RSA公鑰密碼體制主講人：趙永哲e_mail:yongzhe@電話鑰密碼體制的基本概念公鑰密碼體制的概念是在解決對稱密碼體制中最難解決的兩個(gè)問題時(shí)提出的，這兩個(gè)問題是密鑰分配和數(shù)字簽字。對稱密碼體制在進(jìn)行密鑰分配時(shí)，要求通信雙方已經(jīng)有了一個(gè)共享的密鑰，或者可籍助于一個(gè)密鑰分配中心臨時(shí)分配會話密鑰。對第一個(gè)要求，常常可用人工方式事先傳送雙方最初共享的密鑰，這種方法成本很高，而且還完全依賴信使的可靠性。第二個(gè)要求則完全依賴于密鑰分配中心的可靠性。第二個(gè)問題數(shù)字簽字考慮的是如何為數(shù)字化的消息或文件提供一種類似于為書面文件手書簽字的方法。1976年W.Diffie和M.Hellman對解決上述兩個(gè)問題有了突破，從而提出了公鑰密碼體制。公鑰密碼體制的原理公鑰密碼算法的最大特點(diǎn)是采用兩個(gè)相關(guān)密鑰將加密和解密能力分開，其中一個(gè)密鑰是公開的，稱為公開密鑰，簡稱公鑰，用于加密；另一個(gè)密鑰是為用戶專用，因而是保密的，稱為秘密密鑰，簡稱私鑰，用于解密。因此公鑰密碼體制也稱為雙鑰密碼體制或非對稱密碼體制。算法有以下重要特性：已知密碼算法和公鑰，求解私鑰在計(jì)算上不可行。用公鑰加密的消息只能用與之對應(yīng)的私鑰來解密。加密和解密操作在計(jì)算上可快速執(zhí)行。公開密鑰體制用于加密的原理加密c=EPKB(m)解密m=DSKB(c)公鑰密碼體制用于認(rèn)證的原理簽名：s=ESKA(m)驗(yàn)證簽名：m=DPKA(s)公鑰密碼算法應(yīng)滿足的要求公鑰密碼算法應(yīng)滿足以下要求:①接收方B產(chǎn)生密鑰對(PKB,SKB)在計(jì)算上是容易的。②發(fā)方A用接收方B的公鑰對消息m加密以產(chǎn)生密文c，即c=EPKB(m)在計(jì)算上是容易的。③接收方B用自己的私鑰對密文c進(jìn)行解密，即m=DSKB(c)在計(jì)算上是容易的。公鑰密碼算法應(yīng)滿足的要求④敵手由B的公鑰PKB求其私鑰SKB在計(jì)算上是不可行的。⑤敵手由密文c和B的公鑰PKB恢復(fù)明文m在計(jì)算上是不可行的。⑥加、解密次序可換，即DSKB(EPKB(m))=EPKB(DSKB(m))其中最后一條雖然非常有用，但不是對所有的算法都作要求。公鑰密碼算法應(yīng)滿足的要求以上要求的本質(zhì)之處在于要求一個(gè)單向陷門函數(shù)。稱一個(gè)函數(shù)是單向陷門函數(shù)，是指該函數(shù)是易于計(jì)算的，但求它的逆是不可行的，除非再已知某些附加信息。當(dāng)附加信息給定后，求逆可在多項(xiàng)式時(shí)間完成?？偨Y(jié)為：單向陷門函數(shù)是一族可逆函數(shù)ft，滿足：①Y=ft(X)易于計(jì)算（當(dāng)ft和X已知時(shí)）。②X=ft-1(Y)在計(jì)算上是不可行的（當(dāng)Y、ft已知，但t未知時(shí)）。③X=ft-1(Y)易于計(jì)算（當(dāng)Y、ft、t均已知時(shí)）。因此，實(shí)現(xiàn)公鑰密碼的核心就是尋找合適的單向陷門函數(shù)。RSA算法

RSA算法是1978年由R.Rivest,A.Shamir和L.Adleman提出的一種用數(shù)論構(gòu)造的公鑰密碼體制，該體制已得到廣泛的應(yīng)用。RivestShamirAdleman2002TuringAward(June’03)RSA的數(shù)論基礎(chǔ)算法描述——

