30、现代密码学：整数分解与RSA加密的安全性分析

现代密码学：整数分解与RSA加密的安全性分析

1. 整数分解问题概述

整数分解问题（IF Problem）在密码学中占据着关键地位，尤其是与RSA问题紧密相关。RSA问题的难度在很大程度上依赖于整数分解问题的难度。

1.1 整数分解问题定义

整数分解问题的输入是一个奇数合数 $N$，该合数至少有两个不同的质因数。输出则是一个能整除 $N$ 的质数 $p$。不过，只有在参数选择恰当的情况下，整数分解问题才具有较高的难度。

1.2 整数分解假设

整数分解假设（IF Assumption）指出，存在一个概率多项式时间（PPT）算法作为整数分解器，在满足一定优势条件下，对特定输入进行分解。这里的输入由整数实例生成器产生，该生成器在输入 $1^k$ 时，能在多项式时间内运行，并输出一个 $2k$ 位的模数 $N = pq$，其中 $p$ 和 $q$ 是 $k$ 位的均匀随机奇质数。若对于足够大的 $k$，不存在具有非可忽略优势的整数分解器对该生成器输出的 $N$ 进行分解，则称该生成器满足整数分解假设。

1.3 整数分解与RSA问题的关系

显然，若能解决整数分解问题，就能解决RSA问题。因为在RSA解密过程中，需要先计算 $d \equiv e^{-1} \pmod{(p - 1)(q - 1)}$，这依赖于对 $N$ 的质因数分解。但反之，即RSA假设不成立时，整数分解假设是否仍然成立，仍是一个待解的问题。

1.4 弱情况下的整数分解

类似于光滑质数会使离散对数问题（DL问题）变得容易，当 $N$ 存在光滑质因数时，整数分解问题也会变弱。Pollard提