Estructuras modulares y su aplicación en la construcción de criptosistemas simples

Transcripción

1 Estructuras modulares y su aplicación en la construcción de criptosistemas simples M Sc. Sebastián Castañeda Hernández Grupo Marea Universidad del Norte Barranquilla - Colombia Resumen Las estructuras modulares, ejemplos clásicos de estructuras algebraicas finitas, son de gran utilidad en aplicaciones a diseños de circuitos electrónicos y criptosistemas, para citar solo dos ejemplos importantes de actualidad. Tales estructuras son anillos conmutativos con elemento identidad. En este cursillo se presentan tales estructuras con sus propiedades básicas (como grupos, anillos o campos) así como su utilización en el diseño de criptosistemas sencillos, los cuales son la base de una gran parte de los sistemas criptográficos más utilizados. 1. Relaciones de orden y de equivalencia Dado un conjunto A una relación en A es un subconjunto cualquiera de A A. Si R es una relación en A y (x, y) R, escribiremos xry (léase x está relacionado con y bajo R ). A menos que se especifique algo distinto, todas las relaciones consideradas serán no vacías. Definición 1.1. Una relación R en A se denomina: Reflexiva si, y solo si para todo x A se tiene xrx. Simétrica si, y solo si, para todo x, y A se cumple xry = yrx. 1

2 2 S. Castañeda Transitiva si, y solo si para todo x, y, z A se tiene xry yrz = xrz Antisimétrica si, y solo si para todo x, y A se cumple xry yrx = x = y Una relación reflexiva, simétrica y transitiva es denominada de equivalencia. Un orden parcial sobre A es una relación reflexiva, antisimétrica y transitiva. Un orden parcial R sobre A es un orden total (o lineal) si satisface x, y A : xry yrx Se acostumbra decir, en el último caso, que todos los elementos de A son comparables mediante R, que A está totalmente ordenado por R o que A es una cadena. Si R es un orden parcial sobre A,claramente para cualquier subconjunto B A, R induce un orden parcial R B R. Si B, bajo tal orden inducido, es una cadena decimos también que B es una cadena en A bajo R. Generalmente notaremos un orden parcial por y escribiremos (A, ) para referirnos al conjunto A considerado bajo el orden parcial indicado. Para una relación R, la relación dual(o inversa) se define R = {(x, y) (y, x) R} Es claro que una relación R es de equivalencia y un orden parcial en A si, y solo si R es la relación de identidad en A (igualdad).es inmediato (ejercicio): Proposición 1.1. Si R es un orden parcial (respectivamente, de equivalencia) en A, entonces su relación dual es un orden parcial (resp., de equivalencia) en A. Para un orden parcial, su relación dual será notada. Así, se tiene para x, y A: x y y x. Los conocidos conceptos de cotas superiores e inferiores, conjuntos acotados, etc se generalizan para ordenes parciales. Definición 1.2. Sean (A, ) un conjunto parcialmente ordenado, B A, c A. Entonces: 1. Relaciones de orden y de equivalencia

3 3 S. Castañeda 1. c es una cota superior (resp. inferior) para B si, y solo si para todo x B se tiene x c (resp. c x). 2. c es un elemento maximal(resp. minimal) si, y solo si para todo x A se tiene: c x = x = c.(resp. x c = x = c) 3. c es un máximo (resp. mínimo) de B si c B y para todo x B, x c (resp. c x). 4. A está bien ordenado (por ) si cada sunconjunto no vacío de A tiene elemento mínimo. En tal caso es un buen orden para A. Si es un orden parcial sobre A, los elementos maximales (minimales), cotas superiores (inferiores) y máximos (mínimos), según, son elementos minimales (resp, maximales), cotas inferiores (superiores) y mínimos (máximos) de la relación dual. Un elemento máximo (o mínimo) de un subconjunto no vacío de A es único bajo un orden parcial, pues si c, d son ambos máximos, se sigue por la definición y la antisimetría que c = d. Sin embargo, estas definiciones pueden extenderse para una relación reflexiva y transitiva (o preorden), bajo las cuales no necesariamente los máximos y mínimos, si existen, son únicos. Ejemplo 1.1. Sobre el conjunto IN, de los números naturales, la relación es un orden total y un buen orden. Cualquier conjunto infinito enumerable A puede también ser bien ordenado. En efecto si ϕ : A IN es una biyección, entonces ϕ induce sobre A el buen orden definido por x y ϕ(x) ϕ(y). En particular, aunque no es un buen orden (aunque sí es un orden total) sobre ZZ, ZZ puede ser bien ordenado. Utilizando, por ejemplo, la biyección que pone en correspondencia los naturales impares con los enteros no negativos y los pares con los negativos, como se muestra abajo se tiene el siguiente buen orden sobre ZZ: Relaciones de orden y de equivalencia

4 4 S. Castañeda Así, ZZ, bajo el orden indicado, tiene un elemento mínimo, 0. Por su parte, 1 es el mínimo del conjunto de los enteros negativos. Como bajo el orden usual en ZZ, no existen elementos maximales El ejemplo anterior muestra que un orden total no es, necesariamente, un buen orden. El recíproco, en cambio, es verdadero: Si es un buen orden sobre A, entonces para cada par de elementos x, y A el conjunto {x, y} tiene un elemento mínimo, teniéndose por tanto que x y o y x con lo que resulta un orden total. Ejemplo 1.2. Consideremos un ejemplo finito: Sea A = {a, b, c, d, e, f, g}. La relación = {(x, x) x A} {(a, b), (b, c), (a, c), (d, c), (e, g), (e, f), (f, g)} es un orden parcial sobre A pero no es un orden total, ya que, por ejemplo, a y d no son comparables. Un diagrama (de Haase) decribe la relación indicada, como se muestra a continuación. En A tenemos: c y g son elementos maximales. a, d y e son minimales. c g b f a d e No existen elementos máximo ni mínimo de A. a es el mínimo de {a, b, c} y c es el máximo de dicho conjunto. Los conjuntos {a, b, c}, {d, c}, {e, f, g}, así como cualquier subconjunto de ellos, son cadenas en A. 2 Compatibilidad

