Avances en la factorización entera

Transcripción

1 Avances en la factorización entera Hugo D.Scolnik DISI 2007 con la colaboración de : Martín P.Degrati (tesista de doctorado) Julia Picabea (tesista de licenciatura en Matemática) Juan Pedro Hecht (investigador)

2 Departamento de Computación Facultad de Ciencias Exactas y Naturales Universidad de Buenos Aires Argentina

3 Hoy en día todavía se ignora si el problema de descomponer a un entero en sus factores primos tiene complejidad subexponencial o polinomial (usando computadoras normales, dejaremos las cuánticas para otro momento) Aparte del interés teórico, existe uno muy práctico: si se pudiese factorizar enteros grandes entonces se quebrarían las firmas digitales hechas con el algoritmo más popular (RSA) Veamos la razón:

4 El algoritmo RSA: Seleccionar al azar dos números primos de gran longitud. Calcular n =pq Elegir un entero impar e primo relativo con (n) = (p 1)(q 1) Calcular d tal que e.d (mod (n)) = 1 (d existe y es único). Publicar el par P = (e,n) que es la clave pública del método RSA. Mantener en secreto el par S = (d,n) que es la clave privada del método RSA. Para encriptar un mensaje M con la clave privada se calcula S(M) = M d (mod n) y para desencriptarlo, P(S(M)) = (S(M)) c (mod n) = M (si se factoriza n se obtienen p,q, de ahí (n) = (p 1)(q 1), y al resolver e.d (mod (n)) = 1, se obtiene la clave privada a partir de la pública)

5 La empresa RSA Data Security publica diversos desafíos conocidos como RSAm (donde m indica la longitud en bits del número). El logro más reciente es el RSA640 = Cuyos factores son:

6 Uno fundamental pues ese tamaño es un estándar RSA1024 =

7 Recordemos algunas definiciones Los enteros módulo n se denotan por Z = 0,1,..., n 1 { } * El grupo multiplicativo de Zn es Zn = a Zn /MCD( a, n) = 1 Decimos que si existe x tal que x a( n) * n { } a Z, es un residuo cuadrático módulo n Al conjunto de todos los residuos cuadráticos módulo n se lo denota por Q. Notar que 0 Q pero como lo necesitaremos, definimos RoS n = Q n 0 n { } n n

8 Veamos el cálculo de residuos en forma eficiente

9 El clásico método de Fermat Sea n = p. q el número a factorizar. p q p + q x = = entonces 2 Si (( ), y (( ) son enteros n + x = y p = MCD n x y q = MCD n x + y representación n x y y esto sól (,( )), (, ) La idea del viejo método de Fermat es lograr una + = o funciona si los factores primos están próximos.

10 Ejemplo: N = 2581 que se puede escribir como 2581 = = (59+30)(59-30) = = Pero en general es casi imposible conseguir una representación así. Por ese motivo un matemático ruso, Maurice Kraitchik, planteó buscar congruencias 2 x y 2 ( n) i i

11 Los métodos modernos más eficientes (quadratic sieve, number field sieve) tienen su origen en estas ideas, pero conducen a resolver sistemas de ecuaciones módulo 2 de millones de incógnitas. Se considera que han llegado a su límite.

12 Pretendemos mirar al método de Fermat desde otro punto de vista. Mi idea surgió del problema de decidir cuando un entero k es un cuadrado perfecto SIN calcular su raíz cuadrada. El enfoque actual (ver por ejemplo GNU) es calcular k(m) para valores elegidos de m y ver si se obtiene un valor en RoS m Ejemplo: k = 52. Como k(7)=3 y RoS(7) = {0,1,2,4} entonces 52 no es un cuadrado perfecto. Tampoco k = 53 es un cuadrado pero 53(7) = 4 y entonces m=7 no filtra ese caso. Pero RoS(5) = {0,1,4} y 53(5) = 3

13 Veamos la idea central: Sea por ejemplo n = y tomemos m = 9 RoS 9 = 0,1,4,7 y como (9) = 8 resulta que { } ( )(9) (9) n + x = y 2 8 0,1,4,7 (9) + = { } y El único valor que da un elemento de RoS es 1 y por lo tanto resulta que x (9) = 1 x = 1+ 9t (realmente y entonces 1 9 con 7112) x = x = + t t = 9

14 Más formalmente la idea es: Para cualquier valor de m debe cumplirse que x ( m) ROS pero de n + x = y resulta que debe ser 2 m ( n + x )( m) ROSm para obtener un cuadrado perfecto ( y ). Esto conduce a la siguiente definición: Dado n diremos que a ROS es un target para c sí y sólo si ( n + a)( c) ROS Nota: si n es par pero n(4) 0 los targets no existen. Hemos demostrado que ciertos valores de m SIEMPRE dan targets ÚNICOS para n = pq m c

15 Otro ejemplo: n= 2851 RoS(4) = {0,1}, n(4)=1 (n + x 2 )(4) = (1 + {0,1})(4) o sea que x 2 (4) =0 es el único valor posible. De hecho era x 2 =900 o sea que x 2 (4) =0

16 Nota: si x a( c) x = a + c. t para un cierto valor de t y = + = + si b ( n x )( c) ROSc y b c. u para un cierto valor de u resulta que n + a b n + a + c. t = b + c. u = = u t c La idea clave es usar a este último número n como el nuevo número n a factorizar