密鑰的產(chǎn)生①秘密選取兩個(gè)大素?cái)?shù)p和q。②計(jì)算n=p×q，φ(n)=(p-1)(q-1),其中φ(n)是n的歐拉函數(shù)值。③選一整數(shù)e，滿足1<e<φ(n)，且gcd(φ(n),e)=1。④計(jì)算d，滿足d·e≡1modφ(n),即d是e在模φ(n)下的乘法逆元，因e與φ(n)互素，由模運(yùn)算可知，它的乘法逆元一定存在。⑤以{e,n}為公開鑰,{d,n}為秘密鑰。算法描述——

加密加密時(shí)首先將明文比特串分組，使得每個(gè)分組對應(yīng)的十進(jìn)制數(shù)小于n，即分組長度小于log2n。然后對每個(gè)明文分組m，作加密運(yùn)算：

c≡memodn算法描述——

解密對密文分組的解密運(yùn)算為：m≡cdmodnRSA的單向陷門函數(shù)參數(shù): N=pq.N1024bits.p,q512bits.

e–加密指數(shù)gcd(e,(N))=1.單向函數(shù):RSA(M)=Me

(modN)

其中

MZN*

陷門: d

–解密指數(shù).

其中ed=1(mod(N))

解密: RSA(M)d=Med=Mk(N)+1=M(modN)因子撈分解昆問題三種眼數(shù)學(xué)省攻擊毯方法分解N=否p.稅q,因此宏可計(jì)壟算出?(省N)競，從而霸確定d直接砍確定?(砌N)州，然后朽找到d直接哥確定d大家暖相信待：由N確定?(買N)等價(jià)醒于因宅子分裙解舉例選p=籍7，隔q=椅17垂。求n=p×齒q=1屈19孫，φ銹(n色)=忙(p乘-1行)(賊q-務(wù)1)簡=9咸6。取e=況5，滿足齒1<e<φ(猜n)，且gc賽d(烈φ(繪n)溜,e)=輝1。確定玩滿足d·樂e=1助m抱od版9培6且小事于9陽6的d，因?yàn)閳F(tuán)77穩(wěn)×5約=3民85怪=4味×9輛6+橋1，超所以d為7棟7，因此軌公開約鑰為謎{5姓，1床19首}，燭秘密畏鑰為豈{7說7，瞧11名9}凡。設(shè)明叛文m=挨19短，則由租加密各過程冠得密垂文為c≡可195mo隱d某11像9≡祥24覆76叫09籮9冊mo觸d幼11襪9≡涌66解密退為6677mo箏d火11耀9≡懶19計(jì)算上問題丙：加密芹與解渴密過專程中督的指爭數(shù)運(yùn)斷算求am可如漢下進(jìn)身行，蕉其中a，屑m是正脫整數(shù)疲：將m表示寧為二榴進(jìn)制附形式bkbk-著1…b0，即m=蛇bk2k+bk-榴12k-嚇1+…景+b12+快b0因此例題19孟=1拍×24+0烏×23+0愉×22+1叉×21+1香×20，所輩以a19=(案((遇(a1)2a0)2a0)2a1)2a1例題例4鹽.9科求丙756瘦0mo裙d罷56滴1。將5屑60軟表示四為1流00撓01敗10柔00兵0，描算法繡的中放間結(jié)侍果如芬表所顆示。概所以跟756攜0mo唉d寸56造1=細(xì)1。i9876543210bi1000110000c01248173570140280560d1749157526160241298166671例題計(jì)算551mo低d妄97計(jì)算槳問題贏：密跑鑰的工產(chǎn)生編中的吉計(jì)算餃問題尋找嬌大素且數(shù)如何叼選取郵滿足噴1<e<φ(昏n)和gc杠d(鄭φ(抬n)乓,e)=中1的e，并計(jì)圓算滿洋足d·歉e≡哥1勝mo攝dφ(棍n)的d。這一信問題誘可由膽推廣單的Eu敏cl負(fù)id算法跨完成嚼。例題已知RS充A公鑰誼加密狹方案全中p=綠29阻q自=6翁7供n=騾19望43娃e手=7巾01幕m綁=2碑3求密樓文例題已知RS制A公鑰父加密略方案近中p=煉29滾q營=6告7氏n=今19掏43振e左=7驚01毛c引=1妙92激6求明加文RS屑A中參橡數(shù)的班選擇挎：密座鑰長然度估計(jì)習(xí)在未屠來一性段比星較長吵的時(shí)艘期，住密鑰耍長度頃介于節(jié)10謙24木比特劑至2翁04番8比廁特之勁間的RS展A是安站全的余。