5 5 S. Castañeda 2. Compatibilidad de relaciones con operaciones binarias Dado un conjunto A una acción (a izquierda) sobre A (de B) es una función : B A C. La función es también denominada una operación binaria sobre A (o B). Se dice también, en las condiciones anteriores, que es una acción (a derecha) de A sobre B. Si A = B = C, decimos que es una ley de composición interna sobre A. Si : B A C es una operación binaria y R 1, R 2 y R 3 son relaciones definidas en B, A y C, respectivamente, se dice que R 1, R 2 y R 3 son compatibles con si, y solo si para x, y B, z, w A se cumple que: xr 1 y zr 2 w = (x z)r 3 (y w) Cualquiera de las relaciones R 1 o R 2, y R 3 son compatibles con si lo son conjuntamente con la igualdad. Así, por ejemplo, R 1 y R 3 son compatibles con la acción a izquierda si para cada x, y A se tiene que para todo b B: xr 1 y = (b x)r 3 (b y). Finalmente, en el caso de compatibilidad si A = B = C, y R = R 1 = R 2 = R 3, decimos simplemente que R y son compatibles. Proposición 2.1. Si R es un preorden ( reflexiva y transitiva ) en A, entonces son equivalentes: 1. R y son compatibles. 2. Para todo x, y A se tiene que xry = ( z A)((x z)r(y Z) (z x)r(z y)). Demostración. Que (1) implica (2) es claro por la reflexividad de R. Si se cumple (2) y xry, zrw, para x, y, z, w A, se sigue que lo que demuestra (1). (x z)r(y z) (y z)r(y w) = (x z)r(y w) 2 Compatibilidad

6 6 S. Castañeda Si R es un preorden sobre A y a A, definimos P rec R (a) = {x A xra} Succ R (a) = {x A arx} Es claro que ambos conjuntos son no vacíos y que su intersección también lo es. En particular, se tiene Proposición 2.2. Si R es un preorden sobre A, entonces: 1. R es de equivalencia ( a A : P rec R (a) Succ R (a)) ( a A : Succ R (a) P rec R (a)) 2. R es un orden parcial si, y solo si, para todo a A : se cumple que P rec R (a) Succ R (a) = {a}. Demostración. 1. Supongamos R de equivalencia en A y a A, entonces x P rec R (a) = xra = arx = x Succ R (a) Si, ahora suponemos P rec R (y) Succ R (y) para todo y A, con R un preorden, se tiene para a A x Succ R (a) = arx = a P rec R (x) = a Succ R (x) = xra = x P rec R (a) Finalmente, si para todo a A se tiene Succ R (a) P rec R (a) y suponemos xry, con x, y A, entonces y Succ R (x) = y P rec R (x) = yrx lo que demuestra que R es de equivalencia. 2 Compatibilidad

7 7 S. Castañeda 2. Si R es un orden parcial sobre A y a A, entonces claramente a P rec R (a) Succ R (a). Ahora z P rec R (a) Succ R (a) = zra arz = a = z lo cual demuestra que P rec R (a) Succ R (a) = {a}. Recíprocamente, si P rec R (a) Succ R (a) = {a} para todo a A y x, y A son tales que xry, yrx, entonces x P rec R (y) Succ R (y), de donde se sigue que x = y. Si R es de equivalencia en A entonces, por el teorema anterior, para cada a A, se tiene P rec R (a) = Succ R (a) = {x A xra} = {x A arx}. El conjunto anterior se denomina la clase de equivalencia de a bajo R, notada [a] R. El conjunto de tales clases de equivalencia se acostumbra a denominar conjunto cociente de A bajo R y se denota por A/R. Como se muestra a continuación, tal conjunto es una partición de A; es decir, R realiza sobre A una clasificación exhaustiva en clases mutuamente disyuntas. Teorema 2.3. Sea R una relación de equivalencia en A. Entonces: 1. Si a, b A, entonces [a] R = [b] R o [a] R [b] R =. 2. A = a A [a] R. Demostración. Ejercicio El recíproco del teorema anterior es válido en el sentido que toda partición de A es un conjunto cociente de alguna relación de equivalencia en A. Teorema 2.4. Sea A un conjunto no vacío. Si P = {A i i I} es una familia no vacía de subconjuntos de A tal que: 1. Para todo i, j I: A i = A j o A i A j =. 2. A = i I A i. entonces, existe una relación de equivalencia R en A tal que P = A/R. Demostración. Defina xry si, y solo si existe i I, tal que x, y A i y demuestre que R es de equivalencia ([x] R = A i si, y solo si x A i ). 3 Compatibilidad

8 8 S. Castañeda 3. Transporte de estructuras y preordenes a cocientes La mayoría de las estructuras utilizadas en matemáticas son estructuras cociente; es decir, el conjunto soporte de tales estructuras es un cociente determinado por una relación de equivalencia sobre un conjunto dado. En esta sección analizamos la manera como podemos definir sobre un cociente de un conjunto A una estructura algebraica que conserve algunas propiedades de una estructura previa sobre A. Para fijar ideas, supongamos que se tiene una operación binaria : B A C y que sobre los conjuntos B, A y C se han definido relaciones de equivalencia R 1, R 2 y R 3, respectivamente, obteniendo así los cocientes B/R 1, A/R 2 y C/R 3. Para cada b B, a A sabemos que existen un único c = b a C y las respectivas clases de equivalencia [b] R1, [a] R2, [b a] R3 en los cocientes. Parece natural definir una operación binaria (para la cual utilizaremos el mismo símbolo) : B/R 1 A/R 2 C/R 3 mediante la asignación ([b] R1, [a] R2 ) [b] R1 [a] R2 = [b a] R3. Tal asignación definirá una función, y por tanto una operación binaria, si, y solo si ([b 1 ] R1, [a 1 ] R2 ) = ([b 2 ] R1, [a 2 ] R2 ) = [b 1 a 1 ] R3 = [b 2 a 2 ] R3 para todo a i A, b i B, i = 1, 2. La anterior condición es claramente equivalente a la compatibilidad de las relaciones R i con. Tenemos así: Proposición 3.1. Si : B A C es una operación binaria y R 1, R 2, R 3 son relaciones de equivalencia definidas en B, A y C, respectivamente, entonces : B/R 1 A/R 2 C ([b] R1, [a] R2 ) [b a] R3 define una operación binaria si, y solo si es compatible con las relaciones. 3 Transporte de estructuras y preordenes

