RSA算法原理

简介

RSA算法是一种公开密钥密码体制，即使用不同的加密密钥与解密密钥，基于“由已知加密密钥推导出解密密钥在计算上是不可行的”这一思想。RSA算法是1977年由罗纳德·李维斯特（Ron Rivest）、阿迪·萨莫尔（Adi Shamir）和伦纳德·阿德曼（Leonard Adleman）一起提出的。当时他们三人都在麻省理工学院工作，RSA就是他们三人姓氏开头字母拼在一起组成的，1983年麻省理工学院在美国为RSA算法申请了专利。

RSA的安全性依赖于大数分解，但是否等同于大数分解一直未能得到理论上的证明，也并没有从理论上证明破译。不管怎样，分解$n$是最显然的攻击方法。现在，人们已能分解140多个十进制位的大素数。因此，模数$n$必须选大些，视具体适用情况而定。目前512位的密钥被视为不安全的；768位的密钥不用担心受到除了国家安全管理（NSA）外的其他事物的危害；1024位的密钥几乎是安全的。

RSA算法的数学基础原理

单向函数

单向函数是一种具有下述特点的单射函数：对于每一个输入，函数值都容易计算，但是给出一个随机输入的函数值，算出原始输入却比较困难。也就是说，已知$x$，我们很容易计算$f(x)$，但已知$f(x)$，却难于计算出$x$。
这里，“难”定义成：即使世界上所有的计算机都用来计算，从$f(x)$计算出$x$也要花费数百万年的时间。

单向陷门函数

单向陷门函数是有一个陷门的一类特殊单向函数。单向陷门函数包含两个明显特征：一是单向性，二是存在陷门。
所谓单向性，也称不可逆性，即对于一个函数$y=f(x)$，若已知$x$要计算出y很容易，但是已知y要计算出$x=f^{(-1)}(y)$则很困难。单向函数的命名就是源于其只有一个方向能够计算。所谓陷门，也被称为后门。对于单向函数，若存在一个$z$使得知道$z$则可以很容易地计算出$x=f^{(-1)}(y)$，而不知道$z$则无法计算出$x=f^{(-1)}(y)$，则称函数$y=f(x)$为单向陷门函数，而$z$称为陷门。

同余及模运算

同余：给定一个正整数m，如果两个整数$a$和$b$满足$a-b$能够被$m$整除，即$\frac{a-b}{m}$得到一个整数，那么就称整数$a$与$b$对模$m$同余，记作$a\equiv b(modm)$。
模运算：模运算在数学理论或者程序编写中都有着十分广泛的应用，判别一个数的奇偶问题、从模的幂计算到求解最大公约数问题、从中国剩余定理到凯撒密码问题…在这些数学理论中似乎到处都能看到模运算的身影，模运算与基本的四则运算有些相似，但是模n除法比传统的除法要有一些技巧，通常的法则是：在$gcd(a,n)=1$的情况下用$a(modn)$去除。

例1
加减乘运算与基本的四则运算相似
解 $x+7\equiv 3(mod17)$
$x\equiv 3-7\equiv -4\equiv 13(mod17)$

在进行除法运算的时候，应非常小心
设整数$a,b,c,n(n\ne 0)$且$gcd(a,n)=1。$如果$ab\equiv ac(modn)$，那么$b\equiv c(modn)$；换句话说，如果$a$和$n$是互素的，我们可以在同余式两边同除以$a$。

例2
解 $2x+7\equiv 3(mod17)$
$2x\equiv 3-7\equiv -4(mod17)$ 于是有$x\equiv -2\equiv 15(mod17)$。因为$gcd(2,17)=1$，所以能够在同余式两边同除以2。

例3
解$5x+6\equiv 13(mod11)$
$5x\equiv 13-6\equiv 7(mod11)$ 此时虽然有$gcd(5,11)=1$，但是同余式右边不能够被5整除
注意到$7\equiv 18\equiv 29\equiv 40\equiv \cdots (mod11)$，因此可以转换为$5x\equiv 40(mod11)$ $\to$可以得到结果$x\equiv 8(mod11)$

素数、合数与互素数

素数与合数

大于1的自然数中，除了1和它本身以外不再有其他因数的自然数，那么这个数就称为素数，否则称为合数。

互素数

互质数为数学中的一种概念，即两个或多个整数的公因数只有1的非零自然数。
当三个或三个以上自然数互质时会出现两种不同的情况：
①它们之间两两互质，例如2，3，5
②它们之间不是两两互质，例如6，8，9。

