Elementare Zahlentheorie und Kryptographie

Beweis. Sei wieder x := 1 2 (p + q) und y := 1 2 (p − q). Sei m = ⌈√ N⌉. Dann
wird die While-Schleife in obigem Algorithmus k = x − m mal durchlaufen.
Wir wollen k nach oben abschätzen. Offenbar gilt y ≤
4√ √ α
2 N, d.h. y 2 ≤ α2
4 N.
Ferner gilt
Daraus folgt
y 2 = x 2 − N = m 2 + 2km + k 2 − N ≥ 2km ≥ 2k √ N.
α 2 √ √
N ≥ 2k N,
4
also k ≤ α2
4 . □
Beispiel. Nehmen wir an, p und q sind 500-Bit-Zahlen (insbes. ist N = pq eine
1000-Bit-Zahl) und p − q ist nur eine 255-Bit-Zahl. Dann haben p und q exakt
die selbe Bitlänge und die ersten 245 Dualziffern stimmen überein. (D.h. p und
q liegen sehr nah beisammen.)
Nun ist 4√ N eine 250-Bit-Zahl,
4√
N ≈ 2 250 , und mit α = 2 6 wird sicher p − q ≤
α 4√ N gelten. Die Fermat-Faktorisierungsmethode wird also nur α 2 /8 = 2 9 =
512 Schritte benötigen, um die Teiler von N zu finden. Diese Rechnung läßt sich
völlig problemlos auf einem handelsüblichen Laptop durchführen!
Beispiel. Ganz anders verhält es sich mit der Laufzeit, wenn q eine 500-Bit-
Zahl und p um ein paar Bit länger (etwa eine 252-Bit-Zahl) ist als q: Nehmen
wir an, p ≥ 4q (also etwa p um zwei Bit länger als q). Dann gilt
x − √ N = 1 2 (p + q) − √ pq = 1 2 (√ p − √ q) 2 ≥ 1 2 (√ 4q − √ q) 2 = q 2 ,
d.h. das Fermat-Faktorisierungsverfahren würde hier ≈ 2 500 Schritte benötigen!
Dies ist nach dem heutigen Stand der Technik völlig unpraktikabel!
Sicherheitsvorkehrung für RSA. Um einen Angriff via Fermat-Faktorisierung
abzuwehren, soll man als RSA-Modul ein Produkt N = pq von großen Primzahlen
nehmen, wobei p um ein paar Bit größer sein sollte als q.
3.5 Faktorisierung mit der (p − 1)-Methode von
Pollard
Mit der (p − 1)-Methode von Pollard kann man, unter gewissen Umständen,
für eine gegebene (große) zusammengesetzte natürliche Zahl N einen nichttrivialen
Teiler t von N finden. “Nicht-trivial” soll “mit t ∈ {2, · · · , N − 1}”
bedeuten. Wiederholte Anwendung kann evtl. auf die gesamte Faktorisierung
von N führen.
Sei B ≥ 0. Eine Zahl n heißt B-glatt, wenn es keine Primzahlpotenz q > B
gibt, die Teiler von n ist. (Z.B. ist 96 = 2 5 ·3 nicht 10-glatt (2 5 = 32 ist ja größer
als 10), wohl aber 40-glatt.) Die p−1-Methode funktioniert für solche N gut, die
einen Primfaktor p haben, für den p − 1 B-glatt ist, mit einer nicht allzugroßen
56