Η παρουσίαση φορτώνεται. Παρακαλείστε να περιμένετε

Η παρουσίαση φορτώνεται. Παρακαλείστε να περιμένετε

Factoring N=(p r )*q for large r. Εισαγωγή Ακέραιοι της μορφής N=(p r )*q Ακέραιοι της μορφής N=(p r )*q Παρατηρήθηκε ότι η RSA decryption γίνεται πιο.

Παρόμοιες παρουσιάσεις


Παρουσίαση με θέμα: "Factoring N=(p r )*q for large r. Εισαγωγή Ακέραιοι της μορφής N=(p r )*q Ακέραιοι της μορφής N=(p r )*q Παρατηρήθηκε ότι η RSA decryption γίνεται πιο."— Μεταγράφημα παρουσίασης:

1 Factoring N=(p r )*q for large r

2 Εισαγωγή Ακέραιοι της μορφής N=(p r )*q Ακέραιοι της μορφής N=(p r )*q Παρατηρήθηκε ότι η RSA decryption γίνεται πιο Παρατηρήθηκε ότι η RSA decryption γίνεται πιο γρήγορα όταν το Ν είναι αυτής της μορφής. Electronic cash scheme για Ν=p 2 q Electronic cash scheme για Ν=p 2 q

3 Δυο λόγια για τη μέθοδο Με τη μέθοδο αυτή Για p,q πρώτους σταθερού μήκους ο N=(p r )*q παραγοντοποιείται ευκολότερα όσο μεγαλώνει το r. Για p,q πρώτους σταθερού μήκους ο N=(p r )*q παραγοντοποιείται ευκολότερα όσο μεγαλώνει το r. Για r=O(logp) o αλγόριθμος παραγοντοποιεί το Ν σε πολυωνυμικό χρόνο. Για r=O(logp) o αλγόριθμος παραγοντοποιεί το Ν σε πολυωνυμικό χρόνο. Για r=O(log 1/2 p) o αλγόριθμος είναι γρηγορότερος από τον ταχύτερο μέχρι στιγμής ECM. Για r=O(log 1/2 p) o αλγόριθμος είναι γρηγορότερος από τον ταχύτερο μέχρι στιγμής ECM.

4 Lattices Έστω u i,i=1,2,…,d γραμμικά ανεξάρτητα διανύσματα που ανήκουν στο Ζ n.Το σύνολο όλων των ακέραιων γραμμικών συνδυασμών των u i λέγεται lattice.Είναι πλήρους βαθμού αν d=n. Έστω u i,i=1,2,…,d γραμμικά ανεξάρτητα διανύσματα που ανήκουν στο Ζ n.Το σύνολο όλων των ακέραιων γραμμικών συνδυασμών των u i λέγεται lattice.Είναι πλήρους βαθμού αν d=n. Ένα πλήρους διάστασης lattice έχει ορίζουσα ίση με την ορίζουσα ενός dxd πίνακα με στήλες τα διανύσματα βάσης u i. Ένα πλήρους διάστασης lattice έχει ορίζουσα ίση με την ορίζουσα ενός dxd πίνακα με στήλες τα διανύσματα βάσης u i. (LLL)Έστω L ένα lattice που παράγεται από τα.Τότε ο αλγόριθμος LLL θα μας δώσει ένα διάνυσμα u τέτοιο ώστε: (LLL)Έστω L ένα lattice που παράγεται από τα.Τότε ο αλγόριθμος LLL θα μας δώσει ένα διάνυσμα u τέτοιο ώστε: ||υ||<=2 d/2 det(L) 1/d ||υ||<=2 d/2 det(L) 1/d