9 9 S. Castañeda A: En las condiciones de la proposición anterior, se tiene que para b B, a [b] R1 [a] R2 = [b a] R3 (1) Decimos que la operación dada por 1 es transportada vía compatibilidad a los cocientes. Podemos también pensar en el transporte de un preorden a un cociente. Supongamos, en tal sentido que sobre el conjunto A tenemos definidos tanto un preorden,, como una relación de equivalencia R. Como en el caso anterior, parece natural definir sobre el cociente A/R la relación [x] R [y] R x y. Es claro que para que esté bien definida debe cumplirse ( a, b, c, d A)(aRb crd = (a c b d)), de manera que la decisión de si dos clases están o no relacionadas sea independiente de los representantes escogidos en cada clase. En tal caso, decimos que el preorden y la relación de equivalencia son compatibles. El preorden induce en A una relación de equivalencia. En efecto, si definimos para a, b A: a asoc b a b b a (2) entonces asoc es una relación de equivalencia compatible con el preorden (ejercicio), a la que denominaremos relación de asociación inducida por, notada también Asoc( ). Tal relación es maximal (según la inclusión) en la familia de las relaciones de equivalencia compatibles con, en tal familia la relación de identidad en A es minimal. Nótese también que a asoc b a P rec(b) a Succ(b). Proposición 3.2. Sean R y relaciones de equivalencia y preorden, respectivamente, sobre A. Entonces son equivalentes: 1. R y son compatibles. 2. R Asoc( ) Algunos ejemplos notables de estructuras cociente y de transporte de preordenes se muestran a continuación. 3 Transporte de estructuras y preordenes

10 10 S. Castañeda Ejemplo 3.1. En ZZ, la relación de divisibilidad, definida por a b ( k ZZ)(b = ka) (3) es un preorden; es decir, es reflexiva y transitiva. No es un orden parcial pues no es antisimétrica. La relación de asociación inducida por la divisibilidad es Así, para cada x ZZ se tiene a asoc b a = b. [a]asoc = { {0}, si a = 0 { a, a}, si a 0. Por lo visto antes, la divisibilidad puede transportarse al cociente. Ejemplo 3.2. Si n es un entero no negativo, en el conjunto ZZ de los enteros definimos: a b(mod n) n (a b) (4) la relación anterior es denominada relación de congruencia módulo n. Es fácil probar que es de equivalencia (ejercicio) y que es compatible tanto con la adición como con la multiplicación en ZZ, como lo establece el teorema siguiente. Teorema 3.3. Sean a, b, c, d ZZ, entonces: a b(mod n) c d(mod n) = (a+c) (b+d)(mod n) ac bd(mod n) (5) Demostración. Si a b(mod n) y c d(mod n), entonces se tienen enteros k 1, k 2 tales que de donde se tiene a b = nk 1 c d = nk 2 (a + c) (b + d) = (a b) + (c d) = n(k 1 + k 2 ) ac bc = cnk 1 bc bd = bnk 2 ac bd = n(ck 1 + bk 2 ) de donde se siguen (a + c) (b + d)(mod n) y ac bd(mod n). 3 Transporte de estructuras y preordenes

11 11 S. Castañeda La compatibilidad de la congruencia módulo n con la adición y la multiplicación, permite transportar al conjunto cociente ZZ/ (mod n) la adición y la multiplicación desde ZZ. Es decir, podemos definir sobre tal conjunto cociente, el cual se acostumbra a denotar por ZZ n o ZZ/nZZ, una adición y multiplicación así: [a] + [b] = [a + b] (6) [a] [b] = [ab] (7) Por comodidad, en las ecuaciones 6 y 7 hemos omitido los subíndices de la congruencia. Cómo son los elementos de ZZ n y cuántos elementos tiene? Las respuestas las mostramos a continuación. Para x ZZ se tiene [x] = y ZZ k ZZ : y x = nk } = {y ZZ k ZZ : y = nk + x } = {nk + x k ZZ} Así, por ejemplo, [0] = {nk k ZZ} = {0, ±n, ±2n, ±3n,...} [1] = {nk + 1 k ZZ} = {..., 3n + 1, 2n + 1, n + 1, 1, n + 1, 2n + 1, 3n + 1,...} [2] = {nk + 2 k ZZ} = {..., 3n + 2, 2n + 2, n + 2, 2, n + 2, 2n + 2, 3n + 2,...}... El siguiente teorema establece que existen exactamente n clases de equivalencia distintas. Teorema 3.4. Sea x ZZ, x 0 entonces en ZZ n, n > 0: donde r es el residuo de la división de x entre n [x] = [r] (8) [ x] = [n r] (9) 3 Transporte de estructuras y preordenes

