Elementare Zahlentheorie und Kryptographie

einfach w p = [a] p+1
4
p gesetzt werden.)
Sei w q ∈ sqrt Fq
([a] q ) eine Wurzel aus [a] q in F q .
Dann ist
L := {(w p , w q ), (−w p , w q ), (−w p , −w q ), (w p , −w q )
} {{ } } {{ } } {{ } } {{ }
=:u ′ =:v ′ =−u ′ =−v ′
die Lösungsmenge von (∗∗). Sei u := f −1 (u ′ ) und v := f −1 (v ′ ). (Zur Berechnung
von u ist das System von Konguenzen
u = w p mod p
u = w q mod q zu lösen.
Zur Berechnung von v ist das System von Konguenzen
v = −w p mod p
v = w q mod q zu lösen.)
Die Lösungsmenge von (∗) ist
sqrt Z/N ([a] N ) = {u, v, −u, −v}.
Manche Lösungen können zusammenfallen, d.h. |sqrt Z/N ([a] N )| ≤ 4. In Z/N
(das ist sicher keine Körper) kann das Polynom X 2 = [a] N bis zu vier Nullstellen
haben. Wie viele es genau sind richtet sich nach den Jacobisymbolen; es gilt
|sqrt Z/N ([a] N )| =
(
1 +
( a
p
)) (
1 +
( a
q
))
.
Wenn p ≠ q ungefähr gleich große, große Primzahlen sind, dann wird in aller
Regel sqrt Z/N ([a] N ) = ∅ (≈ 75% der Fälle) oder |sqrt Z/N ([a] N )| = 4 (≈ 25% der
Fälle) gelten.
□
Fazit: Wenn p und q bekannt sind, dann kann die Gleichung X 2 = [a] über
Z/pq schnell (in Polynomzeit) behandelt werden.
Sei nun [a] ∈ (Z/N) ×2 und sqrt Z/N ([a] N ) = {u, v, −u, −v}. Sei û (bzw. ˆv) der
kleinste nicht-negative Repräsentant von u (bzw. v). Aus f(u + v) = (0, 2w q )
folgt p | û + ˆv aber q teilt nicht û + ˆv. Daraus folgt p ∈ ggT (û + ˆv.
Man sieht: Wer N und die vier Wurzeln aus einem Element a ∈ (Z/N) ×2 kennt,
der kann die Primfaktorzerlegung von N leicht berechnen. Er hat nur mit dem
euklidischen Algorithmus einen ggT zu berechnen.
Fazit: Sei p und q nicht bekannt. Das Berechnen der vier Wurzeln eines Quadrates
a ∈ (Z/N) ×2 ist genauso schwer, wie das Berechnen der Primfaktorzerlegung
von N. Wenn p und q 1000-Bit-Zahlen sind, so ist beides praktisch unmöglich.
Beispiele: Wir rechnen in R := Z/77. Die Primfaktorzerlegung von 77 ist
77 = 7 · 11.
a) Löse X 2 = [24] 77 (∗). Es gilt
( ) ( 24 3
=
7 7)
( ( 7 1
= − = − = −1.
3)
3)
93