5 Ιστορική αναδρομή Ο Coppersmith έδειξε ότι γνωρίζοντας τα μισά πιο σημαντικά bits του π,δεχόμενοι ότι p και q έχουν το ίδιο μέγεθος,μπορούμε να παραγοντοποιήσουμε τον N=pq σε πολυωνυμικό χρόνο.(θεώρημα επίλυσης διμεταβλητών εξισώσεων στους ακεραίους). Ο Coppersmith έδειξε ότι γνωρίζοντας τα μισά πιο σημαντικά bits του π,δεχόμενοι ότι p και q έχουν το ίδιο μέγεθος,μπορούμε να παραγοντοποιήσουμε τον N=pq σε πολυωνυμικό χρόνο.(θεώρημα επίλυσης διμεταβλητών εξισώσεων στους ακεραίους). Ο Howgrave-Graham έφτασε με διαφορετικό τρόπο στα ίδια αποτελέσματα,με επίλυση εξισώσεων μίας μεταβλητής στους ακεραίους. Ο Howgrave-Graham έφτασε με διαφορετικό τρόπο στα ίδια αποτελέσματα,με επίλυση εξισώσεων μίας μεταβλητής στους ακεραίους. Εμείς χρησιμοποιούμε τη μέθοδο του Howgrave- Graham. Εμείς χρησιμοποιούμε τη μέθοδο του Howgrave- Graham.

6 Το θεώρημα Howgrave-Graham Έστω h(x)=Σ ι α ι χ ι,τότε ||h(x)|| 2 =Σ ι |α ι 2 |. Έστω h(x)=Σ ι α ι χ ι,τότε ||h(x)|| 2 =Σ ι |α ι 2 |. (HG98)Έστω h(x) ανήκει στο Ζ[x] πολυώνυμο βαθμού d.Υποθέτουμε ότι: (HG98)Έστω h(x) ανήκει στο Ζ[x] πολυώνυμο βαθμού d.Υποθέτουμε ότι: a. h(x 0 )=0modp rm για r,m θετικούς ακεραίους και |x 0 |<Χ b. ||h(xΧ)||


7 Η βασική ιδέα Δίνονται: N=(p r )*q N=(p r )*q c,όπου q


8 Σχηματισμός lattice Έστω m,d θετικοί ακέραιοι.Θεωρούμε τα πολυώνυμα: g i,k (x)=N m-k x i f k (x), με k=0,…,m,i>=0. Έστω m,d θετικοί ακέραιοι.Θεωρούμε τα πολυώνυμα: g i,k (x)=N m-k x i f k (x), με k=0,…,m,i>=0. Το lattice L που θα χρησιμοποιήσουμε παράγεται από τα διανύσματα συντελεστών των πολυωνύμων: Το lattice L που θα χρησιμοποιήσουμε παράγεται από τα διανύσματα συντελεστών των πολυωνύμων: 1. g i,k (xΧ) για k=0,…,m-1 και i=0,…,r-1 2. g j,m (xX) για j=0,...,d-mr-1

9 LLL det(L)=det(M)

10 X,m,d Για να εφαρμόσουμε το θ.HG πρέπει ||h(xΧ)||


11 Πολυπλοκότητα exp(n)=2 n exp(n)=2 n Θεώρημα:Έστω N=p r q και q


12 Παρατηρήσεις Όταν c=1 τότε η πολυπλοκότητα είναι της τάξης O(1/r).Έτσι όσο μεγαλύτερο το r,τόσο ευκολότερη η παραγοντοποίηση.Για r=εlogp,ε σταθερά,o αλγόριθμος τρέχει σε πολυωνυμικό χρόνο. Όταν c=1 τότε η πολυπλοκότητα είναι της τάξης O(1/r).Έτσι όσο μεγαλύτερο το r,τόσο ευκολότερη η παραγοντοποίηση.Για r=εlogp,ε σταθερά,o αλγόριθμος τρέχει σε πολυωνυμικό χρόνο. Για μικρό r ή για μεγάλο c o αλγόριθμος τρέχει σε εκθετικό χρόνο. (Πάντως οι περισσότερες εφαρμογές έχουν c=1 ή μικρό).

