Z_n=0,1,..,n-1$内的元素。所以明文$x$表示的二进制值必然小于$n$。对密文而言，这个原理也成立。使用公钥进行加密和使用密钥进行解密可以表示为:

RSA加密：给定公钥$(n,e)=k_{pub}$和明文$x$，则加密函数为：$$y=e_{k_{pub}}(x)\equiv x^{e}modn\text{\hspace{1em}(1)}$$其中$x,y\in Z_n$

RSA解密：给定私钥$d=k_{pr}$和密文$y$, 则解密函数为：$$x=d_{k_{pr}}(y)\equiv y^{d}modn\text{\hspace{1em}(2)}$$其中$x,y\in Z_n$

实际中$x,y,n$和$d$都是非常长的数字，通常为1024位或更长。值e有时称为加密指数或公开指数; 私钥d有时称为解密指数或保密指数。如果 Alice想将一个加密后的消息传输给Bob，她需要拥有 Bob 的公钥(n,e)，而 Bob将用他自己的私钥d进行解密。下一小结将讨论如何生成这三个重要参数d，e和n。下面我们可以探讨一下 RSA密码体制的一些需求;

1. 由于攻击者可以得到公钥$(n,e)=k_{pub}$，所以，对于给定的公钥值$e$和$n$，确定私钥$d$在计算上
   必须是不可行的。
2. 由于明文$x$只是唯一地取决于模数$n$的大小，所以一次RSA加密的位数不能超过$l$, 其中$l$指的是$n$的位长度。
3. 计算 $x^{e}modn$(即加密)和$y^{d}modn$(即解密)应该相对简单。这意味着需要一种能快速计算长整数的指数的方法。
4. 给定一个$n$应该对应很多密钥/公钥对，否则，攻击者就可以发起蛮力攻击(事实证明,这个要求很容易满足)。

密钥生成与正确性验证

  所有非对称方案的一个显著特征就是，它们都有一个计算公钥和私钥的握手阶段。密钥生成依赖于公钥方案，因此十分复杂。以下是RSA密码体制中计算公钥和私钥所涉及的步骤。

RSA密钥生成：

  输出：公钥：$k_{pub}$ = (n, e)和私钥：$k_{pr}=(d)$

1. 选择两个大素数 $p$ 和 $q$。
2. 计算 $n=p\ast q$。
3. 计算 $\Phi (n)=(p-1)\ast (q-1)$。
4. 选择满足以下条件的公开指数 $e\in \{1,2,.....,\Phi (n)-1\}$: $$gcd(e,\Phi (n))=1。$$
5. 计算满足以下条件的私钥$d$: $$d\ast e\equiv 1mod\Phi (n)$$

  步骤4中要求$gcd(e,\Phi (n))=1$是为了保证$e$的逆元存在模$\Phi (n)$，所以私钥 $d$始终存在。
  密钥生成中有两个部分至关重要:选择两个大素数的步骤1和计算公钥和私钥的步骤4和5。步骤1中的素数生成非常复杂。使用扩展的欧几里得算法(EEA)立刻就可以计算出密钥$d$和$e$。实际中，人们通常首先在$0<e<\Phi (n)$范围内选择一个公开参数，且$e$的值必须满足条件$gcd(e,\Phi (n))=1$。将输入参数 $n$ 和 $e$ 用于欧几里得算法(EEA)中即可得到以下关系:$$gcd(\Phi (n),e)=s\cdot \Phi (n)+t\cdot e$$
  如果$gcd(\Phi (n),e)=1$，则$e$是一个有效的公钥。使用扩展欧几里得算法得到的参数$t$即为$e$的逆元，因此有:$$d=tmod\Phi (n)。$$

示例：Alice想要发送一个加密后的消息给Bob。首先，Bob 执行步骤1～5计算RSA参数，并将他的公钥发送给Alice。 Alice然后将消息(x=4)加密，并将得到的密文y发送给Bob。最后，Bob使用他自己的私钥解密y。
注意： 私钥指数和公钥指数都满足条件$e\ast d=3\ast 7\equiv 1mod\Phi (n)$

