公钥密码学.doc

第六章 公钥密码学1 什么是公钥密码体制 钥密码又称为双钥密码、非对称密码，是1976年由Diffie和Hellman在其“密码学新方向”一文中提出的，见划时代的文献： W.Diffie and M.E.Hellman, New Directrions in Cryptography, IEEE Transaction on Information Theory, V.IT-22.No.6, Nov 1976, PP.644-654 单向陷门函数是满足下列条件的函数f： (1)给定x，计算y=f(x)是容易的； (2)给定y, 计算x使y=f(x)是困难的。 (所谓计算x=f -1(y)困难是指计算上相当复杂，已无实际意义。) (3)存在δ，已知δ 时,对给定的任何y，若相应的x存在，则计算x使y=f(x)是容易的。 注：1*. 仅满足(1)、(2)两条的称为单向函数；第(3)条称为陷门性，δ 称为陷门信息。 2*. 当用陷门函数f作为加密函数时，可将f公开，这相当于公开加密密钥。此时加密密钥便称为公开钥，记为Pk。 f函数的设计者将δ 必威体育官网网址，用作解密密钥，此时δ 称为秘密钥匙，记为Sk。由于加密函数是公开的，任何人都可以将信息x加密成y=f(x)，然后送给函数的设计者（当然可以通过不安全信道传送）；由于设计者拥有Sk，他自然可以解出x=f-1(y)。 3*.单向陷门函数的第(2)条性质表明窃听者由截获的密文y=f(x)推测x是不可行的。 2.Diffie-Hellman密钥交换算法 Diffie和Hellman在其里程碑意义的文章中，虽然给出了密码的思想，但是没有给出真正意义上的公钥密码实例，也既没能找出一个真正带陷门的单向函数。然而，他们给出单向函数的实例，并且基于此提出Diffie-Hellman密钥交换算法。这个算法是基于有限域中计算离散对数的困难性问题之上的：设F为有限域，g∈ F是F的乘法群F*=F\{0}=g生成元。并且对任意正整数x，计算gx是容易的；但是已知g和y求x使y= gx，是计算上几乎不可能的。这个问题称为有限域F上的离散对数问题。公钥密码学中使用最广泛的有限域为素域FP. 对Diffie-Hellman密钥交换协议描述：Alice和Bob协商好一个大素数p，和大的整数g，1gp，g最好是FP中的本原元（?），即FP*＝g。p和g无须必威体育官网网址，可为网络上的所有用户共享。 对于一个素数q，如果数值：a mod q，a2 mod q，……，aq-1 mod q，是各不相同的整数，并且以某种排列方式组成了从1到q-1的所有整数 则称整数a是素数q的一个本原元（原根） 当Alice和Bob要进行必威体育官网网址通信时，他们可以按如下步骤来做： 由(4)知，Alice和Bob已获得了相同的秘密值K。双方以K作为加解密钥以传统对称密钥算法进行必威体育官网网址通信。 注：Diffie-Hellman密钥交换算法拥有美国和加拿大的专利。 3 RSA公钥算法 RSA公钥算法是由Rivest,Shamir和Adleman在1978年提出来的（见Communitions of the ACM. Vol.21.No.2. Feb. 1978, PP.120-126)该算法的数学基础是初等数论中的Euler（欧拉)定理，并建立在大整数因子的困难性之上。 4 RSA密码体制的实现 于是要求：若使RSA安全，p与q必为足够大的素数，使分析者没有办法在多项式时间内将n分解出来。建议选择p和q大约是100位的十进制素数。 模n的长度要求至少是 512比特。EDI攻击标准使用的RSA算法中规定n的长度为512至1024比特位之间，但必须是128的倍数。国际数字签名标准ISO/IEC 9796中规定n的长度位512比特位。 为了抵抗现有的整数分解算法，对RSA模n的素因子p和q还有如下要求： (1)|p-q|很大，通常 p和q的长度相同； (2)p-1 和q-1分别含有大素因子p1和q1 (3)P1-1和q1-1分别含有大素因子p2和q2 (4)p+1和q+1分别含有大素因子p3和q3 为了提高加密速度，通常取e为特定的小整数，如EDI国际标准中规定 e＝216＋1，ISO/IEC9796中甚至允许取e＝3。这时加密速度一般比解密速度快10倍以上。 下面研究加解密算术运算，这个运算主要是模n的求幂运算。著名的“平方-和-乘法”方法将计算xc(mod n)的模乘法的数目缩小到至多为2l，这里的l是指数c的二进制表示比特数。若设n以二进制形式表示有k比特，即k=[log2n]+1。 由l≤ k，这样xc(mod n)能在o(k3)时间内完成。（