Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

46 3. FAKTORISIERUNGSPROBLEM, PROTOKOLLE
w ˜P ∈ {0,1}| ˜P|
w
e ∈ [0,2 t [ k
e
ERF(w ˜P
,e) ∈ {0,1}
ABBILDUNG 3.1.1. Erfolgsmatrix von ˜P
PROPOSITION 3.1.2. Für N mit 2 k | p − 1 gibt es einen prob. Alg. FA : ( ˜P,N) ↦→ {p,q}
mit Ew|FA| = O(k| ˜P|/ε) sofern ˜P für zufällige v ∈ R (� ∗2k
N )t Erfolgsws. ε ≥ 2 −kt+1 hat.
BEWEIS. Faktorisierungsverfahren FA für 2 k | p − 1
(1) Wähle s ∈R (�∗ N )t .
(2) AL : ( ˜P,s,N) ↦→ (X,Y,l) nach Satz 3.1.1.
(3) Z := Y 2k−l−1/X
2k−1.
Wegen Y 2k = X 2k+l gilt Z2l+1 = 1, Z mod p nimmt wegen 2k | p−1 zufällig zwei
Werte an – statistisch unabh. von Z mod q. Beachte, dass X(s) linear in einem
sν ist.
(4) Berechne das kleinste i ≤ l + 1 mit Z2i = 1.
Es sind i und l Funktionen in v und w ˜P
. Sie sind bei festem v konstant in s.
• Fall 1: i ≤ 1, Z2 = 1. Dann gilt mit Wss ≥ 1 2 , dass
ggT(Z ± 1,N) = {p,q}.
• Fall 2: i ≥ 2, Z2i−1 �= −1. Dann gilt
• Fall 3: i ≥ 2, Z2i−1 = −1.
ggT(Z 2i−1
± 1,N) = {p,q}.
Wiederhole die Schritte 1-3 mit unabhängigen s ∈ R (� ∗ N )t . Tritt der Fall Wert i, 2 ≤ i < k,
im Fall 3 doppelt auf, so gilt für die beiden Werte Z,Z ′ :
Z 2i−1
= −1, Z ′2i−1
= −1, (ZZ ′ ) 2i−1
= 1.
FA führt eine Liste der Paare (Z,i) von Fall 3. In dieser Liste wird jetzt (Z ′ ,i) ersetzt durch
(ZZ ′ ,i ′ ) mit dem kleinsten i ′ < i), so dass (ZZ ′ ) 2i′ = 1.
Tritt i ′ bereits mit (Z ′′ ,i ′ ) in der Liste auf, so wird die Erniedrigung sukzessive fortgesetzt
mit (Z,Z ′ ,Z ′′ ,i ′′ ).
FACT 3.1.3. Jeder Durchlauf von Fall 3 liefert – nach sukzessiver Erniedrigung von i –
ein neues i in der Liste der Paare (Z,i).