Fattorizzazione e Test di Primalità con Curve Ellittiche

Transcript

1 UNIVERSITÁ DEGLI STUDI ROMA TRE FACOLTÁ DI SCIENZE MATEMATICHE, FISICHE E NATURALI DIPARTIMENTO DI MATEMATICA Fattorizzazione e Test di Primalità con Curve Ellittiche TESI DI LAUREA SPECIALISTICA IN MATEMATICA Laureando: Gabriele Pulvano Relatore: Prof. Francesco Pappalardi Anno Accademico

2 Introduzione Il problema della fattorizzazione di un numero intero è un problema che ha sempre affascinato i matematici di ogni epoca, da Eratostene (III sec. a.c.) a Fermat ( ) ed Eulero ( ), fino ai nostri giorni. Fattorizzare un intero significa non soltanto partizionarlo come prodotto di altri numeri interi minori (in questo caso la partizione non sarebbe unica), ma scomporlo nei suoi fattori primi. Il Teorema Fondamentale dell Aritmetica in questo caso ci assicura l esistenza e l unicità della scomposizione: Un intero n 2 o è primo o potenza di un primo, o si può rappresentare in modo unico (a meno dell ordine) come prodotto di primi o potenze di primi distinti. Saper ridurre un numero intero in fattori primi è essenziale se si lavora nella teoria dei numeri, ma non solo. Per esempio, capire quando un intero n è esprimibile come somma di due quadrati, calcolare l ordine del gruppo moltiplicativo delle unità di Z/nZ, o trovare un espressione per una certa funzione aritmetica, sono problematiche facilmente risolvibili non appena si conosca la fattorizzazione in primi di n. Con numero composto intenderemo un numero intero non primo, che è cioè la potenza di un primo oppure il prodotto di potenze di almeno due primi. Un processo di fattorizzazione di un dato intero è costituito da due passi principali. In primo luogo occorre stabilire se il numero è primo o composto, e lo si fa applicando ad esso un test di primalità. Una volta stabilito che il numero dato è composto, occorre trovare un suo fattore non banale tramite un algoritmo di fattorizzazione. Una completa decomposizione in fattori primi è ottenuta applicando ricorsivamente questi due algoritmi. Da qualche decennio la considerazione verso il problema della primalità e della fattorizzazione è decisamente aumentata, da un lato grazie all utilizzo di strumenti matematici sempre più sofisticati rispetto a quelli usati precedentemente, come ad esempio le curve ellittiche, dall altro grazie alla possibilità, sempre più realizzata, di applicare la teoria dei numeri non solo in altri campi della matematica, ma anche in ambiti pratici. Si pensi all importanza della iv

3 v fattorizzazione nel campo della crittografia. Molti dei crittosistemi a chiave pubblica basano la loro sicurezza sulla difficoltà matematica di fattorizzare un numero intero. Uno tra tutti è il crittosistema RSA (il cui nome è dovuto ai suoi ideatori Rivest, Shamir e Adleman), che usa una chiave pubblica n, costruita come prodotto di due primi p e q. Molti test di primalità hanno le loro radici nel Piccolo Teorema di Fermat che afferma che se un numero intero n è primo allora: a n 1 1 (mod n), a Z t.c. (a, n) = 1. Consideriamo il Teorema di Fermat come un test di primalità. Un numero primo passerebbe sicuramente il test mentre, se un intero non passasse il test, questo sarebbe sicuramente composto. Tuttavia esistono particolari numeri, detti pseudoprimi, che passerebbero questo test per qualche valore di a, pur non essendo primi. Dato un intero n, si potrebbe allora applicare ad esso il test un certo numero di volte, per diversi valori di a: se prima o poi il test fallisce, n è sicuramente non primo. D altra parte, più test supera n, maggiore è la probabilità che questo sia primo. Un test di primalità di questo tipo è un test probabilistico. In generale si dice probabilistico un algoritmo che utilizza numeri generati casualmente. Si distinguono due categorie di test probabilistici: i test di tipo Monte Carlo e quelli di tipo Las Vegas. Il primo tipo produce sempre una risposta: essa è certamente corretta nel caso in cui n sia composto, mentre potrebbe essere affetta da un minimo errore quando afferma che n sia primo. Il secondo tipo invece potrebbe non produrre alcuna risposta. Tuttavia, se una risposta ci fosse, questa sarebbe certamente corretta. Un test deterministico è un test che produce sempre una risposta. Essa è certamente corretta, ed è ottenuta deterministicamente a partire dall input in un numero finito di passi. Di solito, i test probabilistici hanno complessità computazionale inferiore a quella dei test deterministici. Per questo motivo in generale si preferisce l utilizzo di un test probabilistico, a patto che la probabilità di errore o di fallimento sia opportunamente bassa. Un test di primalità è considerato più semplice di un algoritmo di fattorizzazione. Il più grande intero attualmente fattorizzato (12 Dicembre 2009) è RSA-768, un numero di 232 cifre decimali, mentre già nel 2006 è stata provata la primalità di , di milioni di cifre decimali. La difficoltà nei test di primalità non è tanto produrre un responso ( primo o composto ), bensì provarne la correttezza, ad esempio provare che n sia un numero primo. Per questo motivo si parla di certificato di primalità associato al test. Sebbene un test di primalità possa decidere che n sia composto, esso in questo caso non produce i fattori di n. La difficoltà in un algoritmo di fattorizzazione, al contrario, è quella di produrre un risposta al problema (ovvero fattori non