13 Σύγκριση με άλλες μεθόδους Method Method Lattice Factoring Lattice Factoring Elliptic Curve Elliptic Curve Number Field Sieve Number Field Sieve Asymptotic running time exp((logp) 1-ε ) exp(1.414(logp) 1/2 (loglog p) 1/2 ) exp(1.902(logN) 1/3( loglog N) 2/3

14 Στην πράξη όμως Για μικρούς ακεραίους και οι δύο άλλες μέθοδοι είναι ταχύτερες. Για μικρούς ακεραίους και οι δύο άλλες μέθοδοι είναι ταχύτερες. Όταν ο ακέραιος που θέλουμε να παραγοντοποιήσουμε έχει μέγεθος πάνω από 1000 bits τότε το Number Field Sieve δεν είναι πρακτικό.Όμως το ECM υπερτερεί αισθητά. Όταν ο ακέραιος που θέλουμε να παραγοντοποιήσουμε έχει μέγεθος πάνω από 1000 bits τότε το Number Field Sieve δεν είναι πρακτικό.Όμως το ECM υπερτερεί αισθητά. Αλλά:ο χρόνος του ECM αυξάνει εκθετικά όσο αυξάνεται το μέγεθος του ακεραίου,ενώ του LFM πολυωνυμικά.Εικάζεται ότι το LFM θα είναι ταχύτερο στην πράξη για p,q τουλάχιστον 400 bits και r>=20.(Δηλαδή πολύ μεγάλους ακέραιους) Αλλά:ο χρόνος του ECM αυξάνει εκθετικά όσο αυξάνεται το μέγεθος του ακεραίου,ενώ του LFM πολυωνυμικά.Εικάζεται ότι το LFM θα είναι ταχύτερο στην πράξη για p,q τουλάχιστον 400 bits και r>=20.(Δηλαδή πολύ μεγάλους ακέραιους)

15 Συμπεράσματα Για ακεραίους της μορφής N=p r q το πρόβλημα της παραγοντοποίησης γίνεται πιο εύκολο όσο μεγαλώνει το r,και για ορισμένες τιμές του r λύνεται σε πολυωνυμικό χρόνο.Επομένως οι ακέραιοι αυτοί πρέπει να χρησιμοποιούνται με προσοχή. Για ακεραίους της μορφής N=p r q το πρόβλημα της παραγοντοποίησης γίνεται πιο εύκολο όσο μεγαλώνει το r,και για ορισμένες τιμές του r λύνεται σε πολυωνυμικό χρόνο.Επομένως οι ακέραιοι αυτοί πρέπει να χρησιμοποιούνται με προσοχή. Ο αλγόριθμος δεν είναι ταχύτερος στην πράξη από τον ECM.Μπορεί να γίνει για μεγάλες τιμές των p,q,r. Ο αλγόριθμος δεν είναι ταχύτερος στην πράξη από τον ECM.Μπορεί να γίνει για μεγάλες τιμές των p,q,r. Μειονέκτημα του αλγόριθμου:Για κάθε προσέγγιση P του p πρέπει να ξανατρέξουμε τον LLL.Εάν δεν δίνεται η προσέγγιση πρέπει να την βρούμε ψάχνοντας εξαντλητικά. Μειονέκτημα του αλγόριθμου:Για κάθε προσέγγιση P του p πρέπει να ξανατρέξουμε τον LLL.Εάν δεν δίνεται η προσέγγιση πρέπει να την βρούμε ψάχνοντας εξαντλητικά. Ανοικτό πρόβλημα:Γενίκευση αλγορίθμου για ακεραίους της μορφής N=p r q s. Ανοικτό πρόβλημα:Γενίκευση αλγορίθμου για ακεραίους της μορφής N=p r q s.


Κατέβασμα ppt "Factoring N=(p r )*q for large r. Εισαγωγή Ακέραιοι της μορφής N=(p r )*q Ακέραιοι της μορφής N=(p r )*q Παρατηρήθηκε ότι η RSA decryption γίνεται πιο."

Παρόμοιες παρουσιάσεις


Διαφημίσεις Google