密码学理论09：数论和密码学困难问题
整数模N
符号：Z；N；Z>0
gcd（a，N）：对于 a, N ∈ Z ，令 gcd(a, N) 为最大的 d ∈ Z>0 ，使得 d|a 和 d|N。
ZN；ZN*；
（N）；
除法，余数，模数
令a为整数且令N为正整数。那么存在唯一的整数 q、r，其中 a = qN + r 且 0 ≤ r < N。——(q, r) ← div(a, N)
- 称 q 为商，r 为余数
- 那么a mod N = r ∈ ZN
同余：a ≡ b (mod N) 如果 a mod N = b mod N 或等效于 N|(a − b)。
(a + b) mod N = (a mod N + b mod N) mod N
(a · b) mod N = (a mod N · b mod N) mod N
群
一个（有限）群 G 是一个具有二元运算的（有限）非空集 ，其中以下属性成立：
- 闭包：对于所有的 g，h ∈ G，g·h ∈ G
- 恒等式：存在 e ∈ G s.t.对于所有 g ∈ G，我们有 e · g = g = g · e
- 逆元：对于所有 g ∈ G 存在 h ∈ G s.t. g·h=e=h·g
- 结合性：对于所有 g, h, f ∈ G，满足 (g · h) · f = g · (h · f)
如果对于所有 g, h ∈ G 我们有 g · h = h · g，则一个群是可交换的（或阿贝尔群）
模指数
g^m := g · ...g(m 次)，对于 m ∈ N 和 m · g = g + ... + g (m 次)（对于加法群）
对于所有 i, j ∈ Z ：
- g^i+j = g^i · g^j
- g^ij = (g^i )^j = (g^j )^i
- g^−i = (g^i )^−1 = (g^−1 )^i
群的阶
阶：如果 G 是有限的，则 m := |G|称为群的阶
设 G 是一个有限群，m = |G|是群的阶。那么对于任何元素 g ∈ G，g^m = 1。
设 G 是一个有限群，其中 m = |G| > 1. 然后对于任何 g ∈ G 和任何整数 x，我们有 g^x = g^(x mod m)
摸指数运算
——快速求幂：
循环群
让我们考虑一个 m 阶的有限群 G 并写成 < g >= {g0, g1, ...}
设 i ≤ m 为 g^i = 1 的最小正整数，则上述序列在 i 项后重复，(gi = g^0 , gi+1 = g , ...) 和 < g >= {g^0 , g^1 , ..., g^i−1}。
我们称 i 为 g 的阶，< g >⊆ G 称为 g 生成的子群。
如果存在阶数为 m := |G| 的元素 g，则称 G 是循环的。我们写 < g >= G。
定理：令 G 为有限群，且 g ∈ G 为 i 阶元素。那么对于任何整数 x，我们有 g^x = g [x mod i]；令 G 为 m 阶有限群，并称 g ∈ G 具有 i 阶，则i | m。
定理：如果 p 是素数，则 Z ∗ p 是一个 p − 1 阶循环群。
随机质数
设置 t=3n^2 我们在 t 次迭代中没有命中任何素数的概率可以忽略不计。
概率素性检测
尽管有确定性素数测试，但我们使用概率测试（因为它们更有效）。形式化的概率测试：如果输入 n 是素数，算法总是输出“素数”。如果 n 是复合的，那么算法几乎总是输出“复合”，但可能会以一定的概率输出错误的答案（“质数”）（复合是确定的，对于质数它可能会出错）。
大素数分解
每个整数 N > 1 都可以唯一地写为 N = 
，pi 是不同的素数，对于所有 i，ei ≥ 1。
给定分解，很容易计算N，对于某些形式的N，计算因式分解很困难。——如果要分解的数字只有大的素因子，则最难。
求任何给定 N 的因子的简单算法是简单除法。——指数时间复杂度
设 GenModulus 是一个多项式时间算法，它在输入 1 n 上输出 N、p、q，其中 N = pq，p、q 是 n 位素数。
大素数分解问题是困难问题，如果对于所有 PPT敌手A 都存在一个可忽略的函数使得：
RSA假设
设 GenRSA 是一个多项式时间算法，在输入 1^n 上输出 (N, e, d)，其中 N = pq 和 p, q 是 n 位素数，e, d > 0 是整数 s.t. gcd(e, φ(N)) = 1 和 ed = 1 mod φ(N)。
RAS问题是困难问题，如果对于所有 PPT敌手A 都存在一个可忽略的函数使得：
离散对数问题
我们考虑具有生成元 g 的 q 阶循环群 G，因此 G = {g^0 , ..., g^q−1}。
DL 问题：给定 h = g^x 以找到唯一的 x ∈ Zq。
我们现在来看看两个相关但弱于 DLP 的问题：计算（CDH）和决策 Diffie-Hellman（DDH 问题）——
让 DHg(h1, h2) := g^logg (h1)·logg (h2) 。如果 h1 = g^x1，h2 = g^x2，则 DHg(h1, h2) = g^x1x2 = h1^x2 = h2^x1 。
CDH问题：给定 (G, q, g, h1, h2) 计算 DHg(h1, h2)。
DDH问题：给定 (G, q, g) 和均匀随机 h1, h2 ∈ G，区分 DHg(h1, h2) 和均匀随机 h'∈ G。
离散对数难解群的选择：
（没有素数阶）- 的素数阶 q 子群
- 椭圆曲线群
