RSA算法的数学理论基础

单向函数

定义1：令函数f是集合A到集合B的映射，以f ：A →B表示。若对任意 $x_1\neq x_2,x_1,x_2\in A$ ，则称f为一对一映射，或者称为可逆函数。
定义2：一个可逆函数f，若它满足:
1.对所有 $x\in A$ ，易于计算f(x);
2.对“几乎所有” $x\in A$ ，由f(x)求x“极为困难”，以至于实际上不可能做到，则称之为单向函数(One-way function)。
公钥加密系统全部建立在某种单向函数的基础之上，上述定义中的“极为困难”是对现有计算机能力和算法而言的。目前，还没有人能够从理论上证明单向函数是存在的，但是这些函数很有可能会被未来的密码分析者破解。

同余及模运算

同余：如果两个整数a和b，它们除以整数m所得的余数相等，则称a与b对于模m同余或者a同余于b模m，记作a≡b(mod m)。
模运算：模运算在数学理论或者程序编写中都有着十分广泛的应用，判别一个数的奇偶问题、从模的幂计算到求解最大公约数问题、从中国剩余定理到凯撒密码问题…在这些数学理论中似乎到处都能看到模运算的身影，模运算与基本的四则运算有些相似，但是模n除法比传统的除法要有一些技巧，通常的法则是：在 $g c d (a, n) = 1$ 的情况下用 $a(mod\ n)$ 去除。

例1
加减乘运算与基本的四则运算相似
解 $x+7≡3(mod\ 17)$
$x≡3-7≡-4≡13(mod\ 17)$

在进行除法运算的时候，应非常小心
设整数 $a,b,c,n(n\neq 0)$ 且 $g c d (a, n) = 1$ 如果 $ab≡ac(mod\ n)$ ，那么 $b≡c(mod\ n)$ ；换句话说，如果a和n是互素的，我们可以在同余式两边同除以a。

例2
解 $2x+7≡3(mod\ 17)$
$2x≡3-7≡-4(mod\ 17)$ 于是有 $x≡-2≡15(mod\ 17)$ 。因为 $g c d (2, 17) = 1$ ，所以能够在同余式两边同除以2。

例3
解 $5x+6≡13(mod\ 11)$
$5x≡13-6≡7(mod\ 11)$ 此时虽然有 $g c d (5, 11) = 1$ ，但是同余式右边不能够被5整除
注意到 $7≡18≡29≡40≡\cdots (mod\ 11)$ ，因此可以转换为 $5x≡40(mod\ 11)$ -->可以得到结果 $x≡8(mod\ 11)$

素数、合数与互素数

素数与合数

一个大于1的自然数，除了1和它本身外，不能被其他自然数整除，那么这个数就称为素数，否则称为合数。每个合数都可以写成几个素数相乘的形式。
在众多求素数的方法中，埃拉托斯特尼筛法求素数是一种效率较高的方法。它的基本思想是：素数的倍数一定是合数。

互素数

如果存在两个非0的自然数a和b，若它们的最大的公约数是1，则称它们两个为互质数。
当三个或三个以上自然数互质时会出现两种不同的情况：
①它们之间两两互质，例如2，3，5
②它们之间不是两两互质，例如6，8，9。

判别互素数的方法有很多种，例如：
①两个素数一定是互素数。例如，2和13。
②一个素数如果不能整除另一个合数，这两个数为互质数。例如，29和4。
③1既不是素数也不是合数，所以它和任何一个自然数组合在一起都是互素数。例如1和72。
④相邻的两个自然数是互质数。例如15与16。
⑤相邻的两个奇数是互质数。例如17与19。
⑥大数是素数的两个数是互质数。例如97与88。
⑦小数是素数，大数不是小数的倍数，此时两个数是互质数。例如7和16。
⑧两个数都是合数（二数差又较大），小数所有的质因数，都不是大数的约数，这两个数是互质数。例如357与715。
⑨两个数都是合数（二数差又较小），这两个数的差的所有质因数都不是小数的约数，这两个数是互质数。例如462与221。
⑩2和任何奇数是互素数。例如2和43。

费马小定理

①如果a是一个整数，p是一个质数，若此时满足 $a^p-a)$ 是a的倍数，则 $a^p≡a(mod\ p)$

例4
令a=2，p=7
$a^p-a)=(2^7-2)=2^6$ 是2的倍数
因此 $a^p≡a(mod\ p)$ --> $2^7≡2(mod\ 7)$

②如果a是一个整数，p是一个质数，若此时a不是p的倍数，则 $a^{p-1}≡1(mod\ p)$

例5
令a=3，p=5
此时3不是5的倍数
因此 $a^{p-1}≡1(mod\ p)$ --> $3^{5-1}≡1(mod\ 5)$ 即 $81≡1(mod\ 5)$