12 12 S. Castañeda Demostración. Por el algoritmo de la división, existen enteros q, r tales que x = qn + r, donde 0 r < n, de donde se sigue que x r (mod n) Además x (n r) = qn r n + r = n( q 1), de donde x (n r) (mod n) Se sigue que ZZ n = {[0],..., [n 1]}. Por supuesto, podemos también escribir ZZ n = {[a 0 ], [a 1 ],..., [a n 1 ]}, donde para cada i = 0,..., n 1, a i [i]. De acuerdo con los resultados anteriores, tenemos una estructura cociente (ZZ n, +, ), donde la adición y la multiplicación son transportadas desde (ZZ, +, ). No es nada difícil verificar que las conocidas propiedades de ésta última estructura (leyes asociativas y conmutativas, existencia de neutros aditivo y multiplicativo, existencia de inversos aditivos y propiedad distributiva de la multiplicación respecto de la adición) son válidas también en la estructura cociente. Así, por ejemplo, para enteros x, y tenemos: ([x] + [y]) + [z] = [x + y] + [z] = [(x + y) + z] = [x + (y + z)] = [x] + [y + z] = [x] + ([y] + [z]) lo que demuestra que la suma es asociativa en ZZ n. Si se reemplaza el + por se tiene un resultado similar para el producto. También es claro que [0] y [1] son, respectivamente, los elementos neutros aditivo y multiplicativo. Por otra parte, para un entero x {0,..., n 1} se tiene que el inverso aditivo de [x], al que notaremos [x] no es mas que [ x] = [n x]. Igualmente, como en ZZ los enteros 1 y 1 tienen inverso multiplicativo, entonces en ZZ n, para n 1, [1] y [ 1] también tendrán inverso multiplicativo. Usando la notación acostumbrada para tales inversos tenemos: [1] 1 = [1] [ 1] 1 = [ 1] = [n 1] 3 Transporte de estructuras y preordenes

13 13 S. Castañeda Lo que puede parecer sorprendente es que puedan existir otras clases distintas a las indicadas y que tengan inverso multiplicativo. Considérese, por ejemplo, ZZ 8. Se tiene, por lo visto antes, que [1] 1 = [1] [ 1] 1 = [7] 1 = [7], pero como 5(5) = 25 1(mod 8) se sigue que [5][5] = [1]; es decir [5] 1 = [5] en ZZ 8. Resultado inesperado. en principio, ya que 5 no es invertible en ZZ. En forma similar, se tiene [3] 1 = [3]. Otra situación inesperada, es ilustrada en el mismo ZZ 8 por el hecho [2][4] = [0], que muestra que el producto de dos elementos no nulos (distintos del elemento neutro aditivo) es nulo (cero en ZZ 8 ), lo que claramente no sucede en ZZ. Podemos simplificar la notación identificando la clase [x] con el entero x. Podría verse la estructura ZZ n como formada por el conjunto de los enteros 0,..., n 1 con la adición y multiplicación módulo n (los resultados son los residuos de las divisiones de la suma y el producto usuales entre n). Sin embargo, para facilitar el análisis de las propiedades que tiene la estructura, puede ser más conveniente mirarla como transportada por medio de una biyección, como explicamos seguidamente. Un conjunto cualquiera A = {a i i {0, 1,..., n 1}, a i i(mod n)} es denominado usualmente un sistema residual módulo n. Cualquier sistema residual módulo n puede entonces dotarse de la misma estructura aditivo multiplicativa de ZZ n utilizando la biyección ϕ : A a i [a i ] ZZ n. Entonces sobre A podemos definir una adición y multiplicación como sigue a i + a j = ϕ 1 (ϕ(a i ) + ϕ(a j )) (10) = ϕ 1 ([a i + a j ]) (11) a i a j = ϕ 1 (ϕ(a i )ϕ(a j )) (12) = ϕ 1 ([a i a j ]) (13) En particular, si se escoge A = {0, 1,..., n 1} tales operaciones son la adición y multiplicación módulo n. En lo que sigue escribiremos ZZ n = {0, 1,..., n 1} para referirnos a tal estructura aditivo-multiplicativa. 3 Transporte de estructuras y preordenes

14 14 S. Castañeda El problema del transporte vía biyecciones, del cual el caso considerado es un ejemplo particular, puede plantearse en general. Consideramos, en ese sentido, el caso de una estructura simple (B, ) y el de un conjunto A, equipotente con B, al cual queremos suministrarle una estructura similar. Es decir, supongamos que existe una biyección ϕ : A B. El que los conjuntos sean equipotentes significa simplemente que podemos identificar los elementos de uno de ellos con elementos del otro. Es decir, por ejemplo, podemos rotular cada elemento de A con un nombre de un único elemento de B. En tal sentido, no es difícil entender cómo definir una operación sobre A, tal que la estructura resultante tenga las mismas propiedades de (B, ). Se trata entonces de transportar hasta B la misma estructura que A tiene bajo la operación como lo indica el diagrama siguiente ϕ ϕ 1 A B A x ϕ(x) y ϕ(y) ϕ(x) ϕ(y) ϕ 1 (ϕ(x) ϕ(y)) x y Así, si sobre A definimos una operación, para la cual utilizaremos el mismo símbolo, mediante la fórmula x y = ϕ 1 (ϕ(x) ϕ(y)), (14) entonces es claro que la estructura (A, ) tiene las mismas propiedades de (B, ). Nótese, en efecto, que además de la correspondencia biunívoca entre A y B como conjuntos, existe una identificación estructural. en el sentido dado por la identidad siguiente. ϕ(x y) = ϕ ( ϕ 1 (ϕ(x) ϕ(y)) ) = ϕ(x) ϕ(y) para todo x, y A. La denominación técnica para la situación analizada es de isomorfismo. en tre las estructuras (A, ) y (B, ). Para el caso considerado 3 Transporte de estructuras y preordenes

