Sicherheit in Rechnernetzen - Professur Datenschutz und ...

3.4 Der s 2 -mod-n-Pseudozufallsbitfolgengenerator: Kryptographisch starke Konzelation
wobei die letzte Gleichung aus dem Euler-Kriterium folgt. Außerdem wissen wir, daß die
so erhaltene Wurzel w selbst wieder ein Quadrat ist: Sie ist ja eine Potenz des Quadrats
x. Das wird wichtig, wenn wir mehrfach hintereinander Wurzeln ziehen wollen, z. B. um
4-te, 8-te Wurzeln usw. zu ziehen.
• Es gilt
−1 QR p,
denn wenn etwa p = 4 · r + 3 (mit r ∈ N0), so gilt nach dem Euler-Kriterium:
−1
p
≡ −1 p−1
2 ≡ (−1) 2·r+1 ≡ −1 (mod p). 36
• Das hat folgende Bedeutung für die zwei Wurzeln ±w aus einem x: Ist w die mit obigem
Verfahren gefundene, also ∈ QR p, so gilt:
−w QR p,
denn wenn beide Wurzeln quadratische Reste wären, so würde folgen (weil QR p eine
Gruppe ist): −1 ≡ (−w) · w −1 ∈ QR p; Widerspruch. Es gibt also auch genau zwei 4te
Wurzeln aus x, nämlich die zwei Wurzeln ±w aus w, und genau zwei 8-te Wurzeln,
nämlich die zwei Wurzeln ±w ′′ aus w ′ , usw. für jede Zweierpotenz.
3.4.1.7 Quadrate und Wurzeln (mod n) mit Kenntnis von p, q
(Für n := p · q mit p, q prim und p q.)
Jetzt setzen wir unsere Erkenntnisse aus §3.4.1.3, §3.4.1.5 und §3.4.1.6 zusammen, um mögliche
Operationen zu erhalten, die nur Geheimnisbesitzer ausführen können: Diese können nämlich
nun auch (mod n) testen, ob ein x ein Quadrat ist, und ggf. Wurzelziehen:
• Quadrattest: Es gilt
x ∈ QR n ⇔ x ∈ QR p ∧ x ∈ QR q.
(Und die rechten beiden Bedingungen kann der Besitzer von p und q mit dem Euler-
Kriterium auswerten.) Beweis:
(B1) Für x ∈ QR n sei etwa w eine Wurzel, d. h. w 2 ≡ x (mod n). Dann gilt erst recht
und
w 2 ≡ x (mod p)
w 2 ≡ x (mod q) (wegen (*))
36 Hierfür ist die Wahl von p ≡ 3 (mod 4) wesentlich. Denn sonst wäre für große p nämlich p ≡ 1 (mod 4) und
damit nach dem Euler-Kriterium −1 ∈ QR p.
95