欧拉函数与欧拉定理

欧拉函数

在数论中，对于正整数n，欧拉函数φ(n)是小于或等于n的正整数中与n互质的数的个数。
通式： $φ(n)=n\prod_{i=1}^{n}(1-\frac{1}{p_i} )$ (其中 $p_1,p_2⋯p_n$ 为n的所有质因数，n是不为0的整数)
特殊性质：当n为质数时， $φ (n) = n - 1$
由于欧拉函数是积性函数，所以如果存在两个正整数m，n，当m与n互质时，则 $φ(m\cdot n)=φ(m)\cdot φ(n)=(m-1)\cdot(n-1)$

例6
令n=120，此时120的因数有1、2、3、4、5、6、8、10、12、15、20、24、30、40、60、120，共16个。
但其中只有2、3、5是质数，因此 $φ(120)=120\cdot (1-\frac{1}{2})\cdot (1-\frac{1}{3})\cdot (1-\frac{1}{5})=32$

例7
令n=10，此时n可分解为两个不同的素数的乘积，即2×5。此时有 $φ(2\cdot 5)=φ(2)\cdot φ(5)=(2-1)\cdot(5-1)=4$

欧拉定理

如果两个正整数a和n互质，则 $a^{φ(n)}≡1(mod\ n)$
欧拉定理的推论：若正整数a，n互质，那么对于任意正整数b，有 $a^b≡a^{b(mod\ φ(n))} (mod\ n)$

例8
令a=3，n=7，此时a和n互质。由于n是质数， $φ (7) = 7 - 1 = 6$
$a^{φ(n)}≡1(mod\ n)$ --> $3^{φ(7)}≡1(mod\ 7)$ 即 $729≡1(mod\ 7)$

例9
接例5中的数据，令b=13。则 $a^b≡a^{b(mod\ φ(n))} (mod\ n)$ --> $3^{13}≡3^{13(mod\ 6)} (mod\ 7)$ 即 $3^{13}≡3 (mod\ 7)$

贝祖定理与欧几里得算法

贝祖定理

如果a、b是整数，那么一定存在整数x、y使得 $a x + b y = g c d (a, b)$ 。换句话说，如果 $a x + b y = m$ 有解，那么m一定是 $g c d (a, b)$ 的若干倍。因此可以通过这种方法来判断一个式子是否有解。但通常情况下我们并不仅仅想要知道有没有解，而是想要知道在有解的情况下这个解到底是多少。于是我们需要用到扩展欧几里得算法对这个式子进行求解。

欧几里得算法

欧几里得算法又称为辗转相除法，用于计算a和b这两个整数的最大公约数。
定理： $gcd⁡(a,b)=gcd⁡(b,a(mod\ b))$

例10
求解482和1180的最大公约数gcd(482,1180)
1180=2×482+216
482=2×216+50
216=4×50+16
50=3×16+2
16=8×2+0
当最后一个式子余数为0时结束计算，则gcd(482,1180)=2

欧几里得算法有以下两个重要的方面：
1.它不需要因式分解；
2.速度快。

欧几里得扩展算法

扩展欧几里得算法是欧几里得算法的扩展，它不仅能计算a和b这两个整数的最大公约数，还能找到整数x、y（其中一个很可能是负数），使得 $a x + b y = g c d (a, b)$ 。
特别的，当 $g c d (a, b) = 1$ 时，即a与b互质，则等式 $a x + b y = 1$ 中的解x是a模b的乘法逆元，即 $ax=1(mod\ b)$ ；解y是b模a的乘法逆元，即 $bx=1(mod\ a)$ 。
原理：令 $gcd(a,b)=ax_1+by_1，gcd(b,a(mod\ b))=bx_2+(a(mod\ b))y_2$ 。
根据欧几里得 $gcd⁡(a,b)=gcd⁡(b,a(mod\ b))$ ，则 $ax_1+by_1=bx_2+(a(mod\ b))y_2$ 。
由于 $a(mod\ b)=a-[\frac{a}{b}]\cdot b$ ，有 $ax_1+by_1=bx_2+(a-[\frac{a}{b}]\cdot b) y_2$ 。
变形为 $ax_1+by_1=ay_2+b(x_2-[\frac{a}{b}]\cdot y_2 )$ (其中“[ ]”表示取整函数)
根据多项式恒等定理有： $x_1=y_2，y_1=x_2-[\frac{a}{b}]\cdot y_2$ 。
可以看出， $x_1，y_1$ 的值由 $x_2，y_2$ 求出，这种求解思想称之为递归。
此时一定会存在b=0，使整个递归算法结束。