15 15 S. Castañeda lo que se quiere decir es que se transportó, vía la biyección ϕ, la estructura desde B hasta A. En términos generales, dadas estructuras (A, ) y (B, ), una aplicación ϕ : A B es denominada un morfismo si para todo x, y A, se cumple ϕ(x y) = ϕ(x) ϕ(y) (15) La ecuación 15 es a menudo descrita diciendo que ϕ preserva la estructura o la operación. Como en los ejemplos considerados, un morfismo biyectivo es denominado un isomorfismo. Estructuras isomorfas (es decir, que existe un isomorfismo entre ellas) pueden considerarse iguales. en sentido estructural. 4. Aritmética módulo n En esta sección consideramos algunas de las principales propiedades de la estructura aditivo-multiplicativa ZZ n introducida en la sección anterior. Como se dijo ya el conjunto soporte de tal estructura es el de los enteros no negativos menores que n, siendo n 2. De las propiedades de (ZZ, +, ) se siguen: Teorema (ZZ, +) es una estructura asociativa, modulativa, invertiva y conmutativa. 2. (ZZ, ) es una estructura asociativa, modulativa y conmutativa. Además, la multiplicación distribuye respecto de la adición. Cada elemento x no nulo tiene un inverso multiplicativo si, y solo si es primo relativo con n. Demostración. Probemos solo lo relativo a la existencia de inversos multiplicativos. Si x y n son primos relativos, entonces podemos escribir 1 1 = xk + nl para enteros k, l. Se sigue que xk 1(mod n); es decir [x][k] = [1] y [x] (por lo tanto x) es invertible. Recíprocamente, si x es invertible en ZZ n, entonces existe un entero k tal que xk 1(mod n), luego xk 1 = nm para algún entero m, de donde se sigue que el m.c.d de x y n es 1. Observacion 4.1. La parte 1 del teorema anterior establece que (ZZ n, +) es un grupo abeliano. Esto, conjuntamente con la parte 2 dice, además, que (ZZ n, +, ) es un anillo conmutativo con elemento identidad. 1 El máximo común divisor de dos enteros es siempre una combinación lineal (con coeficientes enteros) de ellos. 4 Aritmética módulo n

16 16 S. Castañeda Como un corolario del teorema anterior, tenemos Corolario 4.2. (ZZ p {0}), ) es un grupo (abeliano) si, y solo si p es un número primo. En un anillo conmutativo con identidad (IK, +, ), si la estructura (IK {0 IK }), siendo 0 IK el neutro aditivo, es, como en el ejemplo del anillo ZZ p, un grupo, la estructura se denomina campo. Es decir: Corolario 4.3. (ZZ p, +, ) es un campo. En el anillo ZZ n, (n 2) podemos entonces, como en el caso de los enteros, cuya estructura aditivo-multiplicativa es de anillo conmutativo con identidad, podemos hacer algebra. Podemos, por ejemplo, definir potencias aditivas y multiplicativas. Si x ZZ n, para un entero no negativo m podemos definir { 0, si m = 0 mx = (16) (m 1)x + x, si m > 0 ( m)x = (mx) (17) el elemento mx es la m ésima potencia aditiva de x. En forma similar, podemos también definir potencias multipicativas para el exponente m 0 { 1, si m = 0 x m = x m 1 (18) x, si m > 0 Eventualmente, si x es invertible, por ejemplo si n es primo y x 0, podemos también tener: x m = (x 1 ) m. Puede demostrarse (ejercicio) que un buen número de las propiedades familiares de las potencias en conjuntos numéricos son válidas. Por ejemplo, para enteros cualesquiera n y m y x ZZ n : mx + nx = (m + n)x m(nx) = (mn)x o las correspondientes en potencias multiplicativas, si están definidas: x m x n = x m+n (x n ) m = x mn 4 Aritmética módulo n

17 17 S. Castañeda Ejemplo 4.1. Consideremos, por ejemplo, ZZ 6 = {0, 1, 2, 3, 4, 5}. Las operaciones de adición y multiplicación vienen dadas por las tablas Los elementos invertibles (multiplicativamente) son 1 y 5, siendo ambos autoinversos. En tal estructura, tenemos: 2(4) = = 2 3(5) = (3(5)) = ( ) = 3 = = = 3 La ecuación lineal 2x + 5 = 3 en ZZ 6 es equivalente a la ecuación 2x = 3 5 = 2 = 3, la cual (véase la tabla de la multiplicación) no tiene solución. Por su parte, la ecuación 2x = 0, tiene las soluciones 0 y 3. Este último ejemplo muestra una clara divergencia con la estructura usual de los enteros, donde una ecuación lineal ax = b, con a 0 o tiene una solución o no tiene. Por supuesto, si a es un elemento invertible en ZZ n la ecuación lineal ax = b tendrá una solución única x = a 1 b. Considere, por ejemplo la ecuación 3x = 4 en ZZ 16. La única solución de esta ecuación es x = = 11(4) = 12 El subconjunto de los elementos invertibles de ZZ n es un conjunto cerrado para la multiplicación; es decir, el producto de dos elementos invertibles es invertible (Ejercicio). Se sigue entonces que la multiplicación es una ley de composición interna en dicho conjunto. Notaremos por U n a la estructura multiplicativa resultante la cual es claramente un grupo abeliano. Es usual la denominación de n grupo de Euler para tal estructura. 4 Aritmética módulo n

18 18 S. Castañeda Corolario 4.4. U n = {m ZZ + m < n, (m, n) = 1} es un grupo (multiplicativo) abeliano. La notación (m, n) se refiere al máximo común divisor de m y n. Así, m y n son primos relativos si, y solo si (m, n) = 1. El cardinal de U n es denotado generalmente por ϕ(n), y la función ϕ, que asigna a cada entero n el número de enteros primos relativos con n y menores que n, es la función de Euler. Si p es primo, entonces claramente ZZ p {0} = U p. Tenemos, por ejemplo: La ecuación lineal U 8 = {1, 3, 5, 7} U 9 = {1, 2, 4, 5, 7, 8} U 11 = {1, 2, 3, 4, 5, 6, 7, 8, 9, 10} = ZZ 11 {0} Consideremos la ecuación lineal ax = b en ZZ n. Tal ecuación tiene claramente un conjunto solución finito. Si tal conjunto es no vacío y miramos las soluciones como clases de congruencia módulo n, cada solución [z] tiene un número infinito de enteros. Es decir, la congruencia ax b (mod n) tiene infinitas soluciones (enteras), pues si z es solución y z entonces de la compatibilidad se sigue que z(mod n), az az b(mod n). Es decir, z [z] es también una solución. Para determinar todas las soluciones (enteras) de dicha congruencia podemos entonces determinar todas las soluciones (un número finito) de la ecuación ax = b en ZZ n. Ahora, si a es un elemento invertible entonces tal ecuación tiene solución única x = a 1 b y la congruencia correspondiente tiene como conjunto solución a [a 1 b]. Como veremos, si la congruencia lineal tiene soluciones, estas se pueden hallar resolviendo una ecuación con solución única. Los teoremas que siguen apuntan en esa dirección. Teorema 4.5. Sean a, b, k ZZ, k 0, y d = (k, n) entonces: ( ka kb(mod n) = a b mod n ) d 4 Aritmética módulo n