判别互素数的方法有很多种，例如：
①两个素数一定是互素数。例如，2和13。
②一个素数如果不能整除另一个合数，这两个数为互质数。例如，29和4。
③1既不是素数也不是合数，所以它和任何一个自然数组合在一起都是互素数。例如1和72。
④相邻的两个自然数是互质数。例如15与16。
⑤相邻的两个奇数是互质数。例如17与19。
⑥大数是素数的两个数是互质数。例如97与88。
⑦小数是素数，大数不是小数的倍数，此时两个数是互质数。例如7和16。
⑧两个数都是合数（二数差又较大），小数所有的质因数，都不是大数的约数，这两个数是互质数。例如357与715。
⑨两个数都是合数（二数差又较小），这两个数的差的所有质因数都不是小数的约数，这两个数是互质数。例如462与221。
⑩2和任何奇数是互素数。例如2和43。

费马小定理

如果$p$是一个质数，而整数$a$不是$p$的倍数，则有$a^{p-1}\equiv 1(modp)$

例4
令a=3，p=5
此时3不是5的倍数
因此$a^{p-1}\equiv 1(modp)$ $\to$ $3^{5-1}\equiv 1(mod5)$ 即$81\equiv 1(mod5)$

欧拉函数与欧拉定理

欧拉函数

在数论中，对于正整数$n$，欧拉函数$\phi (n)$是小于或等于$n$的正整数中与$n$互质的数的个数。
通式：$\phi (n)=n{\prod }_{i=1}^n(1-\frac{1}{p_i})$(其中$p_1,p_2\cdots p_n$为n的所有质因数，n是不为0的整数)
特殊性质：当$n$为质数时，$\phi (n)=n-1$
由于欧拉函数是积性函数，所以如果存在两个正整数$m，n$，当$m$与$n$互质时，则$\phi (m\cdot n)=\phi (m)\cdot \phi (n)=(m-1)\cdot (n-1)$

例5
令n=120，此时120的因数有1、2、3、4、5、6、8、10、12、15、20、24、30、40、60、120，共16个。
但其中只有2、3、5是质数，因此$\phi (120)=120\cdot (1-\frac{1}{2})\cdot (1-\frac{1}{3})\cdot (1-\frac{1}{5})=32$

例6
令n=10，此时n可分解为两个不同的素数的乘积，即2×5。此时有$\phi (2\cdot 5)=\phi (2)\cdot \phi (5)=(2-1)\cdot (5-1)=4$

欧拉定理

如果两个正整数$a$和$n$互质，则$a^{\phi (n)}\equiv 1(modn)$
欧拉定理的推论：若正整数$a，n$互质，那么对于任意正整数$b$，有$a^b\equiv a^{b(mod\phi (n))}(modn)$

例7
令a=3，n=7，此时a和n互质。由于n是质数，$\phi (7)=7-1=6$
$a^{\phi (n)}\equiv 1(modn)$ $\to$ $3^{\phi (7)}\equiv 1(mod7)$ 即$729\equiv 1(mod7)$

例8
接例5中的数据，令$b=13$。则$a^b\equiv a^{b(mod\phi (n))}(modn)$ $\to$ $3^{13}\equiv 3^{13(mod6)}(mod7)$ 即$3^{13}\equiv 3(mod7)$

贝祖定理与欧几里得算法

贝祖定理

如果$a、b$是整数，那么一定存在整数$x、y$使得$ax+by=gcd(a,b)$。换句话说，如果$ax+by=m$有解，那么$m$一定是$gcd(a,b)$的若干倍。因此可以通过这种方法来判断一个式子是否有解。但通常情况下我们并不仅仅想要知道有没有解，而是想要知道在有解的情况下这个解到底是多少。于是我们需要用到扩展欧几里得算法对这个式子进行求解。

欧几里得算法

欧几里得算法又称辗转相除法，是指用于计算两个非负整数$a，b$的最大公约数。
定理：$gcd(a,b)=gcd(b,a(modb))$

例9
求解482和1180的最大公约数gcd(482,1180)
1180=2×482+216
482=2×216+50
216=4×50+16
50=3×16+2
16=8×2+0
当最后一个式子余数为0时结束计算，则$gcd(482,1180)=2$

