Elementare Zahlentheorie und Kryptographie

Sei nun p ≠ 2 eine beliebige Primzahl. Wir schreiben p − 1 = 2 s u mit einer
ganzen Zahl s ≥ 1 und einer ungeraden Zahl u. Für a ∈ F × p setzen wir
δ(a) := a u
Bemerkung 6.2.5 a) Es gilt δ(a) 2s−1 = a p−1
2 =
von Euler 6.1.3.
(
a
p
)
in F p nach dem Satz
a’) Wenn a ein Quadrat ist, dann ist δ(a) ein Quadrat und ord(δ(a)) | 2 s−1 .
( ) 2
b) Es gilt δ(a) 2s a
=
p = 1.
c) Wenn a ein Nicht-Quadrat ist, dann gilt ord(δ(a)) = 2 s .
Beweis: Nur c) ist nicht-trivial. Nach b) muß ord(δ(a)) | 2 s , also ord(δ(a)) ( = ) 2 t
mit 0 ≤ t ≤ s gelten. Sei a ein Nicht-Quadrat. Wäre t < s, so würde =
δ(a) 2s−1 = 1 folgen; Widerspruch. □
( )
Sei nun p ≠ 2 eine beliebige Primzahl. Wir nehmen nun an, dass = 1. Wie
kann man die Wurzel aus a berechnen? Sei ˜x := a u+1
2 . ˜x läßt sich aus a mit
Square and Multiply schnell berechnen. Man sollte ˜x als eine erste Approximation
an eine Wurzel von a ansehen. Offenbar gilt a = ˜x 2 δ(a) −1 ; man kann also
δ(a) als den “Fehlerterm” der Approximation ansehen. Nach obiger Bemerkung
ist δ(a) ein Quadrat und ord(δ(a)) | 2 s−1 . Es bleibt die Wurzel aus δ(a) zu
ziehen.
Für d | p − 1 sei µ d die Untergruppe der Ordung d in der zyklischen Gruppe F × p .
Sei ζ ∈ F × p ein Element der Ordnung 2 s (es gibt nach 4.1.10 genau ϕ(2 s ) = 2 s−1
solche Elemente). Dann gilt µ 2 s = 〈ζ〉. Nach obiger Bemerkung gilt ord(δ(a)) =
2 t mit t < s und und somit ist δ(a) ein Erzeuger von µ 2 t (vgl. 4.1.9). Mit 4.1.8
folgt µ 2 t ⊂ µ 2 s, also δ(a) ∈ 〈ζ〉. Sei L ∈ N mit L = log ζ (a) mod 2 s . Dann gilt
ζ L = δ(a). Da δ(a) ∈ µ 2 t ein Quadrat ist, muß L gerade sein. Also ist ζ L/2 eine
Wurzel aus δ(a). Daher muß x := ˜xζ −L/2 = a u+1
2 ζ −L/2 eine Wurzel von a sein.
Wir haben bewiesen:
Fazit:
x = a u+1
2 ζ
− log ζ (a u )/2
erfüllt x 2 = a und sqrt(a) = {x, −x}. x läßt sich aus a (und p) leicht berechnen,
sofern ein Element ζ der Ordnung 2 s bekannt ist: Die Exponentiationen können
mit Square and Multiply in Polynomzeit (in der Bitlänge von p) berechnet
werden, und der diskrete Logarithmus log ζ (y) ist mit der Silver-Pohig-Hellman-
Methode 4.3.2, 4.3.3 Polynomzeit berechenbar, weil ord(ζ) eine Potenz von 2
ist.
Aber wie kommt man zu einem Element ζ ∈ F × p der Ordnung 2 s ? Nach obiger
Bemerkung ist klar: Wenn b ∈ F × p ein beliebiges Nichtquadrat ist, dann hat
ζ := δ(b) = b u Ordnung 2 s .
a
p
a
p
89