Elementare Zahlentheorie und Kryptographie

dass der Test mit “wahrscheinlich prim” antwortet, obwohl N nicht prim ist.
Die Fehlerwahrscheinlichkeit eines guten Tests ist so klein, daß die theoretisch
bestehende Möglichkeit einer fehlerhaften Ausgabe in der Praxis nicht relevant
ist. Vielleicht wäre 10 −7 = 0, 00001% ein guter Wert für die Fehlerwahrscheinlichkeit.
Wenn man einen solchen Primzahltest einmal hat, dann kann man große Zufalls-
Primzahlen erzeugen, indem man mit einer Zufallszahl M der gewünschten
Größenordnung (vielleicht 500 Dezimalstellen) beginnt 2 , und dann den Primzahltest
der Reihe nach auf M, M + 1, M + 2, · · · anwendet, bis man eine
Primzahl findet. Man muß dabei nicht allzu lange suchen: Der Anteil der Primzahlen
an den Zahlen in [M, M + δ] ∩ N (δ ∈ N viel kleiner als M) ist nach dem
Primzahlsatz ungefähr 1/ log(M) (dabei ist log der Logarithmus zur Basis e).
Man darf also erwarten, nach ca. log(M) Versuchen auf eine Primzahl zu stoßen.
Wenn M = 10 500 ist, dann wird man nach ca. log(M) = 500 log(10), d.h.
spätestens nach ein paar Tausend Versuchen eine Primzahl finden, wenn man
sukzessive M, M + 1, M + 2 u.s.w. auf Primalität testet.
Wir beschreiben nun den Miller-Rabin-Primzahltest, der in der Praxis gerne
verwendet wird 3 . Wir bemerken vorab: Jede Zahl M ≥ 1 kann man als M = 2 s m
mit einer ungeraden Zahl m und s ∈ N schreiben. m und s lassen sich aus
M leicht durch sukzessive Probedivision durch 2 berechnen. (Z.B. 96/2 = 48,
48/2 = 24, 24/2 = 12, 12/2 = 6, 6/2 = 3, 3 ist ungerade. Daher gilt 96 = 2 5 · 3.)
Der Miller-Rabin-Test beruht auf dem folgenden Satz.
Satz 3.2.1 Sei N > 2. Sei a ∈ {1, · · · , N − 1} teilerfremd zu N. Schreibe
N − 1 = 2 s m mit m ungerade und s ∈ N. Wenn
und
gilt, dann kann N nicht prim sein.
a m ≠ 1 mod N
a m2r ≠ −1 mod N ∀r ∈ {0, 1, · · · , s − 1}
Beweis: Es genügt die folgende Behauptung zu zeigen: Wenn N prim ist und
[a] m ≠ [1] (Restklassen in Z/NZ) gilt, dann gibt es ein r ∈ {0, · · · , s − 1} mit
[a] m2r = [−1].
Sei also N eine Primzahl, a zu N teilerfremd, und es gelte [a m ] ≠ [1]. Da N
prim ist, muß Z/NZ ein Körper und (Z/NZ) × eine Gruppe mit ϕ(N) = N − 1
Elementen sein (siehe 2.5.4 und 2.5.5). Mit dem kleinen Satz von Fermat 2.7.2
(siehe auch 2.7.1) folgt also 4 [a] m2s = [a] N−1 = [1].
Die Menge {k ∈ {0, 1, · · · , s}|[a] m2k = [1]} ist demnach nicht-leer; sie enthält ja
s. Sei t das kleinste Element dieser Menge. Dann gilt [a] m2t = [1] und wegen
2 Die Konstruktion von Zufallszahlgeneratoren ist ein interessantes Thema; wir gehen aus
Zeitgründen nicht darauf ein.
3 Henri Cohen nennt ihn “The workhorse of primality testing”
4 Für zusammengesetztes N liegen die Dinge völlig anders: Wenn N nicht prim ist, dann
ist sicher Z/NZ kein Körper und es gilt sicher ϕ(N) < N − 1. Zwar gilt noch [a] ϕ(N) = [1],
aber in aller Regel wird [a N−1 ] ≠ [1] gelten, außer wenn N prim ist.
49