  实际中的RSA参数会非常非常大RSA模数n应该至少为1024位长，这使得p和q的位长度都至少为512。下面是位长度为1024的RSA参数的示例。
$$p=EODFD2C2.A288ACEBC705EFAB30E4447541A8C5447A37185CSA9CB98389CE4DE19199AA3069B404FD98C801568CB9170EB712BF10B4955CE9C9DC8CE6855C6123_h$$
$$q=EBEOFCF21866FD9A9FOD72F7994875A8D92E67AEE4B515136B2A778A8048B149828AEA30BDOBA34B977982A3D42168F594CA99F3981DDABFAB2369F229640115_h$$
$$n=CF33188211FDF6052BDBB1A37235EOABB5978A45C71FD381491AD12FC76DA0544C47568AC83D855D47CA8D8A779579AB72E635DOB0AAAC22D28341E998E90F82122A2C06090F43A37E0203C2B72E401FD06890EC8EAD4F07E686E906FO1B2468AE7B30CBD670255C1FEDE1A2762CF4392C0759499CCOABECFF008728D9A11AD{F}_h$$
$$e=40B028E1E4CCF07537643101FF72444AOBE1D7682F1EDB553E3AB4F6DD8293CA1945DB12D796AE9244D60565C2EB692A89B8881D58D278562ED60066DD8211E67315CF89857167206120405BO8B54D10D4EC4ED4253C75FA74098FE3F7FB751FF5121353C554391E114C85B5649725E9BD5685D6C9CTEED8EE442366353DC39,d=C21A93EE75148D4FBFD77285D79D6768C58EBF283743D2889A395F266C78F4A28E86F545960C2CEO1EB8AD5246905163B28DOB8BAABB959CC03F4EC499186168AE9ED6D88058898907E61CTcCCC584D65D801CFE32DFC983707F87F5AA6AE4B9E77B9CE630E2CODF05841B5E4984D059435D7270D500514891F7B77B804BED81_h$$

正确性验证:

RSA核心：$$d_{k_{pr}}(y)=d_{k_{pr}}(e_{k_{pub}}(x))\equiv {x^e}^d\equiv x^{de}\equiv xmodn\text{\hspace{1em}(3)}$$ 下面来证明RSA方案可行的原因。

证明： 需要证明解密是加密的逆函数，即$d_{k_{pr}}(e_{k_{pub}}(x))=x$。首先来说明公钥和私钥的构建规则: $d\ast e\equiv 1mod\Phi (n)$。利用模操作符的定义，此表达式等价于: $$d\ast e\equiv 1+t\ast \Phi (n)$$
  其中t是整数。将此表达式带入等式$(3)$中可得:$$d_{k_{pr}}(y)\equiv x^{de}\equiv x^{1+t\ast \Phi (n)}\equiv x^{t\ast \Phi (n)}\ast x^1\equiv (x^{\Phi (n)}{)}^t\ast xmodn\text{\hspace{1em}(4)}$$
  这意味着我们需要证明$x\equiv (x^{\Phi (n)}{)}^t\ast xmodn$。根据欧拉定理，即若$gcd(x,n)=1$，则有$1\equiv x^{\Phi (n)}modn$，立即得到一个小型推广:$$1\equiv 1^t\equiv (x^{\Phi (n)}{)}^{t}modn\text{\hspace{1em}(5)}$$

  其中，t为任意整数。此证明过程要分两种情况进行讨论:

第一种情况: $gcd(x,n)=1$

由于这种情况下欧拉定理成立，可将等式$5$插入$4$，得到:$$d_{k_{pr}}\equiv (x^{\Phi (n)}{)}^t\ast x\equiv 1\ast x\equiv xmodn.证毕$$
  这部分证明说明，对与RSA模数$n$互素的明文值$x$而言，解密函数的确是加密函数的逆。

第二种情况: $gcd(x,n)=gcd(x,p\cdot q)\ne 1$

  由于$p$和$q$均为素数，必须拥有下面因子的任何一个:$$x=r\ast p或者x=s\ast q$$
  其中$r，s$均为整数，且满足$r<q和s<p$。为了不失通用性，假设$x=r\cdot p$，进而可以得到$gcd(x,q)=1$。以下形式的欧拉定理依然成立:$$1\equiv 1^t\equiv (x^{\Phi (q)}{)}^{t}modq$$
  其中t为任意正整数。下面再来看看$(x^{\Phi (n)}{)}^t$: $$(x^{\Phi (n)}{)}^t\equiv (x^{(p-1)(q-1)}{)}^t\equiv ((x^{\Phi (q)}{)}^t{)}^{p-1}\equiv 1^{p-1}=1modq。$$
  使用模操作符的定义，此表达式等价于:$$(x^{\Phi (n)}{)}^t=1+u\ast q，$$
  其中，$u$为任何整数。将此等式乘以$x$可得:$$x\ast (x^{\Phi (n)}{)}^t=x+x\ast u\ast q=x+(r\ast p)\ast u\ast q=x+r\ast u\ast (p\ast q)=x+r\ast u\ast n$$
$$即x\ast (x^{\Phi (n)}{)}^t=xmodn\text{\hspace{1em}(6)}$$

将等式$6$代入等式$4$便可得到期望的结果:$$d_{k_{pr}}=(x^{\Phi (n)}{)}^t\ast x\equiv xmodn。证毕$$

参考资料：《深入浅出密码学》–Christof Paar,Jan Pelzl著