4 vi banali di n); verificarne la correttezza moltiplicando tra loro i fattori risulta chiaramente banale. Le curve ellittiche rappresentano eleganti oggetti matematici, iniziati a studiare intorno alla metà del diciannovesimo secolo, le cui applicazioni riguardano una gran molteplicità di campi come l algebra, la geometria, la teoria dei numeri e recentemente anche l informatica. Il ruolo più importante in questi ultimi anni è sicuramente quello che le curve ellittiche hanno avuto nella dimostrazione dell Ultimo Teorema di Fermat, avvenuta nel 1994 da parte di Andrew Wiles. Egli in particolare dimostrò la congettura di Taniyama-Shimura, che ipotizzava l esistenza di un legame tra le curve ellittiche e particolari funzioni periodiche, dette forme modulari. Negli anni addietro Frey e Ribet dimostrarono che la veridicità della congettura di Taniyama-Shimura avrebbe implicato la dimostrazione dell Ultimo Teorema di Fermat. La teoria delle curve ellittiche ha inoltre recentemente reso possibile l invenzione di un nuovo tipo di crittografia. Parte dei moderni crittosistemi infatti sono basati sull uso delle curve ellittiche. Il vantaggio consiste nell offrire un livello di sicurezza molto più elevato rispetto ai classici crittosistemi a parità del numero di bit utilizzati per le chiavi del sistema. Ad esempio, un crittosistema RSA con chiave a 1024 bit offrirebbe pressappoco lo stesso livello di sicurezza di un crittosistema basato sulle curve ellittiche con chiave a 160 bit. E chiaro che un tale sistema crittografico risulti più adatto ai moderni dispositivi portatili, come ad esempio telefoni cellulari o computer palmari, i cui processori non sono in grado di supportare operazioni su numeri di troppi bit. Negli anni 80 le curve ellittiche trovarono un altra applicazione nei problemi della primalità e della fattorizzazione, grazie rispettivamente agli algoritmi ideati da Goldwasser e Kilian (1986) e da Hendrik Lenstra (1984). Questo testo vuole concentrarsi su tale applicazione. Nel Capitolo 1 ci occuperemo dei fondamenti della teoria delle curve ellittiche. Non ne tratteremo la teoria completa, che sarebbe troppo estesa, né in verità tutto quello che sarà proposto ci servirà nello studio degli algoritmi di fattorizzazione e dei test di primalità. Per questo motivo la maggior parte dei risultati riportati sarà privo di dimostrazione. Questo capitolo vuole essere quindi una panoramica essenziale ma nello stesso tempo più completa possibile della teoria fondamentale delle curve ellittiche. I metodi basati sulle curve ellittiche sono gli analoghi di alcuni metodi classici. Questi ultimi vengono anche detti metodi moltiplicativi perché si basano sul fatto che l ordine del gruppo moltiplicativo F p (con p primo) è uguale a p 1. Di importanza analoga per i metodi basati sulle curve ellittiche è l insieme dei punti di una curva a coordinate in F p, che forma un gruppo