19 19 S. Castañeda Demostración. De ka kb = nq para algún entero q se sigue que k d (a b) = n d q. Esto muestra que n divide a k(a b) pero como ( k, ) n d d d d = 1, por ser d = (k, n), se sigue que n divide a a b. Se tiene entonces d ( a b mod n ) d. Nótese que el teorema anterior muestra que, en general, en ZZ n la ley cancelativa para la multiplicación no es un teorema (a menos que k sea invertible). Analicemos ahora la congruencia lineal ax b (mod n). Sea d = (a, n). Si existe una solución entera z 0, se tiene que az 0 b = nq para algún entero q. Luego az 0 nq = b y se sigue que d b. Recíprocamente, si d divide a b, entonces b = ds = (au + nv)s para enteros s, u, v. Se sigue que a(us) b (mod n) y z 0 = us es una solución de la congruencia lineal. Tenemos entonces Teorema 4.6. ax b (mod n) tiene solución si, y solo si d = (a, n) b. Para determinar tales soluciones nótese que si z 0 es solución de la congruencia indicada, entonces ( ( ) a b az 0 b (mod n) = d z 0 d (mod n) d) d ( a = z 0 d) b ( mod n ) d d Es decir z 0 es también solución de la congruencia ( a x d) b ( mod n ). d d En forma recíproca, si z 0 es solución de la última congruencia considerada, entonces se sigue que ( ( ) a b ( n ) z 0 = q, q ZZ d) d d az 0 b = nq; es decir z 0 es solución de ax b (mod n). 4 Aritmética módulo n

20 20 S. Castañeda El anterior razonamiento muestra que las soluciones, si existen, de la congruencia lineal ax b (mod n) son las mismas soluciones de la congruencia lineal reducida ( ) ( ) a d x b d mod n d. Estas últimas pueden determinarse fácilmente resolviendo la ecuación lineal ( ) a d x = b en ZZ n. Pero ésta tiene solución d d única. Si [z 0 ] es tal única solución, con 0 z 0 n 1, entonces todas las soluciones enteras de la congruencia lineal original están en dicha clase d módulo n d Nótese que { ( n ) } [z 0 ] mod n = z d 0 + k k ZZ d [z 0 ] mod n d d 1 = k=0 [ ( n )] z 0 + k d mod n y que las clases módulo n involucradas en dicha unión son todas distintas y son las soluciones en ZZ n de la ecuación ax = b. Teorema 4.7. Si d = (a, n) b, entonces la ecuación ax = b en ZZ n tiene exactamente d soluciones distintas. Si z 0 es la menor de tales soluciones, entonces el conjunto solución es { ( n ) } S = z 0 + k k = 0,..., d 1. d Ejemplo 4.2. Consideremos, por ejemplo, la congruencia lineal 12x 18 (mod 30). Todas las soluciones enteras están contenidas en las clases de equivalencia de las soluciones de la ecuación 12x = 18 en ZZ 30. Puesto que d = (12, 30) = 6 divide a 18, esta ecuación tiene 6 soluciones. Para hallarlas consideremos la ecuación reducida 2x = 3 en ZZ 5. Esta ecuación tiene solución única x = = 3(3) = 4 Las soluciones de la ecuación 12x = 18 en ZZ 30 son entonces: 4, = 9, = 14, = 19, = 24, = Aritmética módulo n

21 21 S. Castañeda Todas las soluciones enteras de la congruencia lineal original son los enteros congruentes con 4 módulo 5. De la discusión anterior se sigue que, además de la determinación del m.c.d de a y n, para decidir sobre la existencia y el número de soluciones de la ecuación ax = b, el problema se reduce al del cálculo de inversos en la estructura ZZ n y, por supuesto, al de los cálculos de sumas y productos en tal estructura. Ahora bien, aunque el conjunto soporte de la estructura es un conjunto finito, lo que posibiltaría-en teoría-el uso de métodos exhaustivos con auxilio de máquinas de computo (verificando uno a uno con los elementos de ZZ n, por ejemplo), para valores grandes de n tales cálculos podrían requerir un tiempo considerable de cómputo así como el uso de máquinas con suficiente capacidad. Se requiere entonces de la implementación de algoritmos de cómputo eficientes y rápidos, así como el uso de máquinas adecuadas. 5. Una introducción a la Criptografía El problema básico a considerar se podría resumir así: Transmisión (almacenamiento) segura y fiel de mensajes (datos, respectivamente) La fidelidad, que no consideraremos aquí, se refiere a que el mensaje enviado (por el emisor) sea recibido tal y como es, sin distorsiones, por el receptor. En el caso del almacenamiento de datos se refiere, por su parte, a que los datos puedan ser recuperados del dispositivo en que fueron almacenados sin que haya pérdida o defectos en los mismos. Por su parte la seguridad hace referencia a que ninguna persona no autorizada tengo acceso al mensaje (datos) o que en caso de tenerlo no pueda descifrarlo o entenderlo. Este es fundamentalmente el objetivo de la denominada Criptología. En ella podemos distinguir: Criptografía: Se ocupa del diseño de sistemas de cifrado (o encriptamiento), denominados Criptosistemas. Criptoanálisis: Se ocupa del desciframiento de mensajes codificados o encriptados. 5 Una introducción a la criptografía