NI應(yīng)ST遠(yuǎn):Ci技ph頓er宅k賺ey撥-s選iz西eMo起du件lu泥s舌si旦ze56泥b竟it逢s彈51級2兄bi培ts刷.80遠(yuǎn)b惕it各s泥1羨02稻4淡bi挎ts11溜2b內(nèi)it彼s縮慧20頃48徒b貝it棟s12揮8考bi孩ts普30親72粒b翠it敲s19形2會bi調(diào)ts草76劇80恢b攔it遼s25防6漢bi信ts剃(敬AE礦S)15戒36銷0bi豈tsRS惡A中參理數(shù)的發(fā)選擇外：p和q的選欺擇（1荷）吧|p-潮q|要大（2匠）p-糟1和q-換1都應(yīng)準(zhǔn)有大米素因岔子強(qiáng)素乞數(shù)強(qiáng)素辜數(shù)是丘滿足償如下鉛條件誼的安逼全素到數(shù):賺p西-水1和q-袍1的最追大公強(qiáng)因子永應(yīng)該戲較小,恢p驗(yàn)+帳1和q+扔1都應(yīng)螺有大的帽素因穗子,據(jù)p也-灘1和q-令1都應(yīng)英有大崇的素枕因子,分別記為p箏′和q′如,辮p憐′-窩1和q′片-米1都應(yīng)塵有大猛的素塵因子匆。強(qiáng)素血數(shù)可街以大昨大增智強(qiáng)其館抗窮器舉攻這擊和秒因子琴分解幻玉攻擊天的強(qiáng)度例題39查99縣99鼻1是兩尸個(gè)素寶數(shù)的翅乘積臨，那葛么較田大的艙素?cái)?shù)紐奉是？例題已知RS黃A算法牧中n=霜32亦3,φ(獲n)=撕28雜8求p,先q例題某一生用戶解，在RS精A算法載使用推過程張中，北暴露盜了私積鑰，具其不油改變波模，蝴而只鞏改變妥公鑰廣和私棒鑰，噸問這鞭樣安覽全嗎垮？例題Bo疾b的RS駐A模數(shù)支為n鈔=pq，p沖q為不妙同的轎大素犧數(shù).他的垃公開鐮密鑰保是e.抖A跑li殿ce發(fā)送Bo邪b對消奮息m加密課后的悄密文c武≡克me(m軍od久n低).貨B畏ob在對墻消息水解密利之后,規(guī)Bo堆b通知Ev留e消息減具有限這樣卻的特豈性：m12譯34建5≡1簡(尸mo撥d刪n)而.譽(yù)Ev響e已知n;多e渴;友c,但是亮不知芝道p;q;術(shù)m.但Ev票e可以亞根據(jù)Bo延b提示乞信息竹發(fā)現(xiàn)拿消息m.說明Ev指e是如竊何得吧到m的.Th蝕e爛Ex亮te防nd娃ed鋒E喜uc伐li伍de找an膜A午lg伸or巧it園hmEx典am仇pl扭e殲1:頭m句=餓6掠5;歸n除=郵4揭0St識ep湖1新:割Th口e驗(yàn)(u禿su烈al林)清Eu異cl魔id險(xiǎn)ea蔑n嗽al略go途ri合th夠m:(1沈)術(shù)65未=逃1歪×氣4腹0允+匯25(2城)別40蹦=場1字×享2鞏5乘+止15(3毯)全25披=之1恨×盈1往5茫+銳10(4委)掩15賄=捉1各×插1星0驢+墊510水=鳴2章×遲5Th朱er聲ef睬or補(bǔ)e:卻g來cd隙(6煙5;沖4隔0)示=吩5斤.St耐ep裁2咸:剩Us托in催g煙th趕e攝me吹th隆od脖o忍f涂ba疲ck濫-s卻ub折st已it千ut孕io定n:(4搶)5拴=氏15馬-類1昨0(3崗)料=歪1鋸5直-色(2首5房誠-碰15鴿)詢=我2省×晃15意-例2痕5(2謠)誓=騾2掛(4綱0厲-蒸25則)青-掙25拼=要2懸×滲4憤0址-癥3嗽×輩25(1倉)惜=弊2賀×欣4埋0淺-價(jià)3(烏65蠢-半4先0)陪=薄5帥×眉4蝦0逐-輸3×兔6俊5Co鴉nc印lu析si敢on虜:倦65奏(-壯3)郊+拾4毒0(餃5)睛=嚇5劫.對RS勞A的攻插擊：共模詞廣播涌攻擊在實(shí)掩現(xiàn)RS倆A時(shí)，襪為方蓮便起孩見，務(wù)可能仁給每怒一用稱戶相者同的仍模數(shù)n，雖然制加解令密密具鑰不穴同，而然而慢這樣事做是穴不行遲的。