5 vii rispetto ad un operazione di somma di punti che definiremo. Per il Teorema di Hasse (1934) tale gruppo ha ordine p+1 a, dove a è un intero che dipende dalla curva E e da p, e tale che a 2 p. Il vantaggio risiede nel fatto che, fissato p, il valore di a e quindi dell ordine del gruppo varia al variare di E. Se ad esempio un metodo fallisce si può tentare nuovamente cambiando curva, opzione non disponibile nei metodi classici. Nel Capitolo 2 discuteremo degli algoritmi di fattorizzazione, descrivendo prima il Metodo p 1 di Pollard e successivamente l ECM (Elliptic Curve Method), dovuto a Lenstra, di cui esso è la generalizzazione. L algoritmo di Lenstra è considerato attualmente uno dei più efficaci algoritmi di fattorizzazione, assieme al Crivello Quadratico di Pomerance (a cui si deve la fattorizzazione della chiave RSA-129 nell Aprile 1994). Quest ultimo sembra funzionare al meglio su interi composti da due primi dello stesso ordine di grandezza, mentre l ECM ha una proprietà che il Crivello Quadratico e molti altri algoritmi di fattorizzazione non hanno. La sua velocità di implementazione dipende dalla dimensione dei più piccoli fattori primi del numero n da fattorizzare. In altre parole, più piccoli sono i fattori di n, più essi sono facili da trovare. La velocità di altri algoritmi, invece, dipende solamente dalla dimensione di n. Chiaramente quest aspetto potrebbe anche rivelarsi controproducente, nel caso ad esempio in cui n sia composto da due primi della medesima (grande) dimensione. Nel Capitolo 3 tratteremo dei numeri pseudoprimi e di alcuni test di primalità probabilistici di tipo Monte Carlo basati su di essi, come il Test di Solovay-Strassen e quello di Miller-Rabin. Faremo inoltre due esempi di test di tipo Las Vegas, descrivendo il Test di Pocklington-Lehmer ed il suo analogo ECPP (Elliptic Curve Primality Proving) dovuto a Goldwasser e Kilian, per poi analizzare quest ultimo più dettagliatamente nell ultima sezione. Per analizzare il tempo di esecuzione di un algoritmo, utilizzeremo la notazione O-grande introdotta da Bachmann e Landau nel La nostra unità di misura sarà l operazione elementare, o operazione bit, intesa come la singola operazione svolta su una cifra binaria. Ognuna delle 4 o- perazioni sugli interi è una successione di operazioni bit. Con complessità computazionale di un algoritmo intendiamo il numero di operazioni elementari svolte dall algoritmo. La complessità computazionale non è un numero, ma una funzione sugli interi, che ci si aspetta crescente al crescere dell intero preso in considerazione. In generale non è possibile calcolare il numero esatto di operazioni svolte da un algoritmo; la notazione O-grande ne fornisce una stima superiore, ed avrà il seguente significato:

6 viii Siano f, g due funzioni definite su qualche sottoinsieme dei numeri reali. Scriviamo f(x) = O(g(x)) (per x ) se x 0, k R, k > 0, tali che f(x) k g(x), x x 0. Se f = O(g) e g = O(f) allora scriviamo f g. Sia n un numero intero, e sia k n,b il numero di cifre di n nella base b. Si può mostrare che: { 1 se n = 0 k n,b = log n log b + 1 altrimenti e quindi che k n,b log n (assumendo b come costante fissata). Diciamo che un algoritmo ha complessità lineare se il suo tempo di esecuzione T (n) sul numero n è O(k n,b ), ovvero O(log n). Diciamo che un algoritmo ha complessità polinomiale se ha costo T (n) = O(log C n), per qualche C > 1. In particolare, la complessità è detta quadratica se C = 2 e cubica se C = 3. Diciamo che un algoritmo ha complessità esponenziale se esiste una costante assoluta C > 0 tale che il costo T (n) sia di O(n C ) = O(exp(C log n)) operazioni elementari. Infine diciamo che un algoritmo ha complessità subesponenziale se ɛ > 0 esso ha costo T (n) di O(n ɛ ) = O(exp(ɛ log n)) operazioni elementari. Contrariamente ai test di primalità, ancora oggi non è conosciuto un algoritmo di fattorizzazione con costo computazionale polinomiale. Come vedremo l algoritmo di Lenstra ha complessità congetturata subesponenziale.

7 Chapter 1 Generalità sulle Curve Ellittiche 1.1 Equazioni di Weierstrass Sia K un campo. Ad esempio, K può essere il campo dei numeri razionali Q, dei numeri reali R, dei numeri complessi C, un campo finito F p con un numero p (primo) di elementi, o in generale una sua estensione F q dove q = p n, p primo e n 1. Per equazione di Weierstrass intendiamo un equazione della forma: y 2 = x 3 + Ax + B, (1.1) dove A, B K. Con curva ellittica intendiamo il grafico di un equazione di Weierstrass senza radici multiple, e diciamo che la curva E è definita sul campo K se A, B K. Più in generale, possiamo riferirci ad un equazione di Weierstrass usando un espressione del tipo: y 2 + a 1 xy + a 3 y = x 3 + a 2 x 2 + a 4 x + a 6 (1.2) che chiamiamo equazione di Weierstrass generalizzata, ponendo a 1, a 2, a 3, a 4, a 6 K (il motivo della numerazione dei coefficienti verrà compreso meglio in seguito; vedi Sezione 1.4). Mostriamo però che, se la curva ellittica è definita su un campo di caratteristica diversa da 2 o da 3, l Equazione (1.1) (equazione di Weierstrass ridotta) descrive tutte le equazioni di Weierstrass generalizzate, ovvero che in caratteristica 2,3 non è restrittivo considerare equazioni di Weierstrass ridotte, che infatti chiameremo semplicemente equazioni di Weierstrass. 1