22 22 S. Castañeda Un mensaje. es una sucesión finita de símbolos de algún alfabeto. Técnicamente hablando, un alfabeto es un conjunto finito no vacío, A y cada símbolo del alfabeto es un elemento de dicho conjunto. Un mensaje en A es, entonces una n ada a 1 a 2 a 3... a n (= (a 1, a 2, a 3,..., a n ) A n ). El proceso de encriptamiento de un mensaje en A es realizado utilizando lo que denominaremos funciones de encriptamiento o claves. Una clave es una función uno-a-uno F : A B, donde B es un conjunto no vacío. Es claro que A B. En la literatura especializada, A es denominado el alfabeto del texto plano (plaint text) y B es el alfabeto del texto cifrado (cipher text). El que F sea uno-a-uno garantiza que es invertible y es la función inversa F 1 la clave de desencriptamiento. En términos generales, la función F es una función tal que para cada x A, F (x) sea fácil de calcular, pero tal que dado y en el rango de F, la determinación de x = F 1 (y), sin información adicional, sea muy difícil para quien no conoce la clave. Una tal función es usualmente denominada de una sola via (one-way function). En la construcción de funciones de enciframiento puede ser deseable el que los alfabetos involucrados tengan alguna estructura algebraica. Si n = A, m = B son las cardinalidades de los conjuntos A y B, respectivamente, entonces podemos dotarlos de la estructura de anillo transportándola desde ZZ n y ZZ m, respectivamente, via dos biyecciones ϕ A : A ZZ n, ϕ B : B ZZ m. En la práctica, la función de encriptamiento F se obtiene por medio de la composición de funciones indicada en el diagrama siguiente F A B ϕ A ϕ B ZZ n ZZ m f 5 Una introducción a la criptografía

23 23 S. Castañeda en el cual la función f : ZZ n ZZ m es una función uno-a-uno (función de encriptamiento modular). La función de encriptamiento F está definida por F = ϕ 1 B f ϕ A. Algunos ejemplos de funciones de encriptamiento se muestran a continuación. Ejemplo 5.1. Claves o cifrados simples (Simétricas). Aquí suponemos A = B, equipotentes con ZZ n. Un cifrado simple, también denominado por sustitución, es una función de encriptamiento modular f : ZZ n ZZ n. Dado que f es uno a uno es por tanto biyectiva, por lo que puede verse como una permutación en el grupo simétrico S n (conjunto de las biyecciones de {1,..., n} en sí mismo con la composición como operación). En particular, consideremos una función lineal f : ZZ n ZZ n, x ax + b donde a, b ZZ n. Una tal función es uno-a-uno si, y solo si a es invertible (ejercicio). Es decir (a, n) = 1. La función inversa (clave de desencriptamiento) está dada por f 1 (x) = a 1 (x b). Un ejemplo del caso anterior es el cifrado de Cesar, al parecer utilizado por el emperador Galius Julius Caesar. En este a = 1 y b = 3; es decir, el encifrado consistía simplemente en una traslación de tres posiciones en el alfabeto original. Para ilustrar consideremos como alfabeto original el conjunto A = {a, e, i, o, u, b, v, c, l} equipotente con ZZ 9. Para la función de encriptamiento f tenemos que a {1, 2, 4, 5, 7, 8} y que b puede ser cualquiera en ZZ 9 (diferente de cero si a = 1). Escojamos a = 2, b = 5 de modo que f(x) = 2x + 5, f 1 (x) = 5(x 5). 5 Una introducción a la criptografía

24 24 S. Castañeda El proceso de encriptamiento funciona entonces como lo muestra el diagrama siguiente: A : a e i o u b v c l ϕ A ZZ n : f ZZ n : ϕ 1 A A : b c a i u v l e o Así, por ejemplo, la palabra ELVIA es encriptada como COLAB. Por su parte, el ciphertext VCEB es desencriptado (por f 1 ) como BECA. Debe notarse que el romper. el criptosistema de cifrado simétrico, esto es el conocer la clave, si se utiliza una sola función de encriptamiento, por parte de una persona no autorizada, requiere el conocimiento de a, b y n. Si se conoce n, se requiere solo tener dos pares distintos (u i, v i ), con v i = f(u i ), i = 1, 2, para determinar f. Con ellos se tiene un sistema de ecuaciones lineales en a y b, en ZZ n { u1 a + b = v 1 de donde se obtienen u 2 a + b = v 2 (u 1 u 2 )a = v 1 v 2 b = v 1 au 1 La primera es una ecuación en una sola incógnita (para la cual ya se tienen herramientas de solución). Por supuesto, otra opción, conocido n (y que el tipo de criptosistema es el considerado), podemos probar con las diferentes posibilidades para f; es decir, con las parejas (a, b) tales que a y n son primos relativos y 0 b n 1. Esto, combinado con consideraciones relativas al alfabeto mismo y sus características particulares (símbolos con más frecuencia 5 Una introducción a la criptografía