設(shè)兩發(fā)個(gè)用內(nèi)戶的左公開別鑰分猛別為e1和e2家，且e1和e2互素括（一辰般情潔況都著成立璃），退明文宏消息丙是m，密文存分別同是c1≡me1(m齒od宜n曲)c2≡me2(m佛od乏n納)敵手煩截獲c1和c2后，旱可按維如下跨方法賽恢復(fù)m。用推腿廣的Eu挽cl押id算法屬求出劉滿足re瓜1+遣se振2=允1的兩籃個(gè)整碑?dāng)?shù)r和s，其中置一個(gè)響為負(fù)苗，設(shè)驕為r。再次繩用推云廣的Eu別cl芝id算法席求出c-11，由此茫得(c-11)-rcs2≡m硬(m刪od匆n素)。例題us青er株1[宏n1畫,e再1]赴=[戶29傲9,爬3]us紙er嚼2[寫n2砌,e愛2]釣=[鳳29癢9,犧5]某用曠戶傳撇遞給花二個(gè)衛(wèi)用戶畜相同影的消伍息m,密文拾分別卵為12奇9，20碰5問：兄攻擊址者是相否可棚以據(jù)親此得吃出明發(fā)文對RS僚A的攻犁擊：勿低指首數(shù)廣思播攻擊假定午將RS睜A算法懷同時(shí)浩用于黃多個(gè)贏用戶喊（為蠶討論則方便抵，以響下假煩定3叼個(gè)）描，然竭而每京個(gè)用變戶的盼加密典指數(shù)屠（即慶公開娘鑰）廣都很鳳小。僚設(shè)3勝個(gè)用咳戶的拋模數(shù)劍分別坦為ni曾(i=1貪,2盲,3企)，當(dāng)i≠竭j時(shí)，gc燈d(貢ni擺,n孕j)=瞎1，否則魯通過gc乘d(朽ni月,n子j)有可燦能得男出ni和nj的分枕解。設(shè)明粱文消護(hù)息是m，密文平分別威是c1挽≡m3(m職od龜n覆1)c2算≡m3(m限od鎮(zhèn)n寧2)c3雞≡m3(m巖od委n萄3)由中揪國剩架余定額理可走求出m3(mo疊d末n1至n2悉n3項(xiàng))。由于m3<n計(jì)1n王2n底3，可直零接由m3開立盒方根四得到m。例題us效er歷1[巷n1遮,e鞋1]詞=[塵31昨9,辟3]us螞er鉛2[革n2蜻,e甜2]萍=[衣29銳9,哨3]us干er嘴2[丑n3仰,e訓(xùn)3]炎=[兆32窄3,感3]某用轎戶傳俗遞給縱三個(gè)橫用戶揪相同父的消旋息m,密文露分別屬為80，23鏈5，12鍛1問：尊攻擊跟者是調(diào)否可找以據(jù)聯(lián)此得篩出明唱文教科見書RS親A教科傭書RS潛A加密:公鑰:須(N,無e)加密:釋C等=拴Me(m問od歉N漸)私鑰:勸d解密:Cd=誕M稿(m太od英N熊)(M麻ZN*)對教瞇科書RS解A的一腥種攻噸擊Se途ss曉io帥n-伍ke汁y怠K襖i鐮s慕64柿b配it指s.泰V嚷ie黑w姓K反{0皮,…像,264}社E群av陡es紡dr垮op應(yīng)pe伍r觀se槐es竭:C然=Ke(m互od爽N蘭).Su紗pp瓶os策eK吩=籍K1K2wh述er缺eK1,拌K2<沒234.油(p茅ro甲b.20哀%)箭T耀he拴n:C/漏K1e=醉K2e(m遙od難N掩)Bu駕il狐d巨ta怖bl副e:C/斃1e,納C/嘆2e,遷C/始3e,靈…,巖C疲/234珠e.歉ti屬me很:虛234Fo詢r(jià)K2=艦0,折…,決234te火st姐i棕fK2eis吩i號n外ta倒bl詳e.邪t曬im籃e:贏23434At未ta遙ck零t困im哨e:240<<嗓264We斤b抄Br哀ow隨se重rWe速b濤Se寒rv服erCLIENTHELLOSE逆RV筍ER賀H己EL初LO唇(均e,足N)dC=RSA(K)Ra杯nd況om薦s鳳es證si予on躬-k尖ey茄K通用RS翻A加密不要文使用底教科救書RS飽A.實(shí)際尾中的RS圍A眼:ms項(xiàng)gPr叢ep觸ro恢ce匆ss模in萄gci勻ph謹(jǐn)er卡te辰xtRS下APK怒CS拼1鍋V1派.5PK乓CS促1止mo念de燥2逗:殖(e謊nc前ry攪pt螞io帆n)02random

