Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 19)

■

Пример 2.

Разделим многочлен f(x) =x⁷+x⁴+x²+1 на g(x) = x³+x+1 с остатком над Z₂[x].

Деление будем производить «в столбик».

_— x⁷+ x⁴+x²+1 │ x³+x+1

x⁷+ x⁵+x⁴ │x⁴+x²+1

_ x⁵ + x²+1

x⁵ +x³+x²

_ x³+ 1

x³+ x +1

x

Итак, f(x) = g(x)( x⁴+x²+1) +x.

В силу справедливости данной теоремы, над кольцом Z_m[x] можно определить теорию делимости и теорию сравнений, как и над Z.

Если существует многочлен h(x): f(x)=h(x)g(x), то говорят, что g(x) делит f(x) и пишут g(x)\f(x).

Если g₁(x) и g₂(x) имеют одинаковые остатки при делении на f(x), то говорят, что g₁(x) и g₂(x) сравнимы по модулю f(x) и пишут g₁(x)≡g₂(x) (mod f(x)).

Свойства, справедливые для сравнений над кольцом целых чисел, справедливы и для сравнений над кольцами многочленов.

3.2. Кольцо многочленов Z_p[x].

Рассмотрим более подробно кольцо многочленов Z_p[x], где p – простое число.

Справедлива

Теорема (о единственности разложения).

, если g(x)≠0, существует единственное разложение g(x)=a·f₁(x)∙f₂(x)∙…∙f_n(x), где, f_i(x) – приведенные неприводимые (не обязательно различные) многочлены над Z_p[x] .

■

При помощи алгоритма Евклида можно вычислить наибольший общий делитель двух многочленов. Справедлив и расширенный алгоритм Евклида для многочленов.

Пример.

Отыщем НОД(x⁵+x²+x+1, x³+x²+x+1) над Z₂[x]. Воспользуемся алгоритмом Евклида:

x⁵+x²+x+1=(x²+x)( x³+x²+x+1)+(x²+1)

x³+x²+x+1=(x+1)(x²+1)+0.

Ответ: НОД(x⁵+x²+x+1, x³+x²+x+1)= x²+1.

3.3. Конечные поля многочленов.

Возьмем в кольце многочленов Z_p[x] некоторый неприводимый многочлен f(x)=a_kx^k + … + a₁x + a₀ и построим полную систему наименьших вычетов по модулю f(x) так же, как строили полную систему наименьших неотрицательных вычетов в Z. В эту систему войдут все многочлены из Z_p[x], чья степень меньше k, а таких ровно p^k штук. Получившееся множество вместе с операциями сложения и умножения полиномов с коэффициентами из Z_p по модулю f(x) обозначим как Z_p[x]\f(x). Эта конструкция будет полем мощности p^k, в котором единичным элементом является 1, а нулевым – 0.

В дальнейшем будем обозначать Z_p[x]\f(x) как GF(p^k) (поле Галуа).

Заметим, что GF(p^α) имеет характеристику p, и GF(p) (то есть Z_p) является подполем GF(p^α) для соответствующего p.

Каждый ненулевой элемент поля обратим, и обратный элемент можно найти с помощью расширенного алгоритма Евклида.

Пример.

Построим в Z₂[x] поле GF(2³)=Z₂[x]\f(x), где f(x)=x³+x²+1 – неприводимый многочлен.

GF(2³)={0, 1, x, x+1, x², x²+1, x²+x, x²+x+1}. Мощность построенного множества составляет 2³=8 элементов.

Продемонстрируем процедуры сложения, умножения многочленов и отыскание обратного элемента в Z₂[x]\f(x) на примере:

(x+1)+(x²+x+1)= x².

(x+1)·(x²+x+1)=(x³+x²+x+x²+x+1) mod f(x) = (x³+1) mod f(x) = x².

Отыщем обратный к (x+1) по модулю f(x):

x³+x²+1=x²(x+1)+1 1=f(x)—x²(x+1) (x+1)^-1=(—1 mod 2) x² =x².

Проверка: x²(x+1)mod f(x)=1. Решение верно.

Поскольку GF(p^α) является конечным полем, то, как известно из алгебры, мультипликативная группа его ненулевых элементов является циклической, а значит в нем существует порождающий элемент. Если многочлен f(x) степени m неприводим, и порождающим элементом мультипликативной группы ненулевых элементов поля Z_p[x]\f(x) является многочлен g(x)=x, то f(x) называют примитивным многочленом.

Например, нетрудно проверить, что многочлены x³+x²+1 и x³+x+1 являются примитивными над Z₂.

Теорема 1

Неприводимый многочлен f(x) из Z_p[x] степени m примитивен f(x)\(x^k—1) для всех k ≥ p^m—1.

Теорема 2

Для любого m≥1 существует φ(p^m—1)/m примитивных многочленов степени m над полем Z_p.

Заметим, что не существует эффективного детерминированного алгоритма нахождения примитивных многочленов. Проще всего генерировать многочлен заданной степени случайным образом и проверять, не является ли он примитивным, например, с помощью критерия Эйзенштейна.

Для конечных полей многочленов, так же как и для Z_p, определено понятие дискретного логарифма.

ГЛАВА 3. Алгоритмы в криптографии и криптоанализе.

§1. Элементы теории сложности.

