crypt.4.单向函数的陷阱

最新推荐文章于 2023-10-17 14:10:56 发布

szlzeng

最新推荐文章于 2023-10-17 14:10:56 发布

阅读量1.1k

点赞数

分类专栏：密码学基础

密码学基础专栏收录该内容

8 篇文章

订阅专栏

本文探讨了单向函数的概念及其在加密技术中的应用，特别是通过质因数分解问题的复杂性来保障RSA加密系统的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

from：2017 CCF计算机课程改革导教班. 陈道蓄

14

单向函数的陷阱 – 掉下去就出不来了

我们前面一直在讨论一个算法问题如果能较快的解决。用计算机科学家的话说，如果高效地解决问题。找不到能很快计算的方法似乎让人沮丧。本章我们会看到没有有效解法的问题也可能有很大价值。我们希望传递的信息是：坏消息可能反倒很有好处。

从反射镜中看乘法：因子分解

第11章告诉我们两个数相乘可以算得很快，哪怕这两个数非常大，要用许多位数字才能表示。小学中大家就学过计算两个数相乘的简单算法。普通人用纸和笔花几分钟时间就可以计算两个相当大的数的乘积，尽管很乏味还得注意力集中以免出错。对计算机而言，用千分之几秒的时间计算两个几百甚至几千位的数的乘积实在是一件简单之极的事。

图14.1 单向函数

图14.2 怎么才能回去？

我们来考虑一下逆向的问题:将乘积再还原成原来的乘数。大家还记得有些数被称为素数，它们不能分解为更小的乘法因子。素数表中最前面的数包括2,3,5,7,11,13,17,19,23,…。数学家证明任何整数均可表示为唯一的素数乘积的形式。例如：

20,518,260 = 2×2×3×5×7×7×7×997

我们很自然地会想到这样的问题：如果设计一个算法，找到任意整数的素数因子。这就是质因子分解问题。我们能象做乘法那么方便地解决此问题吗，即使数字很大？

最后一位数N能告诉我们该数是否能被2或5整除。累加各位数字也能判定该数是否为3的倍数。但对于只有很大很大的质因子的数，这个问题似乎就没那么简单了。古希腊人知道一个方法：用不大于n的平方根的所有素数逐个试除n，由此找出n的质因子。如果n的十进制表示有100为，大约需要试除8.5×10⁴⁸次。这时间实在难以想象，恐怕在我们宇宙的整个生命期内都算不完。

素数判定问题可以看作质因子分解问题的一个简化的子问题。我们要判定一个给定的数是否为素数，也就是它不可能有更小的质因子。这个问题已有有效算法，不在本章内讨论。可参阅第13章。

1970年三位计算机科学家，Ron Rivest,Adi Shamir和Leonard Adleman发明了RSA密码系统。RSA系统加密的文本可以在不安全的通信环境下发送，例如通过互联网，但仍然可以防止第三方探知文本的内容。今天，RSA系统作为基本网络安全工具广为应用。RSA系统选择两个非常大的素数p,q的乘积N，p和q是保密的。解密的方法与能否知道p,q的值密切相关。

为了显示系统的安全程度，发明者在1977年用129位十进数N加密了一段文本。他们公开了N和密文，欢迎任何人挑战解密。公布的N是：

直到17年后，在1994才开发出了比简单尝试所有的素数是否为因子更聪明的算法。经过8个月在全世界数百台计算机组成的集群上的密集计算，终于发现这两个乘数：

总共执行了1.6×10¹⁷，也就是160万亿次计算机指令。你想知道被加密的文本的内容吗？

The magic words are squeamish ossifrage. （魔咒是“呕吐的鱼鹰”）

单向函数

今天，又过去了许多年。

l 坏消息：用已知最好的算法，在现在甚至近期内可能有的最快的计算机上，哪怕是数千台一起用，对于一个只有很大的质因子的几百位的十进数，我们仍然无法在可接受的时间内(比如100年)找出它的质因子。

l 好消息：既然没有快速的质因子分解算法，那么RSA方法支持的数据加密，例如网上银行使用的口令，就可以认为是绝对安全的。

我们来总结一下：

1，两个数相乘，包括两个素数相乘，可以算得非常快。

2，

而其逆运算，即将一个乘积还原成原来的质因子，计算很困难。至少就目前信息科学与数学能达到的水平是如此。

图14.3 通过密道返回

如何能利用这种情况呢？数学中函数是指将数学对象转化为另外的对象的操作。我们讨论的对象是数或者数的序列。因子分解可以看作乘法的反函数。

如果一种操作很容易执行，而其反函数则很难，这样的函数称为单向函数。单向函数对文本加密很有用。在需要发送文本M时，我们将单向函数用于对文本M加密，用加密后的文本替代原文本发送给对方。根据单向函数的特性，加密很容易，而用其反函数解密则很难计算。这样攻击者就没有机会将密件还原为文本M。

看一个例子。 Alice想向Bob发送信息“Top secret(绝密)”。假设他们只使用大写字母，并用X表示单词之间的空格。用01到26对字母编码。这样文本TOPXSECRET被转换为：

T = 20151624190503180520

一般而言，这个数未必是素数，但总可以在最右边添加几个数字将其改变成素数。就上面的例子，添加13可以得到一个素数：

p = 2015162419050318052013

Alice再选一个更大一些的素数，例如：

q = 567891624050318052137

然后计算它们的乘积：

N = p×q = 11443938509186566743788165964622411801781

Alice可以将N发送给Bob，不必担心泄密。没有人能对N解密得到p并由此还原出T，因为那就意味着可以分解N的质因子。坦白说，这个例子中用的数不大，还不够安全。实际应用中选择的T至少有150位，Alice在T后面再加几位，得到足够大的素数p。

可是，这下Bob也没法解密了。唔… , 用单向函数加密也不是那么简单，还得加点儿窍门。

带秘密信息的单向函数f，技术上称为陷门函数，除前面说的两点外，还有第三个特征:

3. f的反函数在有密钥的条件下很容易计算。

这要求听上去有点奇怪，后面我们将举个日常生活中的例子。

图14.4 在密码通信中使用陷门函数

一个实际例子：查阅电话号码簿

回想若干年前，网上的电子数据库还不存在，查电话号码必须使用纸质的号码簿。如果Alice想给多日未曾联系的老朋友Bob打电话，但不知道Bob现在的电话号码。Alice只须在电话号码簿中找Bob的名字，名字后面列的就是她要的号码。这很简单，也很快，为什么？

第1章介绍过二分搜索。以德国城市吕倍克为例，号码簿上大约有n=250,000项，因为号码簿是按人名的字母顺序排列的，因此最多进行18=log₂n次比较就可以找到Bob。如果号码簿没排序，则需要从头到尾逐个比较每个名字。Bob可能出现在任一位置，因此平均比较次数是所有项数的二分之一。即使对吕倍克这样规模不大的城市，这也是不现实的（如果Alice本来打电话是想请Bob来吃晚饭，说不定到第二天早上号码还没找到呢）。虽然我们不会严格按二分搜索的步骤查电话号码，即使计算机科学家也不会这么做，但我们都能很方便地查到所要的号码，因为我们知道号码簿内容按字母顺序的。