Algoritmo de Dixon Ataque de Wiener

Transcripción

1 Algoritmo de Dixon Ataque de Wiener México 2011

2 1 Criba cuadrática 2 Ataque de Wiener

3 Algoritmo de Dixon Factorización Supongamos que nuestra base de primos B := {p 1,...,p b } consiste de los primeros b primos. Queremos calcular la probabilidad de que x 2 se factorize en la base B. Definimos, para m < n, ϕ(n, m) como el número de enteros positivos n tales que todos sus factores primos son m

4 Algoritmo de Dixon Factorización Usaremos el siguiente hecho: supongamos que n >> m, entonces donde ϕ(n, m) n 1 u u u = log(n) log(m). Entonces la probabilidad de que un entero entre 1 y n se factorize sobre B es 1 u u.

5 Algoritmo de Dixon Factorización Recordemos que n es el número que queremos factorizar. Vamos a escoger m para optimizar el tiempo de corrida del algoritmo. Supongamos que n 2 s y que m 2 r, entonces u r s. Dividir un entero de r bits (x 2 mod n en nuestro caso) entre un entero de s bits toma tiempo Factorizar x 2 en la base B cuesta O(r s). O(r s m).

6 Algoritmo de Dixon Factorización El tiempo esperado para encontrar b números x 2 mod n factorizables sobre B es Como b b u n O(rms). m log(m) = O(m s ), por lo que bs m. Tenemos entonces que b u n O(rms) = O(r m 2 u u ) es el tiempo estimado para generar b factorizaciones.

7 Algoritmo de Dixon Factorización Tenemos que el tiempo estimado es de laforma O(r i m j u u ). Recordemos que n 2 r,m 2 s y u r s. Se sigue que, para optimizar el algoritmo tomamos s rlog(r) de donde u = r r s = log(r).

8 Algoritmo de Dixon Factorización Entonces r r log(u u ) = u log(u) = log(r) log( log(r) ) Por lo que r = log(r) 1 (log(r) log(log(r))) 2 < 1 r rlog(r) 2 log(r) log(r) = 2 u u < rlog(r)

9 Algoritmo de Dixon Factorización Por último, como m 2 s 2 rlog(r) = tenemos que O(r i n j u u ) r i j rlog(r) rlog(r) c rlog(r) O(2 ) donde c es una constante.

10 Podemos romper RSA sin factorizar n? Otros ataques 1 Calcular ϕ(n) es equivalente a factorizar n 2 Dado el exponente público b, calcular a, el exponente secreto, es equivalente a factorizar n. 3 Sabemos que el mensaje cifrado tiene el mismo símbolo de Jacobi que el mensaje original. No se sabe si esto pueda servir de algo, pero almenos sabemos que el cifrado revela cierta información acerca del mensaje original.

11 Ataque de Wiener Otros ataques Se basa en el siguiente hecho: Theorem Supongamos que MCD(a, b) = MCD(c, d) = 1 y que a b c d < 1 2d 2 con a,b,c,d Zn. Entonces c d es un convergente de la expansión en fracción continua de a n.

12 Ataque de Wiener Fracciones continuas Sean q 1,...,q n enteros. Definimos [q 1,...,q n ] := q q q 3 + la fracción que se obtiene usando el algoritmo euclideano (sucesión de cocientes). Ejemplo: 34 = = = = = 3 1

13 Ataque de Wiener Fracciones continuas Obtenemos la fracción continua [0,2,1,10,3] = Si [q 1,...,q r ] es una fracción continua entonces llamaremos a [q 1,...,q i ] el convergente i-ésimo. Del ejemplo tenemos los convergentes [0],[0,2],[0,2,1] = ,[0,2,1,10] =,[0,2,1,10,3] = 32 99

14 Ataque de Wiener El ataque Supongamos que n = pq, q < p < 2q y 3a < n 1 4 donde a es el exponente secreto. Tenemos que el número de bits en a es menor que una cuarta parte del número de bits de n aproximadamente. Entonces podemos aproximar a a usando fracciones continuas: Recordemos que ab 1 mod ϕ(n) por lo que ab 1 = t ϕ(n) con t un entero. Tenemos que n ϕ(n) = pq (p 1)(q 1) = p+q 1 < 2q+q 1 < 3q < 3 n

15 Ataque de Wiener recordemos que ab 1 = t ϕ(n) y n ϕ(n) < 3 n Por otro lado b n t a tn = ba = an 1 + tϕ(n) tn = an < 3t n 1 < 3t an a n t(n ϕ(n)) 1 an

16 Ataque de Wiener El ataque Por otro lado Es decir 3t a n < 1 3n 1 4 < 1 3a 2 < 1 2a 2 b n t a < 1 2a 2 Por el Teorema anterior tenemos que t a es un convergente de la expansión en fracción continua de b n. Y b n es conocida.

17