Главная задача теории сложности – разработка механизмов оценивания объема ресурсов, необходимых для решения той или иной вычислительной задачи. При этом оценки не должны зависеть от конкретной вычислительной реализации, а только от сложности собственно проблемы. Ресурсы, объем которых приходится оценивать, это, как правило, время, память, количество процессоров и т.п., но как правило, основным оцениваемым ресурсом является время и иногда память.

Алгоритмом называют определенный вычислительный процесс, который принимает переменные на входе и возвращает на выходе.

Разумеется, вышеприведенное определение – это интуитивное понятие. Строго алгоритм определяется через такие конструкции как машина Тьюринга, рекурсивные функции или нормальный автомат Маркова. Изоморфизм указанных конструкций доказан теоремами Дятлова, Маркова и Тьюринга. Предположение об эквивалентности интуитивного понятия алгоритма и машины Тьюринга выражается гипотезой Тьюринга, рекурсивных функций – тезисом Чёрча, НАМ – принципом нормальности.

Алгоритм описывает некоторую последовательность действий, выполняемых над данными входа определенного размера с тем, чтобы получить некоторые данные на выходе. Разумеется, время работы алгоритма и объем памяти, необходимой для вычислений, зависят от того, какого размера была информация на входе (действительно, сложить два однозначных числа гораздо проще, чем два десятизначных). Однако данные, поступающие на вход разных алгоритмов, могут иметь разный характер. Это могут быть целые или вещественные числа, логические переменные, строки символов и т.п. Для того, чтобы сравнивать зависимость времени работы от размера входа у разных алгоритмов, вводят следующую формализацию:

Размером входа называют число бит, необходимых для двоичного представления входных данных в соответствующей кодировке.

Иногда для простоты указывают не точное, а приблизительное количество необходимых бит. Например, для представления целого положительного числа n необходимо +1 бит, но обычно это значение заменяется log n.

Временем работы называют количество элементарных операций, которые алгоритм произведет при определенном входе. Для современных алгоритмов, рассчитанных на применение в двоичных вычислительных машинах, элементарной операцией являются битовые операции. Но, учитывая, что в процессе работы алгоритма выполняются миллионы битовых операций, время работы часто измеряют в более сложных операциях, занимающих сравнительно большое время. Это может быть операция умножения чисел, модулярного умножения, сравнения и т.д. Например, время работы алгоритмов, состоящих в основном из операций сложения и умножения, зачастую измеряют в умножениях, так как операция умножения значительно сложнее сложения.

Максимальным временем работы алгоритма называют верхнюю оценку времени работы для всевозможных входов определенного размера. Максимальное время работы алгоритма выражается как функция от размера входа.

Пример.

Рассмотрим алгоритм умножения двух чисел a и b «в столбик», и пусть числа на входе будут двоичными трехзначными.

Очевидно, самое большое время работы получится, если a=b=111:

_× 1 1 1

1 1 1

₊ 1 1 1

₊ 1 1 1

1 1 1___

1 1 0 0 01

В этом случае потребовалось 6 битовых операций сложения, или 2 сложения трехбитовых чисел.

Но при другом входе этот же алгоритм потребует меньшего времени. Например, пусть a=101, b=110. В таком случае

_× 1 0 1

1 1 0

₊ 1 0 1

1 0 1

1 1 1 1 0

Потребовалось всего 2 битовых операции сложения, или одно сложение трехбитовых чисел.

В других случаях количество битовых операций может оказаться иным, но не больше, чем для первого случая. Таким образом, максимальное время работы рассмотренного алгоритма на трехбитовом входе составляет 6 битовых сложений.

В случае, когда длина размер входа составляет r бит, максимальное время работы данного алгоритма составляет (r—1)(r+1) ≈ r² битовых сложений, или, если выражать максимальное время работы как функцию от значения множителей n, log² n.

Поскольку двухключевая криптография использует модулярные вычисления, приведем сложность основных операций в битовых операциях:

(a+b) mod n, (a—b) mod n O(log n);

ab mod n, a^-1 mod n O(log² n);

a^b mod n O(log³ n);

O(log² n).

Средним временем работы алгоритма называется среднее время работы для всех входов одинакового размера и выражается как функция от размера входа.

Для криптографии среднее время работы алгоритма важнее, чем максимальное, так как оно позволяет оценить, каких ресурсов в среднем потребует тот или иной алгоритм для взлома шифрсистемы.

Зачастую время работы алгоритма представляет собой весьма сложную по своему виду функцию, поэтому время работы представляют приблизительно. В примере, приведенном выше, мы приблизили время работы (r—1)(r+1) значением r².

Для исследования алгоритмов важным является не точное время работы, а характер возрастания времени работы в зависимости от размера входа. Как правило, сложность алгоритма исследуется в асимптотике, то есть при размере входа n>n₀ для некоторого n₀, поэтому широко используются такие конструкции как O(g(n)), o(g(n)).

Вычисляя пределы соотношений при n→∞, 0 < є < 1 < c, убедимся, что в асимптотике (для n>n₀ для некоторого n₀) выполняются соотношения:

1 < ln ln n < ln n < exp( ) < n^є < c^{ln n} < n^c < n^{ln n} < cⁿ < nⁿ < .

Характеристики

Список файлов книги