例11
求整数x和y，使得101x+3427y=gcd(101,3427)
(此时101与3427互质，gcd(101,3427)=1，即求解101x+3427y=1)
3427=33×101+94
101=1×94+7
94=13×7+3
7=2×3+1
当最后一个式子余数为1时结束计算，然后开始倒推
1=7-2×3
3=94-13×7
7=101-1×94
94=3427-33×101
有1=7-2×3=7-2×(94-13×7)=(101-1×94)-2×[94-13×(101-1×94)]=101-1×(3427-33×101)-2×{(3427-33×101)-13×[101-1×(3427-33×101)]}=984×101-29×3427
解得x=984，y=-29

例12
接例7的数据，求整数x和y，使得482x+1180y=gcd(482,1180)
(此时482与1180不互质，根据例7中的计算结果，gcd(482,1180)=2，即求解482x+1180y=2)
2=50-3×16
16=216-4×50
50=482-2×216
216=1180-2×482
有2=50-3×16=50-3×(216-4×50)=(482-2×216)-3×[(1180-2×482)-4×(482-2×216)]=[482-2×(1180-2×482)]-3×{(1180-2×482)-4×[482-2×(1180-2×482)]}=71×482-29×1180
解得x=71，y=-29

模反元素及其求法

如果两个正整数a和n互质，则一定存在整数b，使得ab被n除的余数是1，即满足 $a b \equiv 1 (m o d n)$ 。这时，b就叫做“a对于n的模反元素”。
求解模反元素可用费马小定理或者扩展欧几里得算法。
①费马小定理求解：
条件：a是一个整数，p是一个质数，且a不是p的倍数。
$a^{p-1}≡1(mod\ p)$ --> $a\cdot a^{p-2}≡1(mod\ p)$ ，即a的模反元素为 $a^{p-2}$

例13
接例2中的数据
$3^{5-1}=3\cdot 3^{5-2}≡1(mod\ 5)$ ，即3的模反元素为27

②扩展欧几里得算法求解：
$a b \equiv 1 (m o d n)$ 等价于 $a x + n y = 1$ ，用扩展欧几里得算法求得一组解，当求得的解为负数时，通过计算 $(b+n)mod\ n$ 可以将它转换为整数。

中国剩余定理

线性方程同余组 $\begin{cases} x≡a_1(mod\ m_1)\\ x≡a_2(mod\ m_2)\\ \ \ \ \ \ \ \ \ \ \ \vdots \\x≡a_n(mod\ m_n) \end{cases}$
假设整数 $m_1,m_2,\cdots,m_n$ 两两互质，则对任意的整数： $a_1,a_2,\cdots,a_n$ ，方程组(S)有解，并且通式可以用以下方式构造得到：

设 $M=m_1× m_2×\cdots×m_n=\prod_{i=1}^{n}m_i$ 是整数 $m_1,m_2,\cdots,m_n$ 的乘积，并设 $M_i=\frac{M}{m_i}$ ,∀i∈{1,2,⋯,n}是除了 $m_i$ 以外的n-1个整数的乘积。
1. 设 $t_i=M_i^{−1}$ 为 $M_i$ 模 $m_i$ 的数论倒数 $t_i为N_i模m_i意义下的逆元）$
  $M_i\cdot t_i≡1(mod\ m_i )$ ,∀i∈{1,2,⋯,n}。
方程组(S)的通解形式为 $x=a_1\cdot t_1\cdot M_1+a_2\cdot t_2\cdot M_2+\cdots+a_n\cdot t_n \cdot M_n+kM=kM+\sum_{i=1}^na_it_iM_i$ ，在模M的意义下，方程组(S)只有一个解： $x=(\sum_{i=1}^na_it_iM_i)mod\ M$

例14
在中国古代著名数学著作《孙子算经》中，有一道题目叫做“物不知数"，原文如下: 有物不知其数，三三数之剩二，五五数之剩三，七七数之剩二。问物几何? 即，一个整数除以三余二，除以五余三，除以七余二，求这个整数。
中国数学家秦九韶于1247年做出了完整的解答，口诀如下: 三人同行七十希，五树梅花廿一支，七子团圆正半月，除百零五使得知。
使用中国剩余定理来求解上面的“物不知数”问题，便可以理解口诀中的数字含义。
线性方程同余组 $\begin{cases} x≡2(mod\ 3)\\ x≡3(mod\ 5)\\x≡2(mod\ 7) \end{cases}$
其中 $a_1=2，a_2=3，a_3=2，m_1=3，m_2=5，m_3=7$

$M=\prod_{i=1}^nm_i =3×5×7=105$
由 $M_i=\frac{M}{m_i}$ 分别求得 $M_1=\frac{105}{3}=35，M_2=\frac{105}{5}=21 ，M_3=\frac{105}{7}=15$

由 $M_i\cdot t_i≡1(mod\ m_i )$ 分别求得 $t_1=2，t_2=1，t_3=1$

方程组(S)的通解形式为 $x=kM+\sum_{i=1}^na_it_i M_i=k\cdot 105+233,k∈Z$
当k取值为-2时，有最小正整数解 x=23

RSA算法的数学基础