欧几里得算法有以下两个重要的方面：
1.它不需要因式分解；
2.速度快。

欧几里得扩展算法

扩展欧几里得算法是欧几里得算法（又叫辗转相除法）的扩展。
除了计算$a、b$两个整数的最大公约数，此算法还能找到整数$x、y$（其中一个很可能是负数）。通常谈到最大公因子时, 我们都会提到一个非常基本的事实: 给予二整数$a$与$b$, 必存在有整数$x$与$y$使得$ax+by=gcd(a,b)$。有两个数$a,b$，对它们进行辗转相除法，可得它们的最大公约数——这是众所周知的。然后，收集辗转相除法中产生的式子，倒回去，可以得到$ax+by=gcd(a,b)$的整数解。
原理：令$gcd(a,b)=a{x}_1+b{y}_1，gcd(b,a(modb))=b{x}_2+(a(modb))y_2$。
根据欧几里得$gcd(a,b)=gcd(b,a(modb))$，则$a{x}_1+b{y}_1=b{x}_2+(a(modb))y_2$。
由于$a(modb)=a-[\frac{a}{b}]\cdot b$，有$a{x}_1+b{y}_1=b{x}_2+(a-[\frac{a}{b}]\cdot b)y_2$ 。
变形为$a{x}_1+b{y}_1=a{y}_2+b(x_2-[\frac{a}{b}]\cdot y_2)$ (其中“[ ]”表示取整函数)
根据多项式恒等定理有：$x_1=y_2，y_1=x_2-[\frac{a}{b}]\cdot y_2$。
可以看出，$x_1，y_1$的值由$x_2，y_2$求出，这种求解思想称之为递归。
此时一定会存在$b=0$，使整个递归算法结束。

例10
求整数x和y，使得$3427x+101y=gcd(3427,101)$
(此时3427与101互质，$gcd(3427,101)=1$，即求解$3427x+101y=1$)
3427=33×101+94 商为33，$q_1=33$
101=1×94+7 商为1，$q_2=1$
94=13×7+3 商为13，$q_3=13$
7=2×3+1 商为2，$q_4=2$

递归法求解

按照 $x_0=1，x_1=0，x_j=-q_{j-1}\cdot x_{j-1}+x_{j-2}；y_0=0，y_1=1，y_j=-q_{j-i}\cdot y_{j-1}+y_{j-2}$进行计算
！！$q_1，q_2，\cdots ，q_n$分别为商
$x_2=-q_1\cdot x_1+x_0=-33\cdot 0+1=1；y_2=-q_1\cdot y_1+y_0=-33\cdot 1+0=-33$
$x_3=-q_2\cdot x_2+x_1=(-1)\cdot 1+0=-1；y_3=-q_2\cdot y_2+y_1=-1\cdot (-33)+1=34$
$x_4=-q_3\cdot x_3+x_2=-13\cdot (-1)+1=14；y_4=-q_3\cdot y_3+y_2=-13\cdot 34+(-33)=-475$
$x_5=-q_4\cdot x_4+x_3=-2\cdot 14+(-1)=-29；y_5=-q_4\cdot y_4+y_3=-2\cdot (-475)+34=984$
解得$x=-29，y=984$

例11
接例7的数据，求整数$x$和$y$，使得$482x+1180y=gcd(482,1180)$
(此时482与1180不互质，根据例7中的计算结果，$gcd(482,1180)=2$，即求解$482x+1180y=2$)
2=50-3×16
16=216-4×50
50=482-2×216
216=1180-2×482

非递归法求解

将式子倒推回去有：$2=50-3\times 16=50-3\times (216-4\times 50)=(482-2\times 216)-3\times [(1180-2\times 482)-4\times (482-2\times 216)]=[482-2\times (1180-2\times 482)]-3\times (1180-2\times 482)-4\times [482-2\times (1180-2\times 482)]=71\times 482-29\times 1180$
解得$x=71，y=-29$

模反元素及其求法

如果两个正整数$a$和$n$互质，那么一定可以找到整数$b$，使得$ab-1$被$n$整除，或者说$ab$被$n$除的余数是1，即满足$ab\equiv 1(modn)$。这时，$b$就叫做$a$的“模反元素”。
模反元素可通过两种方法进行求解：
①用费马小定理求解：
$a^{p-1}\equiv 1(modp)\to a\cdot a^{p-2}\equiv 1(modp)$，即a的模反元素为$a^{p-2}$

例12
接例2中的数据
$3^{5-1}=3\cdot 3^{5-2}\equiv 1(mod5)$，即3的模反元素为27

②扩展欧几里得算法求解：
$ab\equiv 1(modn)$等价于$ax+ny=1$，用扩展欧几里得算法求得一组解，当求得的解为负数时，通过计算$(b+n)modn$可以将它转换为整数。

中国剩余定理

线性方程同余组$$(S)=\{\begin{array}{l}x\equiv a_1(mod{m}_1)\\ x\equiv a_2(mod{m}_2)\\ ⋮\\ x\equiv a_n(mod{m}_n)\end{array}$$
假设整数$m_1，m_2，\cdots ，m_n$两两互质，则对任意的整数：$a_1，a_2，\cdots ，a_n$，方程组$(S)$有解，并且通式可以用以下方式构造得到：

