Elementare Zahlentheorie und Kryptographie

Es wird vermutet, daß es keinen Polynomialzeit-Algorithmus zur Faktorisierung
einer b-Bit-Zahl N, die Produkt zweier großer Primzahlen ist, gibt. Ein Beweis
dafür wurde allerdings bisher nicht erbracht. Das sogenannte Zahlkörpersieb
ist derzeit einer der besten Faktorisierungsalgorithmen; seine Laufzeit ist
≤ O(exp( 3√ 8b log(b) 2 )), also nicht polynomial. Mit ihm wurde F 9 = 2 512 + 1
faktorisiert.
Faktorisierungsalgorithmen stehen seit jeher im Zentrum der mathematischen
Forschung, und daher wird es vermutlich schnell publik, wenn jemand einen
neuen, schnelleren Faktorisierungsalgorithmus findet.
Die Firma RSA hat 2001 eine Liste von Zahlen in das Internet gestellt
(siehe http://www.rsa.com/rsalabs/node.asp?id=2092) und für das Faktorisieren
der Zahlen ein jeweiliges Preisgeld ausgesetzt. Jede Zahl in der Liste
ist ein Produkt zweier Primzahlen und jede trägt einen Namen der Form RSA-b
wobei b die Bitlänge der entsprechenden Zahl ist. Bis jetzt (also 6 Jahre später)
sind nur 2 davon faktorisiert worden und zwar RSA-576 (2003) und RSA-640
(2005). Es waren jeweils mehrere Wissenschaftler beteiligt. In beiden Fällen wurde
mit dem Zahlkörpersieb gearbeitet. Bereits bei RSA-576 wurde an Rechnern
verschiedener Institutionen (u.a. Uni Bonn, MPI Bonn, IEM Essen) parallel
gerechnet bei einer Laufzeit von mehreren Monaten! Der Preis für das Faktorisieren
von RSA-2048 wäre 200.000 US-Dollar.
Einige Sicherheitsvorkehrungen:
Alice sollte e nicht allzu klein wählen. Wenn nämlich die Nachricht [m] ist mit
m ∈ {0, · · · , N − 1} und m e ≤ N − 1 gilt, dann kann ein Angreifer m aus m e
durch Ziehen der e-ten Wurzel in dem Körper R errechnen. (In obigem Beispiel
geht das nicht! Die Berechnung von 7√ 175 in R nützt dort einem Angreifer gar
nichts.)
Die Primzahlen p und q sollten nicht allzu nahe beisammen sein. Sonst könnte
ein Angreifer einfach von s := floor( √ N) ausgehend N auf Teilbarkeit durch s,
s + 1, s + 2, · · · prüfen. Theoretisch wird er dabei irgendwann einen der beiden
Teiler von N finden, und dann ist auch der andere Teiler schnell gefunden; wenn
aber p und q nicht sehr nahe beisammen liegen (z.B. p 1023 Bit und q 1025 Bit),
dann wird dieser Angriff aus Laufzeitgründen unmöglich.
Das Verschlüsseln von kurzen Texten mit RSA
Sei A ein Alphabet und α := |A|. Sei n : A → {0, 1, · · · , α − 1} eine Bijektion.
RSA verschlüsselt zunächst Elemente von Z/NZ. Man kann es aber in modifizierter
Form auch zum Verschlüsseln von kurzen Texten über A verwenden. Z.B.
könnte man vorab vereinbaren, dass dem Text (x 0 , x 1 , · · · , x k ), der so kurz sein
muß, daß α k+1 < N, immer die Restklasse von m = ∑ k
i=0 n(x i)α i entsprechen
soll. Um aus dieser Zahl m den Text zurückzugewinnen, muß man m α-adisch
entwickeln. Dadurch erhält man die n(x i ) und daraus leicht die x i .
Z.B. könnte A = {A, B, · · · , Z} und n(A) = 0, n(B) = 1, n(C) = 2, · · · gelten.
HALLO entspricht dann der Zahl 7 + 0 · 26 + 11 · 26 2 + 11 · 26 3 + 14 · 26 4 , denn
54