17 Ejemplo: , , n = x = y = Algunos targets únicos: (1,0,4),(9,4,24),...,(9,36,80) El último nos dice que 2 x t t = = ( = ) = = ( = ) 2 y u u = + = + x t, y u n + a b and 1 = = = c Notar que =

18 Veamos el cálculo de targets únicos para algunos ejemplos

19 Un ejemplo más grande (RSA640): Algunos targets únicos: x = t y = + u x 2 = , pero

20 Es claro que todavía los targets no ayudan en forma sensible porque calcular t es un problema exponencial El próximo paso da algo mejor x 2 = t 1 Pero todavía no alcanza

21 RSA

22 Algunos targets únicos para RSA1024 ( 57, 4, 96) ( 81, 4, 120) ( 9, 100, 144) ( 121, 4, 160) ( 81, 64, 180) ( 201, 4, 240) ( 153, 100, 288) ( 81, 244, 360) ( 441, 4, 480) ( 441, 244, 720) ( 441, 964, 1440)

23 Una conclusión: rsa (24z + 3) = (36u + 10)

24 Volvamos al ejemplo: n = x = y = a b c Delta = (n+a-b)/c

25 Comenzando con (649,576,720) y delta =705, la siguiente iteración conduce a x = u que da x con u = 2 Entonces queda claro que hay que iterar

26 Sea ( a, b, c ) un target único Calculamos = 2 x = a1 + c1a 2 + c1c 2t2 2 y = b1 + c1b 2 + c1c 2u2 1 n + a b y, si es impar, un target único ( a, b, c ) 1 c Un poco de álgebra indica como fórmulas posibles: que a veces funcionan y a veces no (luego veremos como "filtrarlas" ó "corregirlas")

27 Tn( 649, 576, 720): D = 705 TD( 0, 1, 4): (aa, bb, cc) = ( 649, 1296, 2880) -> OK <-. TD( 0, 1, 8): (aa, bb, cc) = ( 649, 1296, 5760) -> OK <-. TD( 0, 1, 16): (aa, bb, cc) = ( 649, 1296, 11520). Las fórmulas anteriores dieron bien en los dos primeros casos pero no en el último. Lo correcto sería ( ,11520). Ahora, = 5760 = = 8.720=8.c 1 Esto no es casualidad, es un teorema

28 Filtros: Tn( 169, 96, 240): D = 2115 TD( 1, 0, 4): (aa, bb, cc) = ( 409, 96, 960) F2 F3b F6. TD( 1, 4, 8): (aa, bb, cc) = ( 409, 1056, 1920) F2 F3b F6. TD( 1, 4, 16): (aa, bb, cc) = ( 409, 1056, 3840) F2 F3b F6. TD( 1, 4, 32): (aa, bb, cc) = ( 409, 1056, 7680) F2 F3b F6. Los filtros eliminaron todos los casos, pero son corregibles. Por ejemplo, el último debería ser (2569, 3216,7680) Nuevamente si planteamos que x = δ + c c t δ = = 2160 = = λ c x x 1 Luego veremos que esto se deduce x 1 2

29 Caso simétrico: cuando tiene targets que también lo eran del nivel anterior (1) x = a + c a + δ + c c t = a + c t = a + c t x (TU del primer paso). Por lo tanto x a ( c ), x a ( c ) 1 1 (2) δ 0 ( c ) δ = λ c 2 x 1 x x 1 (3) δ ( a a c a )( c ) δ = a a c a + c µ 2 x x x

30 (4) x (5) δ 0 ( c ) δ = λ c x 2 x x 2 (6) δ ( a a c a )( c ) δ = a a c a + c µ (7) x x x y (8) δ 0 ( c ) δ = λ c (9) x = a + c a + δ + c c t = a + c t y = b + c b + δ + c c u = b + c u = b + c u 2 y 1 y y 1 δ = ( b b c b )( c ) δ = b b c b + c µ 2 y y y

31 (10) y = b + c b + δ + c c u = b + c u y (11) δ 0 ( c ) δ = λ c y 2 y y 2 (12) δ = ( b b c b )( c ) δ = b b c b + c µ y y y

32 A partir de n x y, usando (1),(3),(7) y (9) resulta n + x = n + a + c a + a a c a + c µ + c c t = x 1 b + c b + b b c b + c µ + c c u y 1 obteniendo n + a b (13) + µ x µ y = c1( u2 t2 ) c2 n + a b + µ x µ y c2 análogamente + = 0 ( c ) 1

33 n + a b µ µ (14) + x y = c2( u2 t2) c1 n + a b µ x µ y c1 0 ( c ) 2 De (2) y (3) λ c + a a + c a (15) µ (diofántica lineal) 2 2 x x = c2

34 Similarmente (16) µ 2 (17) µ y = (18) µ = 1 1 x x = c1 1 y λ c + a a + c a λ c + b b + c b 2 y 1 y c λ c + b b + c b c 1

35 También se obtiene: (19) a + c µ a + c µ ( c c ) x x 1 2 (20) b + c µ b + c µ ( c c ) y y 1 2

36 Ejemplo: (49,96,120), (1,0,9) 1 resolviendo la ecuación µ y = resulta µ = z, λ = z 1 1 y y 1 Con z 0 µ y 512 δ 1 y = = = ( 512) = λ c + b b + c b 1 y y = u cierto con u = c 1

37 Tareas futuras Todavía falta, tenemos filtros casi perfectos pero todavía no alcanzan pues si se siguen ramas equivocadas Hay varias ideas que están en desarrollo.

38 Finalizado el tiempo disponible

39 Aquí terminamos Muchas gracias!

40