1. 设$M=m_1\times m_2\times \cdots \times m_n={\prod }_{i=1}^n{m}_i$是整数$m_1,m_2,\cdots ,m_n$的乘积，并设$M_i=\frac{M}{m_i}$，$\forall i\in \{1，2，\cdots ，n\}$是除了$m_i$以外的$n-1$个整数的乘积。
2. 设$t_i=M_i^{-1}$为$M_i$模$m_i$的数论倒数( $t_i$为$N_i$模$m_i$意义下的逆元)
   $M_i\cdot t_i\equiv 1(mod{m}_i)，\forall i\in \{1，2，\cdots ，n\}$。
3. 方程组(S)的通解形式为$x=a_1\cdot t_1\cdot M_1+a_2\cdot t_2\cdot M_2+\cdots +a_n\cdot t_n\cdot M_n+kM=kM+{\sum }_{i=1}^n{a}_i{t}_i{M}_i$，在模$M$的意义下，方程组$(S)$只有一个解：$x=({\sum }_{i=1}^n{a}_i{t}_i{M}_i)modM$

例13
在中国古代著名数学著作《孙子算经》中，有一道题目叫做“物不知数"，原文如下: 有物不知其数，三三数之剩二，五五数之剩三，七七数之剩二。问物几何? 即，一个整数除以三余二，除以五余三，除以七余二，求这个整数。
中国数学家秦九韶于1247年做出了完整的解答，口诀如下: 三人同行七十希，五树梅花廿一支，七子团圆正半月，除百零五使得知。
使用中国剩余定理来求解上面的“物不知数”问题，便可以理解口诀中的数字含义。
线性方程同余组$$(S)=\{\begin{array}{l}x\equiv 2(mod3)\\ x\equiv 3(mod5)\\ x\equiv 2(mod7)\end{array}$$
其中$a_1=2，a_2=3，a_3=2，m_1=3，m_2=5，m_3=7$

1. $M={\prod }_{i=1}^n{m}_i=3\times 5\times 7=105$ ，由$M_i=\frac{M}{m_i}$，分别求得$M_1=\frac{105}{3}=35，M_2=\frac{105}{5}=21，M_3=\frac{105}{7}=15$。
2. 由$M_i\cdot t_i\equiv 1(mod{m}_i)$，分别求得 $t_1=2，t_2=1，t_3=1$。
3. 方程组(S)的通解形式为$x=kM+{\sum }_{i=1}^n{a}_i{t}_i{M}_i=k\cdot 105+233,k\in Z$ 。当k取值为-2时，有最小正整数解 $x=23$。

蒙哥马利模幂

蒙哥马利(Montgomery)幂模运算是快速计算$a^b(modn)$的一种算法，是RSA加密算法的核心之一。
设$b$的二进制数字表示为$b_{r-1}\cdots b_1{b}_0$，即$b=b_0+b_1\cdot 2+...+b_{r-1}\cdot 2^{r-1}$，则有$a^b\equiv a^{b_0}\times {(a^2)}^{b_1}\times \cdots \times {({a^2}^{r-1})}^{b_{r-1}}(modn)$。令$A_0=a，A_i\equiv {(A_{i-1})}^2(modn),i=1，2，\cdots ，r-1$，则有$a^b\equiv (A_0{)}^{b_0}\times (A_1{)}^{b_1}\times ...\times (A_{r-1}{)}^{b_{r-1}}(modn)$，其中，在这里$${A_i}^{b_i}=\{\begin{array}{c}{A}_i，若b_i=1\\ 1，若b_0=0\end{array}，其中i=0，1，\cdots ，r-1$$

例14

求 $2^{13}(mod11)$，那么$a=2，b=13，n=11。$
13的二进制数字表示为1101，则$b_0=1，b_1=0，b_2=1，b_3=1，i=0，1，2，3$。
$A_0=2，A_1\equiv 2^2(mod11)=4，A_2\equiv 4^2(mod11)=5，A_3\equiv 5^2(mod11)=3$
$2^{13}\equiv (2^1\times 4^0\times 5^1\times 3^1)(mod11)\equiv 30(mod11)=8$，即$2^{13}(mod11)$的最终结果为8

RSA算法加解密过程

①随机选择两个不相等的质数$p$和$q$。
②计算$p$和$q$的乘积n以及n的欧拉函数$\phi (n)$。
③随机选择一个整数$e$，($1<e<\phi (n)，且gcd(e,\phi (n)=1$ )
④计算$e$对于$\phi (n)$的模反元素$d$。
⑤将$n$和$e$封装成公钥，$n$和$d$封装成私钥。

假设要加密的明文信息为$M$，加密的密文信息为$C$，那么加密时用$M^e(modn)$，解密时用$C^d(modn)$。
例

①取$p=53,q=61$。
②$n=p\times q=53\times 61=3233$
$\phi (n)=(p-1)\cdot (q-1)=52\times 60=3120$
③取$e=17$
④$e\cdot d\equiv 1mod\phi (n)$–>即 $17\cdot d+3120\cdot y=1$
解得 $d=2753,y=-15$
⑤所以公钥就是$(3233,17)$，私钥就是$(3233,2753）$

取$M=65$
加密：$65^{17}(mod3233)=2790$，解密：$2790^{2753}(mod3233)=65$