Elementare Zahlentheorie und Kryptographie

Wir wenden uns in diesem Abschnitt der Erzeugung von Einweggruppen zu.
Problem: Sei B > b > 0. Wir wollen ein Zufallstripel (p, l, g) konstruieren derart,
daß p eine B-Bit-Primzahl, l eine b-Bit-Primzahl und g ∈ F × p ein Element
mit ord(g) = l ist. (Etwa für B = 1000, b = 500 wird das auf eine zufällige Einweggruppen
(F × p , g) führen, die dann im Rahmen der Kryptographieverfahren,
die im folgenden besprochen werden, benutzt werden können.)
Sei im folgenen ispseudoprime ein schneller, probabilistischer Primzahltest, z.B.
der Miller-Rabin-Test. Wenn der Aufruf ispseudoprime(N, ε) die Antwort “false”
liefert, dann ist N sicher zusammengesetzt. Wenn der Aufruf ispseudoprime(N, ε)
die Antwort “true” ergibt, dann ist N wahrscheinlich (mit Wahrscheinlichkeit
≥ 1 − ε) prim. Je kleiner man die Fehlerwahrscheinlichkeit ε wählt, desto größer
wird die Laufzeit.
Wir schildern nun den Algorithmus stepnextprime, der für die Lösung des obigen
Problems gebraucht wird. Sei N, s ∈ N mit s > 0. Die Folge
N, N + s, N + 2s, N + 3s, · · ·
wird im folgenden arithmetische Progression mit Beginn N und Sprungweite
s genannt. Der Algorithmus stepnextprime sucht nach einer Primzahl in
dieser arithmetischen Progression. Gegebenenfalls wird die kleinste Primzahl,
die gefunden wird, ausgegeben.
Klar ist folgendes: Wenn 1 < g < N ein gemeinsamer Teiler von s und N ist,
dann teilt g auch jede Zahl der Form N + ks. Wenn also s nicht zu N teilerfremd
und N zusammengesetzt ist, dann sind die Elemente der arithmetischen
Progression N, N + s, N + 2s, · · · sicher allesamt nicht prim. Der folgende Algorithmus
hält in diesem Fall mit einer Fehlermeldung an.
Algorithmus 5.1.1 (stepnextprime) Eingabe: N, s. Steuerparameter ε 1 und
ε 2 , z.B. ε 1 = 10 −2 und ε 2 = 10 −10 .
1. if ggT (N, s) > 1 then HALT mit Fehlermeldung;
2. p := N;
3. while ispseudoprime(p, ε 1 ) = false do p = p + s;
4. if ispseudoprime(p, ε 2 ) = false GOTO 3.
Ausgabe: p ist (mit Fehlerwahrscheinlichkeit ≤ ε 2 ) eine Primzahl in der arithmetischen
Progression N, N +s, N +2s, · · ·; wahrscheinlich ist es sogar die kleinste
Primzahl mit dieser Eigenschaft.
Anders gesagt: p ist (mit Fehlerwahrscheinlichkein ≤ ε 1 ) eine Primzahl ≥ N,
welche die Kongruenz p = N mod s erfüllt.
71