RSA og den heri anvendte matematiks historie - Institut for Natur ...

96 RSA-algoritmen
efterlader os med de tre resterende private parametre d, p og q. Hvilke krav
stilles der til disse for at opretholde sikkerheden af RSA? Det viser sig, at hvis
disse blot vælges såvel ‘store nok’ som med omtanke, så kendes der pt. ikke
nogen metoder til at beregne disse inden for en overskuelig tidsramme. Men
hvad vil det sige at vælge sine parametre med omtanke? Fra sætning 2.29 ved
vi, at vi for at bestemme primfaktorerne i et heltal n ‘kun’ behøver at forsøge
os med primtallene op til √ n, det vil sige dem i listen 2, 3, 5, 7, . . . , √ n (hvor
√ n jo ikke nødvendigvis er et primtal, eller for den sags skyld et heltal). Et
sådant ‘brute force’-angreb kan man ikke gardere sig imod, men man kan
trække det ud. For det første bør man ikke vælge primtal som enten er for
små eller ligger for tæt på √ n, da det vil være naturligt for en angriber at
begynde i henholdsvis den ene eller den anden ende af listen. Samtidig må
afstanden mellem primtallene heller ikke være for lille. Oftest vælger man to
primtal sådan at disse har samme størrelsesorden, det vil sige samme antal
cifre, men størst mulig afstand. Et eksempel på dette er primtallene 1009 og
9973, disse er af samme størrelsesorden, men der er stor afstand imellem dem.
Og så skal de som sagt være ‘store nok’, og hvis p og q er store nok, så vil d
også være det, da denne parameter jo afhænger af p og q. Men hvad vil det
så sige at p og q er store nok? Faktisk afhænger dette mål i høj grad af den
teknologi som er tilgængelig til et givet tidspunkt. De størrelsesordner som
man kunne nøjes at operere med i 1982, hvor Rivest, Shamir og Adleman
oprettede deres firma, vil langt fra være tilstrækkelige i dag. I 1995 udregnede
sikkerhedseksperten Simon Garfinkel, at det ville tage en computer med 8
MB RAM cirka 50 år at faktorisere et n af størrelsesorden 10 130 , svarende til
at p og q hver er af størrelsesorden 10 65 . Imidlertid udregnede Garfinkel også,
at 100 millioner sådanne computere, hvilket var det antal der var solgt i 1995,
ved distribuerede beregninger kunne faktorisere et sådant n på 15 sekunder.
Sådanne distribuerede beregninger er som vi så i afsnit 2.4 med GIMPS ikke
blot fantasi. Eksempelvis blev Gardners 129 cifre lange heltal fra 1977 (se side
79) faktoriseret i 1994 netop ved en koordineret indsats mellem sekshundrede
talentusiaster anvendende pc’er. Primtallene p og q var på henholdsvis 64 og
65 cifre. På dette tidspunkt blev der til vigtige banktransaktioner anvendt
n’er mindst af størrelsesorden 10 308 . Dette er imidlertid over et årti siden og
i dag er kravet grundet den teknologiske udvikling noget højere.
På samme måde som man kan tale om et ‘kapløb’ mellem kryptografer
og kryptoanalytikere, synes der også at være tale om et ‘kapløb’ mellem
matematikken og teknologien – tænk eksempelvis på Enigmaens fremkomst
og derefter computerens. For RSAs vedkommende har matematikken dog
indtil videre været i stand til at bevare sin førerposition ved at skrue op
for antallet af cifre i den offentlig nøgle. Spørgsmålet er dog om dette kan
fortsætte. Det er nemlig ikke kun teknologien som matematikken her løber
om kap med, i en vis forstand løber den også om kap med sig selv. Hele
tiden bliver der forsket i nye metoder og algoritmer til faktorisering af store
heltal. Skulle en sådan metode pludselig dukke op ville RSA ikke længere
være et sikkert kryptosystem. Mange matematikere er dog af den opfattelse
at faktorisering er en så speciel og vanskelig opgave, at der må være en eller
anden matematisk lov som forbyder at der kan tages genveje. Måske har