25 25 S. Castañeda utilizados, por ejemplo) y con el uso de máquinas de cómputo hace que un cifrado simple sea de seguridad mínima, frágil ante la acción de posibles intrusos con herramientas adecuadas para descifrar el mensaje. Ejemplo 5.2. Claves periódicas. Sean b un entero positivo y {f i : A B i = 1, 2,..., b}, una familia de funciones de encriptamiento de un alfabeto A a un alfabeto B. Una función F : A b B b (a 1, a 2,..., a b ) (f 1 (a 1 ), f 2 (a 2 ),..., f b (a b )) es denominada una clave periódica(de longitud b). Dado un mensaje m = m 1 m 2... m k (= (m 1, m 2,..., m k ) A k ), con k 1, sea k = bq + r, con 0 r < b, entonces se tiene: donde m = (m 1 m 2... m b )(m b+1 m b+2... m 2b )... (m qb+1... m qb+r ) = M 1 M 2... M q (m qb+1... m qb+r ) M i = m (i 1)b+1... m (i 1)b+b (= (m (i 1)b+1,..., m (i 1)b+b ) A b ) con i = 1, 2,... q. El mensaje m es entonces encriptado como F (M 1 )F (M 2 )... F (M q 1 )f 1 (m qb+1 )f 2 (m qb+2 )... f r (m qb+r ). Es decir, el mensaje (de longitud k) es dividido en q bloques, M i, de longitud b, quedando (si el cociente k/b no es exacto) un bloque final de longitud r < b. Sobre cada M i actúa la función de clave periódica F, y sobre el bloque final actúan las primeras r componentes de F. Un ejemplo particular de cifrado periódico, es el denominado cifrado de Vigènere 2. En este se tiene 2 Criptógrafo francés del siglo XVI f i : ZZ n ZZ n x x + k i 5 Una introducción a la criptografía

26 26 S. Castañeda con i = 1, 2,..., b. La sucesión finita (su equivalente en A) k 1 k 2... k b es usualmente denominada la palabra clave del criptosistema. Supongamos, por ejemplo, que, como en el ejemplo del cifrado simple ya mostrado, nuestro alfabeto de texto plano (sin distinción entre mayúsculas y minúsculas) es A = {a, e, i, o, u, b, v, c, l}, que la biyección ϕ A entre A y ZZ 9 es como en dicho ejemplo A : a e i o u b v c l y que Es decir la palabra clave es ZZ n : k 1 = 6, k 2 = 1, k 3 = y la clave periódica es Ahora, ELVIA es encriptada como v e 0 F (x, y, z) = (x + 6, y + 1, z + 3) (E L V ) (I A) (1 8 6) (2 0) (7 0 0) (8 1) C A A L E 5 Una introducción a la criptografía

27 27 S. Castañeda La tabla siguiente muestra que cada símbolo en el alfabeto original ha sufrido un corrimiento de 6, 1 o 3 lugares. La tabla da la clave tanto de encriptamiento como de desencriptamiento. A E I O U B V C L f 1 V C L A E I O U B f 2 E I O U B V C L A f 3 O U B V C L A E I La palabra (ciphertext) (IIE)V corresponde (ver tabla) al plaintext BECA. Ejemplo 5.3. Criptosistemas de clave pública Los ejemplos anteriores son criptosistemas de clave privada. En ellos, la clave debe ser conocida tanto por el emisor como el receptor del mensaje y nadie más, a menos que esté autorizado o rompa. el criptosistema, conoce la clave. En 1976, se introduce por primera vez la idea de clave pública (Diffie y Hellman). En términos generales, en un criptosistema de clave pública, una persona publica en un directorio una clave de encriptamiento, la clave pública, para ser utilizada por cualquiera que desee enviarle un mensaje. Con la clave privada (conocida solamente por ella) dicha persona desencripta el mensaje. El sistema RSA (Rivest, Shamir, Adleman, 1976) es uno de los criptosistemas de clave público más populares y utilizados. El principio básico es el siguiente: Supongamos que nuestro alfabeto del plaintext es A = ZZ N y que cada mensaje (o unidad o bloque del mismo) es un arreglo o k + 1 ada de la forma m = a k a k 1... a 0 ZZ k+1 N el cual puede verse como un entero escrito en base N; es decir m = a 0 + a 1 N + a 2 N a k N K de forma que 0 m < N k+1, 0 a k N 1. Sean p y q primos distintos (generalmente muy grandes ) y n = pq. Sea e un entero tal que (e, M) = 1, siendo M = p 1, q 1 el mínimo común múltiplo de p 1 y q 1. Entonces, la clave pública 3 es (n, e) y la función de encriptamiento viene dada por F (m) = m e = c, en ZZ n (19) q. 3 Al publicar la clave solo se da el valor del producto pq y no los primos individuales p y 5 Una introducción a la criptografía

28 28 S. Castañeda Así m e (mod n) es el ciphertext. La clave privada es el inverso multiplicativo d = e 1 en ZZ M (garantizada su existencia, pues (e, M) = 1). En efecto, puede probarse que c d = (m e ) d = m, en ZZ n (20) La fundamentación de este sistema está dada en el siguiente teorema Teorema 5.1. Sean p y q primos distintos y n = pq, M = p 1, q 1. Si de 1(mod M), entonces para todo entero m se tiene m ed m(mod n). Demostración. Tenemos que existe un entero k tal que ed 1 = km. 1. Si p m y q m, entonces m es un elemento de los grupos multiplicativos ZZ p {0} y ZZ q {0}. Se sigue que m p 1 1 (mod p) m q 1 1 (mod q) de donde se tienen, dado que ed 1 es múltiplo de M y éste lo es tanto de p 1 como de q 1: m ed 1 1 (mod p) m ed 1 1 (mod q), de donde se sigue que p (m ed 1 1), q (m ed 1 1), por lo que es decir m ed m (mod n). 2. Si p m entonces: pq (m ed 1 1) pq m(m ed 1 1) = m ed m, a) Si q m, entonces pq m y, por lo tanto n (m ed m). b) Si q m, entonces q (m ed 1 1), de donde se sigue que n = pq m(m ed 1 1) = m ed m. Así, en este caso también m ed m (mod n). Referencias

29 29 S. Castañeda Referencias [1] Koblitz, Neal. A course in Number Theory and Cryptography. Second edition. Springer. [2] Koblitz, Neal. Algebraic aspects of Cryptography. Springer. [3] Schroeder, M.R. Number theory in Science and communication. Third edition. Springer. [4] Stallings, William. Cryptography and Network Security. Third edition. Pearson Education Inc. [5] Le veque, William J. Teoría elemental de los números. Herrero hermanos sucesores, S.A. Editores. México. Referencias