Elementare Zahlentheorie und Kryptographie

Schranke B. Für eine gegebenes N kann man natürlich a priori nicht entscheiden,
ob N einen solchen Primfaktor hat, solange man die Primfaktoren von N nicht
kennt. Wer N faktorisieren will, wird also vielleicht “auf gut Glück” versuchen,
ob die (p − 1)-Methode einen Teiler von N liefert oder ob sie fehlschlägt.
Nehmen wir an N ist zusammengesetzt, p ist ein Primteiler von N und p − 1 ist
B-glatt. Sei P die Menge der Primzahlpotenzen und 7
k := k B :=
∏
q∈P,q≤B
Diese Zahl hängt nur von B ab. (Z.B. gilt k 15 = 2 · 3 · 4 · 5 · 7 · 8 · 9 · 11 · 13.)
Weil wir p − 1 als B-glatt angenommen haben, muß p − 1 ein Teiler von k B sein:
D.h. es wird k B = (p − 1)j mit j ∈ N gelten 8 . Sei nun a ≥ 2 beliebig. Dann
gilt a p−1 = 1 mod p nach dem kleinen Satz von Fermat 2.7.2 und daraus folgt
a k B
= (a (p−1) ) j = 1 j = 1 mod p, d.h. p | (a k B
− 1). Daher wird (a k B
− 1) nicht
zu N teilerfremd sein. Sei g ∈ ggT (a k B
− 1, N). Dann gilt |g| > 1 und wenn
|g| < N gilt, dann hat man in |g| einen nicht-trivialen Teiler von N gefunden.
q.
Algorithmus 3.5.1 ((p − 1)-Methode von Pollard)
Eingabe: N ∈ N. Steuerparameter B ∈ N und a ≥ 2.
Berechne k B .
Berechne das nicht-negative g ∈ ggT (a k B
− 1, N) mit dem euklidischen Algorithmus
2.2.7.
Wenn g = 1 oder g = N, dann gib aus “Kein nicht-trivialer Teiler von N
gefunden. Sie können versuchen B zu erhöhen.”
Wenn g ≠ 1 und g ≠ N, dann gib aus “g ist ein nicht-trivialer Teiler von N”
Um Angriffe mit der (p − 1)-Methode zu verhindern, wird bei RSA empfohlen,
die folgende Sicherheitsvorkehrung zu treffen.
Sicherheitsvorkehrung für RSA. Um einen Angriff via der p − 1-Methode
abzuwehren, soll man als RSA-Modul ein Produkt N = pq von großen Primzahlen
nehmen, wobei p und q so beschaffen sind, dass p − 1 und q − 1 jeweils
einen großen Primfaktor haben.
7 Man kann das Produkt durch das kgV ersetzen.
8 Man weiß, daß das so ist, obwohl man j und p nicht explizit kennt. Die Zahl k B kennt
man aber explizit.
57