padFFmsg1024bits16bits對RS泰A的選惰擇密筆文攻朋擊原理E(拘e,成m1梅)桌×E住(e不,m頂2)仙=E斷(e懶,m旦1淹×貓m2）PK滾CS孫1敏V2朽.0捐-林O辛AE浪PNe歇w勺pr伸ep窯ro襯ce近ss它in蜜g劃fu滲nc央ti捧on朝:姥O冬AE費(fèi)P會(B別R9坐4)批.Th置m:原RS世A軟is億t遺ra傲p-呈do鍬or燭p州er關(guān)mu句ta攜ti摟onOA研EP脹i煎s歡CC酷Swh湯en月H,虎G斃a該re滲“ra陜nd錢om鼻o凝ra主cl鉛es完”.In吧p握ra勸ct唇ic響e:迫us求e聞SH筒A-冊1生or垮M雙D5袖f增or奔H懸a冒nd進(jìn)G轟.H+G+PlaintexttoencryptwithRSArand.M0100..0Ch尼ec奶k扭pa伐d稱on監(jiān)d陣ec占ry第pt釋io月n.扁R沃ej稈ec晨t等CT腎i雄f溫in螺va告li霸d.{0末,1葉}n-碎1Ra遺bi逆n密碼起體制它不埋是以煙一一獵對應(yīng)燙的單憐向陷綿門函走數(shù)為先基礎(chǔ)鎖，對乞同一逢密文唐，可旋能有評兩個(gè)駁以上洲對應(yīng)術(shù)的明息文;破譯盾該體那制等重價(jià)于唐對大贊整數(shù)稠的分琴解。RS撞A中選渾取的庭公開其鑰e滿足茄1<e<φ(嘩n)，且gc蒼d(屋e,店φ(稱n))培=1江。R妻ab跳in密碼陽體制野則取e=貼2。Ra昨bi巷n算法爭：密鑰督的產(chǎn)甘生隨機(jī)監(jiān)選擇炭兩個(gè)適大素娃數(shù)p、淺q，滿足p≡暈q≡防3板mo威d曾4，即這馬兩個(gè)貌素?cái)?shù)臺形式切為4k+岡3；計(jì)算n=p×蒸q。以n作為難公開大鑰，p、捉q作為染秘密賭鑰。Ra促bi臭n算法續(xù)：加社密c≡廚m2mo刃d鞋n其中m是明桶文分晶組，c是對耳應(yīng)的傘密文魂分組濃。Ra擇bi斑n算法豪：解期密解密砌就是仗求c模n的平摩方根呼，即醋解x2≡c貿(mào)m丑od罰nRa濁bi館n算法回：解蹦密由中腔國剩箏余定碰理知艱解該銅方程鍬等價(jià)鋸于解梳方程障組由于p≡輝q≡末3殿mo插d主4，下面棟將看賽到，丸方程蝴組的艱解可萌容易薯地求名出，肚其中封每個(gè)疼方程包都有梨兩個(gè)秤解，撓即x≡邀mmo碰dp,販x≡王-mmo偵d瞎px≡而mmo央dq,應(yīng)x≡脾-mmo姑d謀qRa漁bi量n算法逝：解嗽密經(jīng)過鞏組合捉可得謊4個(gè)飯同余倚方程牢組由中產(chǎn)國剩巖余定燦理可辯解出賢每一臟方程將組的細(xì)解，翼共有暴4個(gè)龜，即散每一吳密文陷對應(yīng)綁的明歸文不混惟一植。為更了有齒效地路確定欲明文胞,可期在m中加挖入某擔(dān)些信彼息,濁如發(fā)摟送者嫌的身易份號閱、接熊收者索的身餡份號斬、日鉗期、茶時(shí)間跡等。Ra鞋bi汁n算法高：解關(guān)密當(dāng)p≡燥q≡畜3喚mo起d牢4，兩個(gè)特方程x2≡c泊m正od腹p瀉,x2≡c雨m封od設(shè)q的平耳方根買都可淋容易敞地求裹出。所以推和是方獄程x2≡c炸m妥o(hù)d被p的兩長個(gè)根絡(luò)。同